Nada dejó de funcionar. Ese fue precisamente el problema. Estaba trabajando con el portátil desde el vestíbulo de un hotel de El Cairo, la VPN llevaba varios minutos conectada y una página de comprobación situaba mi dirección IP fuera de Egipto. El correo funcionaba. El portal del cliente también. Iba a cerrar la pestaña cuando ejecuté una prueba DNS por curiosidad. Esperaba ver algo coherente con la conexión protegida. En cambio, apareció un resolutor ligado a la red egipcia que estaba utilizando. Mi IP había salido del país; algunas de las preguntas que hacía el portátil para encontrar sitios todavía parecían seguir otro camino.
El icono verde me había convencido demasiado rápido
Hasta entonces, mi prueba de una VPN era casi infantil.
Conectar.
Comprobar la IP.
Si mostraba la ubicación elegida, seguir trabajando.
Aquella tarde ocurrió exactamente eso.
Mi proveedor habitual era grande, conocido y llevaba años funcionando. Elegí una ubicación europea, la aplicación mostró “Conectado” y el sitio de IP confirmó el cambio.
Para mí, el trabajo técnico había terminado.
El resultado DNS demostró que solo había comprobado una parte.
DNS es el sistema que permite preguntar algo como:
“¿Dónde está example.com?”
antes de que el navegador pueda llegar al servidor correspondiente.
Y esas preguntas también cuentan.
El IETF lleva años señalando que un resolutor DNS puede observar una parte muy amplia de los nombres que un dispositivo intenta localizar. Por eso importa quién recibe esas consultas y por qué camino llegan hasta él.
Cambiar mi IP pública no garantizaba por sí solo que el DNS estuviera siguiendo el mismo túnel.
Ese fue el primer detalle que ya no pude ignorar.
Resumen y contexto
¿Qué demostró la prueba DNS en la red pública de El Cairo?
Cambiar la IP pública no demostraba que las consultas DNS siguieran el mismo túnel. En la Wi‑Fi del hotel, mi IP ya aparecía fuera de Egipto, pero un resolutor ligado a la red egipcia seguía respondiendo. Desde entonces compruebo IP y DNS por separado.
Por qué encaja en esta historia
- Encaja mejor con: Quien trabaja en redes públicas y quiere verificar no sólo dónde aparece su IP, sino también quién recibe las consultas DNS.
- Detalle del artículo: Una fuga DNS no significa que la red vea automáticamente contraseñas o contenido HTTPS, pero sí puede revelar qué nombres intenta resolver el dispositivo.
- Por qué OnlydogVPN encajó aquí: Al usar el modo orientado a privacidad y volver el DNS del sistema a automático, el resolutor local dejó de aparecer en la prueba descrita y la ruta DNS quedó coherente con el túnel.
- Límite: El resultado pertenece a esa red y a esa prueba. “DNS cifrado” y “DNS dentro de la VPN” no son exactamente la misma propiedad, y el proveedor pequeño tiene menos historial público.
Fuentes del artículo: IETF RFC 9076 sobre privacidad DNS; Freedom House sobre el entorno de Internet en Egipto.
Fuente del producto: OnlydogVPN.
Una fuga DNS no significa que el café pueda leer mis contraseñas
También tuve que corregir una conclusión demasiado dramática.
Si una consulta DNS sale fuera del túnel, eso no significa que el operador de la red pueda leer automáticamente mis contraseñas, mis mensajes o todo el contenido de páginas protegidas con HTTPS.
La fuga ocurre antes.
Se parece más a dejar visible el índice de los lugares que intento visitar, aunque lo que hago dentro de ellos continúe cifrado.
Y algunos nombres dicen bastante.
El dominio de un banco.
Una plataforma médica.
El portal de una empresa.
Una herramienta interna cuyo nombre ya revela para quién trabajas.
El RFC 9076 explica precisamente ese problema: una consulta individual puede relacionar al usuario con un nombre determinado, y una sucesión de consultas puede dibujar patrones mucho más ricos.
En una red doméstica ya me parecería una razón para revisarlo.
En el Wi-Fi de un hotel extranjero, quería solucionarlo antes de seguir trabajando.
En Egipto, quién responde al DNS tampoco es una pregunta abstracta
Egipto mantiene desde hace años un entorno de Internet con filtrado y bloqueo de servicios. Freedom on the Net 2025 siguió calificando la red del país como “Not Free” y documentó restricciones de acceso a contenidos y servicios.
Eso no significaba que el resolutor que veía en mi prueba estuviera manipulando mis consultas.
Pero sí hacía mucho más importante distinguir entre dos frases que hasta entonces yo había tratado como equivalentes:
“mi VPN ha cambiado la IP”
y
“mis consultas DNS también están dentro de esa conexión”.
Una discusión pública de junio de 2026 mostraba por qué esa diferencia puede llegar a sentirse en el uso diario. Un usuario en Egipto relataba que Reddit había dejado de funcionar con normalidad y que el acceso volvió después de cambiar al DNS de Cloudflare.
Ese caso no demuestra qué había provocado el bloqueo.
Lo útil para mí era otra cosa:
cambiar únicamente el resolutor podía cambiar el resultado.
Y yo acababa de descubrir que, con la VPN conectada, ni siquiera tenía claro qué resolutor estaba usando mi portátil.
Cambiar de servidor no cambió quién respondía al DNS
Volví a mi proveedor grande.
Otra ubicación.
Reconectar.
La IP cambió.
Repetí la prueba DNS.
El mismo tipo de resultado.
Probé una tercera salida.
Otra vez, la dirección pública hizo exactamente lo que debía.
El DNS seguía sin acompañarla como yo esperaba.
Aquella secuencia terminó siendo útil porque eliminó una explicación fácil.
No me faltaban servidores.
La VPN sí estaba cambiando mi IP.
El problema era otro:
yo quería una sola ruta coherente desde la primera consulta DNS hasta la conexión final.
Y seguir cambiando países no estaba creando esa coherencia.
Mi siguiente solución solo cambió de observador
Entré en los ajustes de red y configuré manualmente un DNS público conocido.
Reconecté.
Nueva prueba.
El resolutor egipcio desapareció.
Por un momento pensé que ya estaba.
Pero había resuelto una pregunta distinta.
Antes preguntaba a la red local.
Ahora preguntaba directamente a otra empresa de DNS.
Eso puede ser útil, especialmente cuando la consulta viaja cifrada.
Pero no era lo que yo buscaba aquella tarde.
No quería limitarme a cambiar quién recibía las consultas fuera del túnel.
Quería que esas consultas viajaran dentro de la misma conexión protegida que estaba usando para el resto del trabajo.
Había cambiado de recepcionista.
Las preguntas seguían entrando por una puerta distinta.
Un incidente de 2026 hizo que esa diferencia dejara de parecer académica
En julio de 2026, ReliaQuest publicó una investigación sobre una campaña que comprometía gateways Wi-Fi de hoteles y centros de conferencias.
Los atacantes utilizaban manipulación DNS para redirigir a viajeros hacia infraestructura bajo su control, incluida la imitación de servicios como Microsoft 365. Entre las medidas recomendadas por los investigadores estaba precisamente usar una VPN de túnel completo que llevara también el DNS por una infraestructura de confianza.
Eso no significaba que mi hotel de El Cairo estuviera comprometido.
Pero sí cambió el peso de aquella pequeña línea del test.
La consulta DNS ocurre antes de que llegue al sitio que quiero abrir.
Si dejo esa primera parte fuera de la conexión que considero protegida, sigo confiando en una pieza de la red pública que precisamente quería evitar.
Y yo estaba a punto de entrar en Microsoft 365 para descargar documentación de un cliente.
Ya no quería seguir apilando ajustes.
Quité mis cambios de DNS antes de probar la siguiente VPN
Volví a dejar el DNS del sistema en automático.
Cerré el navegador.
Desconecté el proveedor anterior.
Entonces abrí OnlydogVPN↗ y elegí el modo orientado a privacidad.
No tuve que combinar una lista de servidores con otra de resolutores.
Conecté.
Abrí el navegador.
Primero repetí el test de IP.
La dirección había cambiado.
Después repetí el test DNS.
Esta vez el resultado acompañaba a la conexión activa: el resolutor de la red pública que había aparecido al principio ya no estaba allí.
Recargué la prueba.
Mismo resultado.
Abrí Microsoft 365.
Entré en la carpeta del cliente.
Descargué el documento.
Lo revisé.
Lo volví a subir.
Después ejecuté la prueba una vez más.
La ruta seguía siendo coherente.
Ese fue el momento en que el icono verde dejó de ser mi prueba principal.
Ya tenía una mejor.
Lo que me gustó no fue un “DNS mágico”
El servicio pequeño no había descubierto un servidor DNS secreto.
Había hecho algo más útil para mi problema:
dejar de tratar la resolución de nombres como una pieza separada que yo tenía que coordinar a mano.
Las pruebas de producto del servicio describen precisamente ese enfoque: al retirar configuraciones DNS externas en conflicto y utilizar el modo de privacidad, DNS y navegación permanecen dentro de una ruta coherente asociada al túnel.
Antes tenía cuatro piezas intentando decidir por su cuenta:
el Wi-Fi público;
la VPN;
el DNS configurado en el sistema;
y mis propios cambios manuales.
Ahora tenía una sola tarea.
Privacidad.
Conectar.
Y después una prueba visible de que el DNS ya no seguía escapando por la conexión local.
Para mí, quitar decisiones terminó siendo más útil que añadir otro proveedor DNS.
“DNS cifrado” y “DNS dentro de la VPN” no son exactamente lo mismo
Esta fue probablemente la parte técnica más útil que me llevé.
DNS over HTTPS o DNS over TLS puede impedir que la red local vea directamente el contenido de las consultas.
Eso ya es una mejora.
Pero todavía queda otra pregunta:
¿a qué resolutor estoy preguntando y por qué ruta llego hasta él?
El IETF señala precisamente que los dispositivos modernos pueden tener DNS gestionado por el sistema, por el navegador o incluso por aplicaciones concretas, y que esas decisiones pueden cambiar al pasar de una red a otra.
Por eso acumular herramientas de privacidad no siempre crea una configuración más privada.
A veces crea varias capas intentando mandar al mismo tiempo.
En mi caso, la solución fue simplificar.
La aplicación pequeña sigue teniendo menos historial que mi proveedor habitual
La diferencia existe.
Tiene menos regiones disponibles que los grandes servicios, menos años de historia pública y menos evaluaciones independientes acumuladas.
Si mi prioridad fuera una enorme selección geográfica, el proveedor establecido conservaría una ventaja clara.
Pero una fuga DNS había reducido mucho mi criterio.
Ya no necesitaba veinte países.
Necesitaba responder una pregunta:
cuando escribo el nombre de un sitio desde este Wi-Fi público, ¿esa primera consulta sigue dentro de la conexión en la que acabo de confiar?
Mi primer proveedor cambiaba correctamente la IP, pero la prueba seguía mostrando una ruta DNS que no quería.
El servicio pequeño hizo que ambas cosas coincidieran.
En aquel vestíbulo de El Cairo, eso pesó más que el tamaño del mapa.
Al final, lo más inquietante fue precisamente que Internet seguía funcionando
No hubo pantalla de error.
No cayó ninguna videollamada.
No apareció un aviso enorme diciendo:
“Tu DNS está saliendo por otro lado.”
La IP parecía correcta.
Las páginas cargaban.
Podía haber trabajado toda la tarde sin notarlo.
Eso fue lo que cambió mi manera de comprobar una VPN en una red pública.
Ahora no me basta con preguntar:
“¿Dónde dice que está mi IP?”
Pregunto también:
“¿Quién responde cuando mi portátil intenta encontrar el siguiente sitio?”
En El Cairo, la diferencia apareció en una pequeña lista de resultados DNS.
Mi primer proveedor había sacado mi dirección pública de Egipto.
Pero una parte de la conversación con Internet todavía empezaba allí.
El servicio pequeño resolvió algo mucho menos visible que una página bloqueada:
hizo que la pregunta sobre adónde quería ir viajara por el mismo túnel que utilizaba para llegar hasta allí.
Preguntas frecuentes
¿Qué es una fuga DNS en este contexto?
Es una situación en la que las consultas para resolver nombres salen por un resolutor distinto del esperado por el túnel VPN, aunque la IP pública ya haya cambiado.
¿Una fuga DNS permite leer mis contraseñas?
No por sí sola. El artículo distingue entre observar nombres consultados y leer el contenido protegido de conexiones HTTPS.
¿Cómo comprobé la VPN en la red pública?
Hice dos pruebas separadas: una para la IP pública y otra para los resolutores DNS. La primera parecía correcta antes de que la segunda revelara el problema.
¿Cambiar manualmente a un DNS público resuelve necesariamente la fuga?
No necesariamente. Puede cambiar quién resuelve las consultas sin demostrar que esas consultas viajen dentro del mismo túnel VPN; por eso el artículo terminó valorando una ruta coherente.