¿Qué es una fuga de DNS?

Por qué importa

Una VPN solo sirve si el tráfico que te importa pasa de verdad por ella. Si las peticiones DNS salen del camino seguro, un observador de la red —a menudo tu ISP— sigue viendo los nombres de dominio que consultas, aunque el contenido de la página vaya cifrado con HTTPS.

Eso da una falsa sensación de seguridad: la VPN puede ocultar tu IP pública mientras tus hábitos de navegación se escapan por el DNS.

Qué hace el DNS

El DNS (el sistema de nombres de dominio) convierte nombres como skypath.cloud en direcciones IP a las que los routers pueden enviar paquetes. Casi cada visita a un sitio empieza con una consulta DNS.

La mayoría de los ISP asignan a sus clientes un servidor DNS que ellos controlan. Ese servidor puede anotar qué dominios pediste: útil para el operador de la red, arriesgado para la privacidad.

Cómo se produce una fuga de DNS

Aunque la VPN esté conectada, el sistema operativo puede seguir usando sus servidores DNS predeterminados en lugar de los que ofrece la VPN. El túnel dividido, un ajuste mal hecho del cliente o IPv6 pueden enviar el DNS fuera del túnel mientras el resto del tráfico se queda dentro.

Desde tu punto de vista la VPN parece «encendida». Desde el de la red, las consultas de dominio siguen llegando al ISP.

DNS seguro del navegador

Los navegadores actuales suelen admitir DNS cifrado, como DNS-over-HTTPS, a veces activado de serie. El cifrado impide que alguien en el Wi-Fi local lea la consulta por el camino, y eso está bien.

No significa que «nadie vea el nombre». El proveedor de DNS seguro que elegiste (o el predeterminado del navegador) sigue recibiendo las consultas. Si ese proveedor no es el DNS de la VPN, quien usa VPN puede tratarlo como otro tipo de fuga.

Proxies DNS transparentes

Algunos ISP interceptan cada petición DNS en claro por el puerto 53 y la responden ellos mismos: un proxy DNS transparente. Puedes creer que configuraste el DNS de Google o de Cloudflare y, aun así, el ISP sigue atendiendo la consulta.

Lo habitual es una VPN que encamine bien el DNS (o bloquee el DNS de fuera). Cambiar solo el campo «servidor DNS» del PC no basta contra una interceptación en la red abierta.

Cómo comprobarlo

Ejecuta un test de fuga de DNS con la VPN conectada. Quieres ver resolutores que pertenezcan a la VPN (o que hayas elegido a propósito), no el nombre de tu ISP de casa.

Para un antes y un después claro, ejecútalo una vez con la VPN apagada, anota los nombres de los operadores, conecta la VPN y vuelve a ejecutarlo. Si el ISP sigue apareciendo, el DNS no está del todo dentro del túnel.

Recuerda

• HTTPS oculta el contenido de la página; no oculta los nombres de dominio de las consultas DNS.
• El DNS seguro del navegador y el DNS del sistema pueden no coincidir: comprueba los dos si el resultado te sorprende.
• IPv6 y el túnel dividido son motivos habituales de que una VPN parezca conectada mientras el DNS sigue fugando.
• Vuelve a probar después de cambiar la VPN, el navegador o los ajustes de red.

Guías relacionadas