¿Qué es una fuga de DNS y cómo se soluciona?

El DNS en 30 segundos

Antes de abrir un sitio web, tu dispositivo tiene que convertir un nombre como example.com en una dirección IP. Para eso pregunta a un resolver DNS (servidor de resolución), normalmente gestionado por tu proveedor de internet. El resolver ve cada nombre de sitio que consultas, cuándo lo consultas y tu dirección IP.

¿Qué es una fuga de DNS?

Cuando usas una VPN, esas consultas deberían ir por el túnel cifrado hasta el resolver de la propia VPN. Una fuga de DNS ocurre cuando, en cambio, esquivan el túnel y van directamente a tu proveedor o a otro resolver externo.

Tu tráfico sigue cifrado, pero el resolver puede ver la lista de todos los sitios que visitas, y cualquiera que observe tu conexión también. En algunos países, los proveedores usan el DNS para bloquear sitios web, así que una fuga también puede hacer que los sitios bloqueados no carguen aunque tengas la VPN activada.

Una fuga de DNS no cambia la dirección IP que ven los sitios web. Expone a tu proveedor qué sitios visitas. Por eso una simple consulta de IP no puede detectarla.

Cómo hacer un test de fuga de DNS

1. Conéctate a tu VPN.
2. Abre el test de fuga de DNS. Hace que tu navegador consulte varios nombres aleatorios que solo nuestro servidor de pruebas puede responder, y registra qué resolvers los piden.
3. Revisa los resolvers que aparecen.

Sin fuga: todos los resolvers pertenecen a tu proveedor de VPN o están en el mismo país por el que sale tu VPN.

Con fuga: ves resolvers de tu propio proveedor de internet, o de tu propio país mientras tu servidor VPN está en otro lugar.

Los grandes resolvers públicos como Google (8.8.8.8) y Cloudflare (1.1.1.1) tienen servidores en todo el mundo. En esos casos, el test también muestra la subred de cliente que el resolver transmitió, que puede revelar tu red real aunque el resolver en sí parezca neutral.

¿Qué causa las fugas de DNS?

• La VPN no configura su propio DNS. Algunas apps de VPN, las configuraciones manuales de WireGuard u OpenVPN y muchas herramientas de proxy dejan sin cambiar el resolver del sistema.
• Windows pregunta a todas las redes a la vez. Windows envía las consultas DNS a todos los adaptadores de red y se queda con la respuesta más rápida, así que la consulta puede salir por tu conexión normal.
• IPv6. Si la VPN solo gestiona IPv4, las consultas por IPv6 van al resolver IPv6 de tu proveedor.
• DNS sobre HTTPS del navegador. Chrome, Edge y Firefox pueden enviar las consultas a su propio resolver cifrado. No es una fuga hacia tu proveedor, pero se salta el resolver de la VPN y puede transmitir tu ubicación real.
• Herramientas de proxy en modo "proxy del sistema". Apps como Clash, V2Ray o los clientes de Shadowsocks a menudo solo envían por el proxy el tráfico del navegador, mientras el sistema sigue resolviendo nombres localmente.
• Tu router o tu proveedor secuestra el DNS. Algunos proveedores interceptan todo el tráfico del puerto 53 y lo responden ellos mismos.

Cómo solucionar una fuga de DNS

Empieza por la primera solución y vuelve a hacer el test después de cada paso.

1. Activa la protección contra fugas de DNS de tu VPN. La mayoría de las buenas apps de VPN tienen una opción llamada protección contra fugas de DNS, "usar solo el DNS de la VPN" o similar. Activa también el kill switch (interruptor de emergencia).
2. Activa la protección contra fugas de IPv6 o bloquea IPv6 en la app de la VPN. Consulta IPv4 vs IPv6 para saber por qué importa.
3. Configura el DNS en la configuración de tu VPN. En WireGuard, añade una línea DNS = en la sección [Interface]. En OpenVPN, usa block-outside-dns en Windows.
4. En las herramientas de proxy, activa el modo TUN (Clash, sing-box y otras lo llaman TUN, modo mejorado o modo VPN) y activa su gestión de DNS, para que todas las consultas pasen por el proxy.
5. Revisa la opción de DNS seguro de tu navegador. En Chrome o Edge está en Configuración > Privacidad y seguridad > Seguridad > Usar DNS seguro. Desactívala para que se use el resolver de la VPN, o elige un resolver de tu confianza.
6. Cambia el DNS del sistema a un resolver público como respaldo. Esto no soluciona una fuga hacia ese resolver, pero impide que tu proveedor vea tus consultas.

Después vuelve a hacer el test de fuga de DNS. Para revisar tu VPN a fondo, incluidos WebRTC e IPv6, consulta cómo comprobar si tu VPN funciona.

Preguntas frecuentes

¿Es peligrosa una fuga de DNS?

Expone los sitios que visitas, no tus contraseñas ni el contenido de las páginas, que siguen protegidos por HTTPS. Aun así, si usas una VPN por privacidad, una fuga anula buena parte de su utilidad.

¿Una fuga de DNS puede revelar mi IP real?

Indirectamente. El resolver de tu proveedor ve tu IP real, y los resolvers que transmiten tu subred de cliente le dicen al servidor DNS del sitio web dónde estás aproximadamente. Los sitios web en sí no ven tu IP a través del DNS.

¿Usar 1.1.1.1 u 8.8.8.8 evita las fugas de DNS?

No. Cambia quién ve tus consultas, de tu proveedor a Cloudflare o Google, pero esas consultas pueden seguir saliendo fuera de tu VPN. Solo enviar el DNS por la VPN detiene la fuga.

¿Por qué el test muestra servidores de otro país?

Los grandes resolvers envían tu consulta desde el centro de datos más cercano a ti o a tu servidor VPN, que puede estar en un país vecino. Fíjate en el nombre de la red: si es tu proveedor de VPN o un gran resolver público cerca del servidor VPN, todo está bien.