Test de fugas DNS

Pulsa Iniciar test. Tu navegador solicita seis nombres de host únicos (36 en el test ampliado) que solo existen en nuestro servidor de nombres; registramos qué resolutor preguntó por cada uno, consultamos su red y su operador, y mostramos la lista en pocos segundos. Indica a la página si estás usando una VPN para obtener un veredicto preciso: la misma lista de resolutores significa cosas distintas con y sin túnel.

Seis consultas. Suficientes para detectar el caso común en el que una VPN deja el resolutor del sistema en su sitio y todas las consultas van a tu proveedor.

Treinta y seis consultas en una ventana más larga, que también sacan a la luz los resolutores que solo gestionan parte de tus consultas: grupos de resolutores del proveedor con balanceo de carga, un segundo servidor DNS configurado en el dispositivo o Windows consultando todas las interfaces a la vez.

Cada fila es un resolutor que llegó a nuestro servidor de nombres en tu nombre: su dirección, la red y el operador a los que pertenece, su país y cuántas de las consultas gestionó. El veredicto compara esas redes con la red de la que procede tu tráfico HTTP.

Un resolutor en la red de tu proveedor de VPN, o con la misma dirección que tu salida VPN, significa que el DNS va dentro del túnel. Un resolutor en la red de tu proveedor doméstico con la VPN activa es una fuga. Un resolutor público (Cloudflare, Google, Quad9 y otros) está bien siempre que la consulta le haya llegado por el túnel, cosa que podemos confirmar cuando el resolutor reenvía el prefijo de tu red (EDNS Client Subnet) y coincide con tu dirección VPN.

Si tu navegador o tu sistema usan DNS sobre HTTPS o DNS sobre TLS, nuestro servidor ve la dirección del resolutor cifrado (por ejemplo, el de Cloudflare o Google), no la de tu proveedor. El cifrado oculta el contenido de las consultas a tu red; por sí solo no las enruta por una VPN, así que el veredicto sigue comprobando la red desde la que salió la consulta.

Antes de que tu navegador pueda conectarse a una web, pregunta a un resolutor DNS por la dirección del sitio. Se supone que una VPN lleva esas consultas por el túnel hasta su propio resolutor. Cuando el sistema operativo sigue enviándolas al resolutor que aprendió de tu red doméstica, tu proveedor sigue viendo todos los dominios que visitas —y el operador de la web puede deducir tu ubicación real por la red del resolutor— aunque la conexión en sí vaya por el túnel. Eso es una fuga de DNS. La guía qué es una fuga de DNS entra en la mecánica.

La solución es hacer que el dispositivo use el resolutor de la VPN, o un resolutor público alcanzado por el túnel, y nada más.

Activa la protección contra fugas DNS de la app de la VPN. Si las fugas continúan, abre los ajustes del adaptador de tu conexión de red física y configura manualmente los servidores DNS con un resolutor público, y desactiva Smart Multi-Homed Name Resolution (Directiva de grupo › Plantillas administrativas › Red › Cliente DNS) para que Windows deje de consultar todos los adaptadores en paralelo. Vacía la caché con ipconfig /flushdns y repite el test.

Usa el ajuste de protección DNS de la app de la VPN. Si no, configura los servidores DNS del servicio de red activo en Ajustes del Sistema › Red › Detalles › DNS, o configura DNS cifrado (DoH/DoT) con un perfil. Repite el test; un resolutor en la red de la VPN o un resolutor público con prefijo coincidente significa que la fuga está cerrada.

Ambos sistemas admiten DNS privado (Android: Ajustes › Red › DNS privado; iOS mediante un perfil de configuración), que envía las consultas por TLS al resolutor que indiques. Combínalo con la protección contra fugas de la app de la VPN. En iOS, la app de la VPN debe incluir ajustes de DNS en su configuración para que las consultas usen el túnel.

Si la VPN corre en el router, configura los servidores DNS del router con los resolutores del proveedor de VPN y asegúrate de que el router no reparta a los dispositivos por DHCP los resolutores de tu proveedor. Ejecuta este test desde cualquier dispositivo detrás del router para confirmarlo.

Ejecuta el test una vez sin la VPN y anota la red del resolutor: esa es tu referencia. Conecta la VPN y ejecútalo otra vez. Si aparece la misma red, la fuga es segura; la página recuerda la referencia durante unos minutos y la marca. Si aparece un resolutor público las dos veces, mira la columna EDNS Client Subnet: con la VPN conectada debe mostrar la red de la VPN, no tu prefijo doméstico. El test VPN lo ejecuta junto con las comprobaciones de WebRTC e IPv6.