Una guía para pruebas de fugas de DNS
Tu tráfico web usa una VPN. ¿La resolución de nombres sigue la ruta que pretendías? Empieza por los resolutores realmente observados.
¿Qué es una fuga de DNS?
El DNS traduce nombres de dominio en direcciones de red. Una fuga de DNS suele significar que una consulta utiliza un resolutor no previsto, como el DNS de un proveedor de acceso, cuando esperabas que la gestionara una VPN o un servicio DNS elegido.
Una salida web y un resolutor DNS tienen funciones diferentes. Sus direcciones IP y países no tienen por qué coincidir. Ver un servicio público como Google o Cloudflare no es, por sí solo, prueba de fuga ni de una ruta protegida por VPN.
Compara la ruta observada con la configuración que pretendías.
¿Qué significan los resultados DNS?
Las etiquetas se basan en organizaciones de resolutores y señales de la red de salida. El navegador no puede inspeccionar el túnel VPN ni la configuración DNS del sistema operativo.
- Posible fuga de DNS
- La salida tiene una señal de VPN, proxy o Tor mientras se observa un resolutor de tipo proveedor de acceso. Revisa la gestión DNS y el túnel dividido. Es una pista a investigar, no una inspección directa del tráfico dentro del túnel.
- No se encontró una fuga evidente
- Los resolutores observados coinciden con organizaciones DNS públicas reconocidas sin activar la regla de proveedor de acceso. Confirma que esos servicios son los previstos. Esto no garantiza que cada solicitud DNS haya pasado por una VPN.
- Sin verificar
- La propiedad del resolutor o la evidencia de ruta es insuficiente. Los resolutores privados, los reenviadores empresariales y las organizaciones fuera de las reglas de identificación pueden producir este resultado.
- No se observaron consultas
- La prueba no recibió ninguna observación utilizable de resolutor. Las restricciones de red, los fallos en las consultas o un servicio de prueba no disponible pueden causarlo. La ausencia de registro no demuestra que no haya fuga.
Cuatro pasos para revisar tu ruta DNS
Establece primero la configuración prevista. Cambia un ajuste a la vez para que la comparación siga siendo útil.
Identifica el servicio previsto
Revisa la configuración DNS en la VPN, el router, el sistema operativo y el navegador. La función DNS seguro del navegador puede usar deliberadamente un proveedor distinto.
Compara antes y después
Cuando corresponda, compara las organizaciones de resolutores y la salida web con la VPN desconectada y conectada. No te fíes solo de las banderas de países: un servicio puede usar varias IPs y ubicaciones.
Revisa DNS y túnel dividido
Comprueba la protección DNS, IPv6 y los ajustes de túnel dividido de la VPN. Una extensión que proxifica las solicitudes web puede no controlar el sistema operativo ni las consultas de otras aplicaciones.
Repite la prueba y verifica de forma cruzada
Vuelve a ejecutar la prueba después de los cambios y comprueba WebRTC por separado. En redes gestionadas, sigue la política del administrador en lugar de desactivar el DNS seguro solo para cambiar una etiqueta.
¿Cómo realiza CHA.LA esta comprobación?
La página crea una sesión de prueba DNS de corta duración, solicita nombres específicos de la sesión y lee las direcciones de los resolutores recursivos registradas por el servicio de observación. Esas direcciones identifican los resolutores que consultan el servicio, no necesariamente la dirección que aparece en la configuración de tu dispositivo.
Las reglas comparan después los nombres de organizaciones de resolutores con las señales de VPN, proxy y Tor de la salida actual. Una consulta PTR, CNAME o de registro de dominio ordinaria no puede sustituir esta observación específica de la conexión.
Preguntas frecuentes
DNS público, enrutamiento VPN, DNS cifrado y diferencias entre resultados.
¿El DNS de Google o Cloudflare indica una fuga?
No necesariamente. Las VPN, el DNS seguro del navegador y los routers pueden usar intencionadamente un resolutor público. Las preguntas importantes son si esa elección es la prevista y si la solicitud sigue la ruta que elegiste. El nombre de un proveedor no puede revelar toda la ruta de conexión.
¿El DNS puede estar en un país distinto al de mi VPN?
Sí. Anycast, reenvíos y distintos puntos de salida pueden producir ubicaciones diferentes, y la geolocalización de IP puede ser imprecisa. Revisa la organización, la documentación del proveedor y los cambios entre pruebas en lugar de tratar una discrepancia de país como prueba de una fuga.
¿Por qué aparecen varios resolutores?
El balanceo de carga, múltiples servidores ascendentes, IPv4/IPv6 y el reenvío pueden generar varias fuentes de consulta durante una prueba. El número no es una puntuación de riesgo. Comprueba si cada fuente pertenece al servicio que pretendías usar.
¿DoH o DoT garantizan que el DNS no pueda filtrarse?
No. Cifran un segmento de la conexión hacia un servicio DNS. Qué proveedor maneja la resolución, si la conexión pasa por una VPN y si otras aplicaciones comparten esa configuración son cuestiones aparte.
¿Por qué se ven resolutores en la navegación privada?
La navegación privada cambia principalmente el comportamiento del historial local, las cookies y el almacenamiento de sesión. No redirige inherentemente el DNS ni todas las conexiones de red, por lo que las fuentes de consulta aún pueden observarse.
¿En qué se diferencia de una herramienta de consulta de DNS?
Una herramienta de consulta de DNS solicita registros como CNAME o PTR. Esta prueba usa nombres específicos de sesión para observar qué resolutores manejan las consultas de la conexión actual. Una verifica un registro; la otra observa una fuente de consulta.