¿Qué VPN protege frente a filtraciones DNS en Arabia Saudita? La que mantiene el DNS dentro del mismo camino

Mi VPN había pasado la prueba que yo siempre hacía.

Estaba en un hotel de Riad, conectado al Wi-Fi de la habitación. Abrí una página para comprobar mi dirección IP.

Arabia Saudita había desaparecido. El navegador mostraba la ubicación del servidor VPN que había elegido en Europa. Bien.

Cerré la pestaña y estaba a punto de entrar en Microsoft 365 cuando recordé un aviso que había leído antes del viaje. En julio de 2026, investigadores de ReliaQuest habían documentado una campaña contra viajeros en la que atacantes comprometían gateways de hoteles y centros de conferencias para manipular respuestas DNS. Entre los equipos afectados había infraestructura localizada en Arabia Saudita.

Volví a mirar la VPN.

Conectado.

Entonces hice una comprobación que casi nunca hacía. El DNS. Y ahí apareció el problema.

Mi dirección IP había cambiado, pero las consultas DNS seguían mostrando un resolver asociado a la red local.

De repente, el icono verde de la VPN dejó de parecerme una prueba suficiente.

Había protegido la conexión visible, pero no toda la ruta

Hasta esa noche yo comprobaba una VPN de una manera muy simple. Abría una página de IP. Si aparecía otro país, seguía trabajando.

Pero antes de que el navegador pueda abrir microsoft.com, gmail.com o el portal de un cliente, necesita averiguar dónde se encuentra ese dominio. Para eso utiliza DNS.

Esas consultas también revelan información sobre los sitios que intentas visitar.

Si salen fuera del túnel, la dirección IP pública puede parecer perfectamente protegida mientras una parte importante de la navegación continúa pasando por la infraestructura local.

En casa habría considerado aquello un detalle técnico.

En una Wi-Fi de hotel, después de leer sobre una campaña que precisamente manipulaba DNS para redirigir viajeros, ya no me lo parecía.

La pregunta dejó de ser:

¿mi IP ha cambiado?

Pasó a ser:

¿quién está respondiendo cuando mi portátil pregunta dónde está el sitio que voy a abrir?

Mi VPN grande me daba muchas formas de responder esa pregunta

Mi proveedor habitual tenía bastante a su favor.

Llevaba años utilizándolo. Tenía muchas ubicaciones, una aplicación madura y suficientes controles avanzados para personalizar casi cualquier parte de la conexión.

El problema era que yo ya había personalizado demasiadas. Tenía un DNS seguro configurado en el navegador. Otro resolver guardado en el sistema.

Split tunneling para un par de aplicaciones. Y ajustes de la VPN que había tocado meses antes y apenas recordaba. Pensé que arreglar la fuga sería fácil.

Cambié de servidor. Repetí la prueba. El resolver local seguía apareciendo.

Desconecté. Volví a conectar. Lo mismo.

Después abrí la configuración DNS de Windows. Luego la de Chrome. Luego otra vez la VPN.

En menos de diez minutos había pasado de «voy a responder tres correos» a intentar recordar qué capa del portátil tenía autoridad sobre cada consulta.

No podía observar la configuración interna del Wi-Fi del hotel ni saber cómo trataba exactamente cada petición.

Pero sí veía lo que importaba: la VPN parecía conectada; mi IP pública había cambiado;

el DNS seguía tomando una ruta que yo no quería.

Otros usuarios se encuentran con la misma clase de sorpresa: el túnel aparece activo mientras el sistema continúa utilizando un resolver distinto al esperado.

No necesitaba más ejemplos. Necesitaba reducir las posibilidades de que eso ocurriera.

El problema reciente de los hoteles hizo que esa simplicidad importara

La investigación de ReliaQuest terminó de ordenar mis prioridades.

En la campaña que analizaron, los atacantes no necesitaban empezar entrando en el portátil del huésped. Habían comprometido gateways que proporcionaban conectividad al hotel y podían utilizar esa posición para manipular respuestas DNS y dirigir al usuario hacia infraestructura falsa.

Eso convertía la Wi-Fi local en exactamente la parte de la ruta que yo quería dejar fuera de mis consultas.

Y aquí estaba mi contradicción. Había instalado una VPN para no confiar demasiado en una red de hotel. Pero mi configuración todavía permitía que el DNS dependiera de ella.

La recomendación técnica para este tipo de escenario es bastante directa: utilizar un túnel completo que lleve también las consultas DNS por la ruta protegida.

No necesitaba elegir un país mejor. Necesitaba que navegación y DNS dejaran de separarse. Dejé de cambiar servidores.

Probé una configuración con menos decisiones

Abrí OnlydogVPN^↗.

La aplicación pequeña tenía menos controles avanzados expuestos que mi proveedor habitual.

Antes del viaje habría considerado eso una debilidad. Aquella noche me pareció justo lo contrario. Elegí el ajuste para una red pública o restrictiva.

Conecté. No configuré otro DNS manualmente. No reconstruí mis excepciones.

No cambié nada en Chrome. Volví a hacer la comprobación. El resolver del hotel ya no aparecía.

Entonces dejé las páginas de prueba y volví al motivo por el que había abierto el portátil.

Microsoft 365. Cargó. Inicié sesión.

Abrí el documento que necesitaba revisar. Hice dos correcciones. Subí la nueva versión.

Sincronizado.

Después entré en el portal del cliente. También funcionó. Eso me resultó más convincente que ver otro país en una prueba de IP.

La aplicación había conseguido que el DNS y el resto de mi tráfico siguieran una ruta coherente sin obligarme a decidir qué ajuste debía ganar sobre los demás.

Yo había elegido la situación. Después había vuelto a trabajar.

Cambiar simplemente a otro DNS no solucionaba el problema de fondo

Mi primera reacción al detectar la fuga había sido buscar un resolver público conocido.

Cloudflare. Google. Quad9.

Parecía lógico: si no quería utilizar el DNS del hotel, bastaba con escribir otra dirección.

Pero eso seguía dejando una pregunta sin resolver.

¿Por dónde viaja la consulta hasta ese servidor?

Si sale directamente por la red local, cambiar el destino DNS no equivale a sacarlo de esa red. En escenarios de manipulación DNS, una consulta que continúa atravesando el gateway local puede seguir expuesta a interferencias.

Ahí entendí por qué había complicado tanto mi propia configuración. Yo tenía: una VPN;

un DNS del navegador; otro DNS del sistema; excepciones para determinadas aplicaciones;

y varias rutas posibles intentando decidir dónde debía salir cada cosa. El problema no era que me faltaran opciones.

Era que tenía demasiadas oportunidades para que una parte del tráfico tomara una ruta distinta.

La aplicación pequeña resolvía ese problema de una manera bastante poco espectacular: menos caminos. Y en una Wi-Fi que no controlaba, eso me daba más confianza que otro menú avanzado.

A la mañana siguiente cambié mi prueba habitual

Antes de bajar a desayunar abrí el portátil otra vez. Wi-Fi del hotel. VPN.

Conectar. Esta vez no comprobé únicamente mi dirección IP. Miré también el DNS.

Después abrí el correo y el portal del cliente. Todo siguió funcionando.

Ese fue el momento en que decidí cambiar la prueba que haría durante el resto del viaje.

La aplicación pequeña sigue teniendo menos ubicaciones que los proveedores grandes, una trayectoria pública más corta y menos evaluaciones independientes. Si necesito seleccionar una ciudad de salida muy concreta o administrar reglas de red detalladas, un servicio establecido puede ofrecerme más control.

Pero ese no era mi problema en Riad. Control tenía de sobra.

Lo que necesitaba era evitar que una configuración perfectamente «conectada» dejara el DNS tomando una ruta distinta.

Mi proveedor habitual había cambiado correctamente la IP que veía Internet.

La segunda configuración hizo algo más importante para aquella Wi-Fi: sacó también al resolver del hotel de la ecuación.

Después de una campaña que utilizó precisamente el DNS de redes hoteleras para atacar viajeros, esa es la comprobación que ahora haría primero.

No preguntaría únicamente si la VPN ha cambiado mi IP.

Preguntaría si el hotel sigue participando en la búsqueda del sitio que estoy a punto de abrir.