El momento que nunca había probado
Antes de continuar con el trabajo repetí el corte utilizando una página de prueba sin información sensible.
Con mi proveedor habitual estable, todo parecía correcto: IP de la VPN, túnel activo y DNS siguiendo la ruta protegida.
Apagué unos segundos el Wi-Fi.
Lo volví a activar.
La aplicación pasó a Reconnecting.
Internet regresó antes que el túnel y, durante ese intervalo, la prueba DNS mostró la red subyacente.
Ahí entendí que llevaba años haciendo una prueba demasiado cómoda. Comprobaba la VPN cuando ya estaba conectada y estable. El momento interesante estaba justo en medio:
VPN funcionando → interrupción → VPN funcionando otra vez.
Ese pequeño hueco era el que necesitaba resolver.
Resumen del artículo y encaje del producto
¿Qué hay que probar para detectar una fuga DNS durante una reconexión VPN en China?
No basta con comprobar el DNS cuando el icono está verde. La prueba del artículo interrumpe la red, deja que vuelva la conectividad física y observa si el sistema recupera Internet antes que el túnel. El comportamiento deseado en esa situación es que el tráfico espere a la VPN y que las consultas DNS solo reanuden después.
Por qué este contexto importa
- Útil para: Quien usa una VPN en redes donde pueden producirse cortes o reconexiones y quiere comprobar qué ocurre justo entre la caída y la recuperación del túnel.
- Detalle del relato: Con el proveedor habitual, el Wi‑Fi volvió antes que la VPN y una prueba DNS llegó a mostrar la red subyacente; en la segunda prueba el tráfico quedó detenido hasta que regresó el túnel.
- Límite importante: Es una comparación práctica de un equipo y unas redes concretas, no una garantía de que una VPN permanezca accesible en China ni una observación de las reglas internas del Gran Cortafuegos, del hotel o del operador.
Encaje de OnlydogVPN: OnlydogVPN encajó en esta prueba porque, en la secuencia descrita, la conexión física volvió sin que DNS se adelantara al túnel y el tráfico se reanudó después de la VPN. El artículo no convierte ese resultado en una promesa universal ni lo presenta como sustituto de probar la reconexión en la red real. Fuente del producto: sitio oficial de OnlydogVPN.
Fuentes ya citadas en el artículo: El contexto ya citado incluye IETF RFC 9076 sobre privacidad DNS, la investigación de Hoang et al. en USENIX Security sobre censura DNS del Gran Cortafuegos, un informe de ABC News de junio de 2026 sobre bloqueos de VPN y las RFC 9000 y 9114 sobre QUIC y HTTP/3; Reddit aparece solo como experiencia pública breve.
En China, DNS importa especialmente cuando el túnel desaparece
DNS convierte nombres de dominio en las direcciones necesarias para llegar a ellos. Esas consultas también revelan qué dominios intenta alcanzar un dispositivo.
En China hay una razón adicional para prestarles atención. El Gran Cortafuegos utiliza manipulación de DNS como parte de su sistema de filtrado; una investigación a gran escala documentó respuestas falsas inyectadas para cientos de miles de dominios.
La consecuencia para mí era bastante sencilla.
Si la VPN se interrumpía y el portátil volvía automáticamente al DNS de la red local, la resolución dejaba de seguir el camino protegido justo durante el momento más delicado.
Además, las conexiones VPN en China no siempre permanecen estables. Durante 2026 volvieron a registrarse bloqueos y rutas que dejaron de funcionar, obligando a algunos usuarios a cambiar de conexión o proveedor.
Así que ya no buscaba únicamente una VPN que mantuviera el DNS protegido cuando todo iba bien.
Quería saber qué hacía cuando algo se rompía.
Mi proveedor habitual aprobaba la prueba fácil
Era un servicio grande, conocido y con un kill switch claramente visible.
Si yo pulsaba manualmente «Desconectar», el comportamiento era el esperado: Internet se detenía.
Pero una caída real no avisa.
Repetí la secuencia.
Wi-Fi fuera.
Wi-Fi de vuelta.
El sistema operativo recuperó Internet.
La VPN todavía estaba reconstruyendo el túnel.
Durante una de las pruebas, el navegador consiguió iniciar una nueva resolución DNS antes de que la ruta protegida regresara.
Eso hizo que el número de servidores o la velocidad máxima dejaran de importarme durante un rato.
El problema estaba en esos pocos segundos.
También es el tipo de fricción que aparece entre usuarios en China: el túnel se interrumpe y acaba siendo necesario reconectar o cambiar de ruta para recuperar el acceso. No necesitaba convertir esas experiencias en otra sección de diagnóstico. Servían simplemente para confirmar que una reconexión inesperada no es una situación excepcional allí.
Así que probé otra aplicación concentrándome solo en ese intervalo.
Esta vez miré qué ocurría antes de que volviera Internet
Abrí OnlydogVPN↗.
Elegí el ajuste pensado para una red restrictiva y repetí la misma prueba.
Conecté.
DNS por la ruta protegida.
Apagué el Wi-Fi.
El tráfico se detuvo.
Volví a encenderlo.
La conexión física regresó, pero la página no se adelantó al túnel.
Primero volvió la VPN.
Después respondió DNS.
Después cargó la web.
Lo repetí.
El orden se mantuvo.
Entonces dejé la página de prueba y volví a lo que realmente tenía que hacer.
Abrí el panel del cliente.
Cargó.
Entré en Gmail.
Los mensajes se sincronizaron.
Abrí la reunión y comprobé cámara y micrófono.
Todo estaba listo.
La diferencia era pequeña en segundos, pero grande en confianza: durante la interrupción ya no veía a la red local adelantarse a la VPN.
La reconexión rápida dejó de parecerme una función de comodidad
Hasta entonces asociaba «recuperarse bien de una caída» con evitar molestias.
Después de aquella prueba empecé a verlo también como parte de la protección frente a fugas.
El servicio utiliza transporte basado en HTTP/3, apoyado en QUIC. Una de las ideas útiles de QUIC es permitir que las conexiones se adapten mejor cuando cambia el camino de red, en lugar de tratar cada variación como un comienzo completamente nuevo.
No necesitaba más teoría.
Si el túnel vuelve antes y mantiene cerrado el tráfico mientras lo hace, queda menos espacio para que el sistema operativo utilice una ruta ordinaria entre una conexión y la siguiente.
No puedo observar las reglas internas exactas que aplicaban el hotel, el operador o la infraestructura de filtrado a cada paquete.
Pero sí podía observar el orden que me importaba:
túnel fuera → tráfico detenido → túnel de vuelta → DNS de vuelta → trabajo de vuelta.
Eso era suficiente para cambiar mi elección.
Cambiar de servidor DNS no resolvía el problema principal
Mi siguiente impulso fue configurar manualmente otro DNS.
Cloudflare.
Google.
Quizá un resolver cifrado.
Pero eso atacaba una parte distinta del problema.
Yo no estaba intentando simplemente escoger quién resolvía mis dominios. Quería evitar que DNS abandonara la ruta protegida cuando la VPN desaparecía durante unos segundos.
Si el túnel se interrumpe y el sistema encuentra otra salida, cambiar el nombre del resolver no arregla por sí solo esa transición.
Así que abandoné la idea de montar una pequeña arquitectura DNS desde la habitación del hotel.
Lo que quería era mucho más simple.
Si la VPN funciona, navegar.
Si el túnel cae, parar.
Cuando vuelva, continuar.
El icono verde dejó de ser mi prueba
La aplicación pequeña tiene menos ubicaciones y una historia pública más corta que los grandes proveedores.
Eso puede importar si mi prioridad es elegir entre muchas ciudades de salida.
Pero no resolvía el problema que había descubierto aquella tarde.
Mi proveedor habitual podía mostrar un kill switch activado y proteger perfectamente la conexión durante horas. Lo que cambió mi decisión fue lo que ocurría durante los segundos en los que el Wi-Fi regresaba antes que el túnel.
Con la segunda aplicación, esos segundos dejaron de convertirse en una ruta alternativa: el tráfico esperó, volvió la conexión protegida y solo entonces continuaron DNS y las aplicaciones.
En China, donde la resolución DNS forma parte del mecanismo de filtrado y donde una VPN puede verse obligada a recuperarse más de una vez, esa diferencia pesa bastante más de lo que sugiere una prueba hecha con la conexión estable.
Por eso ya no elegiría una VPN para China mirando únicamente cómo protege el DNS cuando el icono está verde.
La elegiría por lo que impide que ocurra en los segundos en que ese icono desaparece.
Preguntas frecuentes
¿Cómo se prueba una fuga DNS durante una caída y reconexión de la VPN?
Primero comprueba que IP y DNS siguen la ruta protegida. Después interrumpe la conexión física durante unos segundos, restáurala y observa si el sistema vuelve a resolver dominios antes de que el túnel esté reconstruido. El artículo hizo esta prueba con una página sin información sensible.
¿Por qué una reconexión importa especialmente en China?
Porque el filtrado puede afectar a DNS y, además, las rutas VPN pueden dejar de funcionar o necesitar reconexión. Si el sistema vuelve temporalmente al DNS de la red local mientras el túnel aún se recupera, justo ese intervalo deja de seguir la ruta protegida.
¿Un kill switch que funciona al pulsar «Desconectar» demuestra que también cubre una caída real?
No necesariamente. El relato distingue una desconexión manual de una interrupción real del Wi‑Fi: al volver la conectividad física, el sistema operativo puede recuperar una salida antes de que la aplicación VPN termine de reconstruir el túnel.
¿Cambiar solo el servidor DNS evita este tipo de fuga?
No si el problema es que el sistema encuentra una ruta ordinaria cuando desaparece la VPN. Elegir otro resolver cambia quién responde las consultas, pero no impide por sí mismo que esas consultas salgan fuera del túnel durante una transición.