¿Qué Es una Fuga de DNS?
Cada vez que abre un sitio web, su dispositivo pide primero a un servidor DNS que convierta el nombre (example.com) en una dirección IP. Quien gestiona ese servidor puede ver cada dominio que usted consulta.
Se supone que una VPN envía esas consultas por su túnel cifrado a servidores DNS que ella controla. Una fuga de DNS ocurre cuando van a otro sitio, normalmente directo a su proveedor de internet. Su tráfico está oculto, pero su ISP sigue recibiendo una lista de todos los sitios que visita, y la promesa de privacidad de la VPN se rompe sin que usted lo note.
Cómo Funciona Este Test de Fugas DNS
La prueba hace que su navegador cargue nombres como 3-k2v9x0m4q7r1t8zw.leak.dnsrobot.net. Nadie los ha consultado antes, así que ninguna caché puede responder: su servidor DNS tiene que preguntar a nuestro servidor de nombres.
Gestionamos el servidor de nombres de leak.dnsrobot.net. Cada consulta llega desde el servidor DNS que realmente resuelve sus consultas de navegación, así que registramos su dirección IP.
La IP de cada servidor se asocia a su red (ASN), su operador y su país, y después se compara con la red de su propia dirección IP.
Si los servidores pertenecen a su VPN, o a un servicio DNS que usted eligió, no hay fuga. Si aparece su propio proveedor de internet mientras usa una VPN, su DNS tiene una fuga.
Advertisement
Qué Significa Su Resultado
Todos los servidores DNS pertenecen a la misma red que su dirección IP. Con una VPN, sus consultas viajan por el túnel. Sin VPN, van a su ISP, como es normal.
Sus consultas van a Cloudflare, Google, Quad9 u otro servicio DNS público. No pasa nada si usted o su VPN lo eligieron. Si no fue así, puede que un ajuste del navegador o una aplicación esté esquivando el DNS de su VPN.
Al menos un servidor está en una red que no tiene relación con su IP. Con una VPN, busque el nombre de su propio ISP en la lista: si aparece, su VPN tiene una fuga de DNS.
Su navegador nunca consultó los nombres de prueba, normalmente porque un bloqueador de anuncios, un firewall o un DNS con filtrado bloquea los dominios desconocidos. Permita la página y vuelva a hacer la prueba.
¿Test de Fugas DNS Estándar o Extendido?
La prueba estándar envía 6 consultas y tarda unos segundos. Basta para ver qué proveedor gestiona su DNS.
La prueba extendida envía 36 consultas en seis rondas. Los grandes proveedores responden desde grupos de muchos servidores, y algunas fugas solo aparecen de vez en cuando, por ejemplo cuando Windows envía la misma pregunta a todos los adaptadores de red a la vez. Ejecute la prueba extendida antes de confiar a una VPN cualquier cosa delicada.
Advertisement
¿Qué Causa una Fuga de DNS?
La VPN no gestiona el DNS. Algunas aplicaciones VPN, y muchas configuraciones manuales de OpenVPN o WireGuard, conectan el túnel pero dejan los ajustes DNS del sistema apuntando a su router o a su ISP.
Windows pregunta a todos los adaptadores. Desde Windows 8, la resolución de nombres inteligente con varios adaptadores (smart multi-homed name resolution) envía cada consulta a los servidores DNS de todos los adaptadores de red a la vez y se queda con la respuesta más rápida, que puede ser la de su ISP.
IPv6 fuera del túnel. Si su VPN solo tuneliza IPv4, las consultas enviadas por IPv6 pueden llegar directamente al resolver de su ISP. Compruébelo con nuestro test IPv6 con la VPN conectada.
DNS seguro del navegador. Chrome, Edge y Firefox pueden enviar las consultas por DNS over HTTPS a Cloudflare, Google u otro proveedor, ignorando los servidores DNS de la VPN.
DNS configurado en el router o a mano. Un servidor DNS fijo en su router o en los ajustes de red puede anular el de la VPN, según cómo funcione la aplicación VPN.
Proxies DNS transparentes. Algunos ISP interceptan todas las peticiones DNS en el puerto 53 y las responden ellos mismos, aunque usted haya elegido otro servidor DNS.
Cómo Corregir una Fuga de DNS
Active la protección contra fugas DNS de su VPN y su kill switch. La mayoría de las buenas aplicaciones VPN tienen ambas funciones; asegúrese de que la aplicación usa sus propios servidores DNS y vuelva a hacer la prueba.
Windows Pro y Enterprise: abra
gpedit.msc→ Configuración del equipo → Plantillas administrativas → Red → Cliente DNS, y habilite la directiva "Turn off smart multi-homed name resolution". En Windows Home, ponga el valor DWORDDisableSmartNameResolutionen1dentro deHKLM\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient.Desactive Teredo si no lo necesita: ejecute
netsh interface teredo set state disableden un símbolo del sistema abierto como administrador.Corrija IPv6: use una VPN que tunelice IPv6, o desactive IPv6 en el adaptador de red mientras esté conectado.
Revise el DNS seguro de su navegador: en Chrome vaya a Configuración → Privacidad y seguridad → Seguridad → Usar DNS seguro; en Firefox, Ajustes → Privacidad y seguridad → DNS sobre HTTPS. Desactívelo, o apúntelo al resolver de su VPN, si quiere que la VPN gestione el DNS.
Vacíe la caché DNS después de cualquier cambio para que no queden respuestas antiguas: vea cómo vaciar la caché DNS en Windows, macOS, Linux y los navegadores.
Advertisement
Pruebe Su Servidor DNS Desde la Línea de Comandos
También puede comprobar qué servidor DNS usa su equipo sin abrir el navegador. Nuestro servidor de nombres responde al nombre especial whoami.leak.dnsrobot.net con la dirección IP del servidor que lo consultó:
dig +short TXT whoami.leak.dnsrobot.netnslookup -type=TXT whoami.leak.dnsrobot.net¿Por Qué Veo Servidores Que No Reconozco?
Vemos el servidor que contactó con nuestro servidor de nombres, que es el último de la cadena. Si su router o un resolver local reenvía las consultas a otro proveedor, el resultado muestra ese proveedor, no su router.
Los grandes resolvers públicos usan anycast: Cloudflare, Google y Quad9 responden desde centros de datos cercanos a usted, y una consulta puede atenderla una máquina de un país vecino. Un servidor en un país inesperado no es una fuga por sí solo. Lo que importa es quién lo gestiona.
Advertisement
Fugas DNS, Fugas WebRTC y Fugas IPv6
Una VPN puede delatarle de tres formas principales, y cada una necesita su propia prueba:
Sus consultas llegan a un servidor DNS fuera de la VPN, normalmente el de su ISP, lo que revela cada dominio que visita.
El navegador revela su IP real a través de WebRTC. Compruébelo con nuestro test de fuga WebRTC.
El tráfico IPv6 esquiva una VPN que solo tuneliza IPv4. Compruébelo con nuestro test IPv6 con la VPN conectada.
Más Herramientas de Privacidad y DNS
Más herramientas gratis para ver qué revela su conexión y cómo rinde su DNS: