¿Qué es una fuga de DNS?
Una fuga de DNS ocurre cuando tu dispositivo sigue enviando las consultas de nombres de dominio al resolutor de tu proveedor de internet aunque tu tráfico vaya por una VPN. La conexión está tunelizada, pero la lista de sitios que visitas no. Aquí tienes cómo ocurre, cómo verla y cómo evitarla.
En esta guía
Cómo se producen las fugas de DNS
Antes de cargar cualquier sitio, tu dispositivo pregunta a un resolutor DNS por la dirección del sitio. Normalmente ese resolutor es el que te asignó tu red: el de tu proveedor. Se supone que una VPN redirige esas consultas por el túnel hasta su propio resolutor, pero varias cosas lo impiden: la app de VPN no cambia el resolutor del sistema (habitual en las VPN configuradas a mano); el sistema operativo consulta todas las interfaces de red a la vez (la resolución de nombres multiconexión inteligente de Windows); un navegador usa su propio ajuste de DNS sobre HTTPS que se salta el resolutor de la VPN; el DNS por IPv6 no va por el túnel mientras que el IPv4 sí; o la VPN se cae un instante y el sistema recurre al resolutor de respaldo. En todos los casos, el resolutor del proveedor ve cada dominio que consultas, con tu dirección real como origen, y el operador del sitio puede deducir tu ubicación real a partir del resolutor que pidió sus registros.
Pruébalo ahora
ComprobandoEjecutando contra nuestros propios servidores de prueba. No se guarda nada.
Abrir Test de fugas DNSCómo detectar una fuga de DNS
El test de fugas DNS da a tu navegador nombres de host únicos bajo nuestra propia zona DNS; los resolutores que se los piden a nuestro servidor de nombres son, por construcción, los que gestionan tu DNS. Con la VPN activa, un resolutor que pertenezca a tu proveedor, o un resolutor público que reenvíe el prefijo de tu red doméstica, es una fuga. Ejecútalo primero una vez sin la VPN para conocer el resolutor de tu proveedor, y luego con ella. El test VPN hace la misma comprobación junto con WebRTC e IPv6.
Cómo solucionarla
Activa la protección contra fugas de DNS de la app de VPN (también llamada usar el DNS de la VPN o bloquear DNS fuera del túnel) y su kill switch. Si la app no tiene esa opción, configura a mano el resolutor del sistema con un resolutor público para que no haya ningún resolutor del proveedor al que filtrar, y desactiva la resolución multiconexión de Windows mediante directivas de grupo. Asegúrate de que el DoH del navegador, si está activado, apunta a un resolutor en el que confíes, porque se salta el de la VPN. Si tu VPN no tuneliza IPv6, activa su protección IPv6 o desactiva IPv6 mientras estés conectado. Repite el test tras cada cambio hasta que no aparezca ningún resolutor del proveedor.
Preguntas
¿Cómo de grave es una fuga de DNS?
Expone los dominios que consultas a tu proveedor (o a quien gestione el resolutor que filtra) y permite a las webs deducir tu ubicación real, deshaciendo la privacidad que da una VPN. No expone el contenido de tu tráfico.
¿Cómo soluciono una fuga de DNS?
Fuerza el DNS por el túnel: la protección contra fugas de DNS y el kill switch de la app de VPN, un resolutor público configurado a mano, desactivar la resolución de nombres multiconexión inteligente de Windows y la protección IPv6. Después, vuelve a probar.
¿Cómo sé si mi DNS está hackeado?
Un ajuste de DNS secuestrado te manda a sitios equivocados: redirecciones inesperadas, avisos de certificado en sitios importantes, un resolutor que no configuraste. Ejecuta la comprobación cuál es mi servidor DNS y compara el resolutor con el que configuraste; restablece el DNS del router si se cambió sin que lo supieras.
¿Cómo compruebo si tengo una fuga de DNS?
Ejecuta el test de fugas DNS con la VPN conectada. Cualquier resolutor que pertenezca a tu proveedor es una fuga; la página lo dice explícitamente.
¿Es fiable un test de fugas de DNS?
Sí: el nuestro usa nombres de host que solo existen en nuestro propio servidor de nombres, así que la única forma de que un resolutor aparezca es que nos haya consultado de verdad. El diseño está documentado en la página de metodología.