Fuga de DNS y envenenamiento de DNS: cómo detectarlos y solucionarlos

El DNS es la forma en que internet pide indicaciones. Escribes un nombre de dominio, el dispositivo necesita una dirección IP, y el paso intermedio —qué dirección corresponde a ese nombre— es una pregunta que se le hace a un servidor DNS. Por defecto es un servidor elegido por tu proveedor o por tu router, y las consultas DNS clásicas van sin cifrar: los equipos que hay por el camino pueden leer la pregunta y tienen la oportunidad de responder antes que el servidor real.

El envenenamiento de DNS significa que esa respuesta se sustituyó por una falsa: el nombre apunta a una dirección que no tiene nada que ver o a una que no se puede alcanzar. Desde el lado del usuario se nota así.

• Algunas webs se quedan cargando sin fin, agotan el tiempo de espera o dan “conexión restablecida”, mientras que otras funcionan con normalidad en ese mismo momento.
• Cambiar a un servidor DNS público no ayuda: la respuesta falsa se inserta por el camino, así que preguntes a quien preguntes, alguien se te adelanta con la respuesta.
• El mismo nombre se resuelve en una dirección distinta cada vez, y esas direcciones pertenecen a organizaciones que no tienen relación con la web.
• El navegador muestra un error de certificado: el nombre se dirigió al servidor de otro, que no puede presentar el certificado de la web. Detente ahí y no continúes.
• En otra red (los datos móviles, por ejemplo) o con la VPN conectada, la misma web abre al instante.

Si el patrón ya es “con la VPN abre, sin ella falla”, con eso basta como conclusión. Para confirmar si un nombre concreto se resuelve bien, sigue estos cuatro pasos.

1. Con la VPN apagada, busca el nombre en la línea de comandos de una computadora, cambiando example.com por el dominio en cuestión, y anota la dirección que devuelve: nslookup example.com
2. Conecta la VPN (un método para todo el dispositivo, en modo global) y vuelve a buscar el mismo nombre. Es normal que salga otra dirección, porque las webs grandes tienen servidores en muchos lugares; el paso que cuenta es el siguiente.
3. Lleva la primera dirección a una web de consulta de IP como ipinfo.io y mira a quién pertenece. Si es de la propia web o de su proveedor de nube, la resolución está bien. Si es de una organización sin relación, o no se puede alcanzar en absoluto, la respuesta estaba envenenada.
4. Repítelo un par de veces. Los resultados auténticos se mantienen dentro de un pequeño conjunto fijo de direcciones; los envenenados suelen cambiar en cada consulta.

Hay cuatro enfoques, de parciales a completos. Los dos primeros solo cambian a quién le preguntas; el tercero resuelve a la vez la consulta y el trayecto.

• Cambiar de servidor DNS: funciona cuando el DNS del propio proveedor está mal o guarda en caché una dirección antigua. No sirve de nada contra respuestas insertadas por el camino.
• DNS cifrado (DoH, DoT): la consulta no se puede alterar en tránsito, así que obtienes la dirección real. Pero esa dirección real puede seguir siendo inalcanzable, así que es solo media solución.
• Enviar por la ruta tanto la resolución como el tráfico: la solución completa. El nombre se resuelve en el otro extremo, la respuesta es auténtica y la visita también sale desde allí.
• Editar el archivo hosts para fijar una dirección a mano: deja de funcionar en cuanto cambia la dirección y no es práctico para más de unas pocas webs. Sirve como parche temporal.
• LeoTun usa el tercer enfoque: el DNS lo asigna la ruta y se resuelve dentro del túnel, así que no se usa el DNS original del dispositivo. Con el Proxy Web, el servidor proxy resuelve los nombres por el navegador. El router hace esto para todos los dispositivos de casa y resuelve las webs chinas por la vía local para que abran directas. Con nuestras rutas normalmente no hace falta cambiar ningún ajuste de DNS.

• Envenenamiento de DNS: la respuesta es falsa. La web no abre o te manda a otro sitio. Ocurre cuando no estás en una ruta, o cuando la resolución no pasa por ella.
• Fuga de DNS: la respuesta es auténtica, pero a quien se le preguntó fue a tu proveedor local. El proveedor se entera de a qué dominios vas, y una web de video puede deducir de ahí tu ubicación real. Ocurre cuando la VPN está conectada, pero las consultas viajan fuera del túnel.
• Causas habituales de una fuga: el DNS seguro activado en el navegador o en el sistema; otra VPN o herramienta de red mallada funcionando al mismo tiempo; el IPv6 del dispositivo que no pasa por el túnel.
• Si estás fuera de China viendo video chino, la señal típica de una fuga es “conectado, la IP es correcta y aun así aparece el aviso de región”. Los pasos están en Tencent Video o iQIYI bloqueados en el extranjero.

1. IP de salida: una vez conectado, abre una web de consulta de IP como ipinfo.io o ip.sb. La dirección y la ubicación deben ser las de la salida que elegiste, no las de tu conexión de casa.
2. DNS: abre una prueba de fugas de DNS (dnsleaktest.com o la página de DNS de browserleaks.com). Muestra los servidores que resuelven los nombres por ti. En modo global, tu proveedor local no debería aparecer en la lista.
3. IPv6: abre test-ipv6.com. Si IPv6 aparece como no disponible, o muestra una dirección que no es la tuya local, todo está bien.
4. En modo de enrutamiento dividido, interpreta el resultado de otra forma: las webs chinas deben resolverse por la vía local, así que un servidor chino en la página de prueba no es necesariamente una fuga. Para estar seguro, cambia a global y vuelve a probar.
5. Desconéctate, repite todo otra vez y compara. Si las dos rondas dan lo mismo, el tráfico no está pasando por la ruta; comprueba que el cliente esté realmente conectado.

Con el enrutamiento dividido activado es normal; de hecho, es el enrutamiento dividido haciendo su trabajo. Si estás en China con una región del extranjero seleccionada, una web china de consulta de IP va directa y ve la dirección de tu conexión de casa, mientras que una web extranjera de consulta pasa por la ruta y ve la dirección de salida. Las dos tienen razón: una responde “desde dónde me ven las webs chinas” y la otra “desde dónde me ven las webs extranjeras”.

Lo mismo vale para la entrada a China: las webs chinas salen desde China y las extranjeras llegan por una línea del extranjero, así que una web extranjera de consulta muestra el extremo del extranjero.

Un tercer tipo de discrepancia viene de las bases de datos. A qué país o ciudad pertenece una IP depende de la base de datos de geolocalización que use cada web de consulta, y se actualizan en momentos distintos. Que una misma IP aparezca en ciudades distintas, incluso en países distintos, en dos webs no es raro. Lo que de verdad toma en cuenta una web o una app es su propia base de datos.

Para ver la salida cuando todo va por la ruta, cambia el cliente a global y vuelve a mirar. Las direcciones del enrutamiento dividido del router y cómo comprobarlas están en Cómo funciona el enrutamiento dividido en un router VPN.

La puntuación de limpieza de una IP, también llamada reputación de IP o puntuación de fraude, es una calificación de riesgo que algunas webs de verificación asignan a una dirección. No hay un estándar común; cada web tiene su propia fórmula, y una misma dirección puede puntuar muy distinto de una web a otra. Mide hasta qué punto una web trata esa dirección como la de un usuario doméstico común. No dice nada sobre si tus datos están protegidos. Influyen sobre todo cuatro cosas.

• Tipo de dirección: conexión doméstica, red móvil o centro de datos.
• Si está marcada como proxy o VPN: algunas bases de datos recopilan justamente ese tipo de direcciones.
• Historial: si la dirección ha enviado spam, ha saturado una API o ha sido denunciada.
• Cuántas personas la usan a la vez: cuando muchos comparten una salida, el comportamiento de todos queda registrado en la misma dirección.

Las salidas compartidas puntúan más bajo por naturaleza. Muchos usuarios comparten una dirección de salida, y si alguno activó alguna vez un control de riesgo, el registro queda en esa dirección. Además, la dirección pertenece a un rango de centro de datos, lo que ya resta puntos solo por el tipo. Esto vale para las salidas de VPN y de proxy en general.

En la práctica, una puntuación baja significa más CAPTCHA, verificaciones extra en algunas webs y unos pocos servicios que rechazan direcciones de centro de datos. Toma el resultado como referencia. Cuando una web concreta te rechace, vuelve a conectarte por otra región: cada región tiene direcciones de salida distintas, y detrás de cada región hay varias máquinas.

Un router tiene que ver qué nombre consulta un dispositivo antes de decidir si esa visita va por la ruta o directa. Un dispositivo con DNS cifrado activado (DoH o DoT) pregunta a un servidor de terceros por su propio canal cifrado, el router nunca ve la consulta y el enrutamiento dividido de ese dispositivo deja de acertar: lo que debería ir por la ruta no va, o las webs chinas dan un rodeo. Cuando solo un dispositivo de la casa falla, revisa esto primero.

• Android: Ajustes → Redes e internet → DNS privado, elige “Desactivado”. Los nombres de los menús cambian según la marca; si buscas “DNS privado” en los ajustes, lo encuentras.
• Chrome: Configuración → Privacidad y seguridad → Seguridad → Usar DNS seguro, desactívalo. Edge y Firefox tienen una opción equivalente en sus ajustes de privacidad; Firefox lo llama “DNS sobre HTTPS”.
• iPhone y Mac: no hay un único interruptor del sistema. Si instalaste una app de DNS o un perfil de DNS, desactívalo en Configuración → General → VPN y gestión de dispositivos, y apaga la Retransmisión privada de iCloud si está activada.
• Después, vuelve a conectar ese dispositivo al Wi‑Fi y compruébalo con el método de la última sección de la guía de enrutamiento dividido del router.