DNS frente a VPN: qué hace realmente cada uno

Hace un par de años cambié los ajustes DNS de mi rúter doméstico, elegí un resolutor que prometía privacidad y me quedé discretamente satisfecho conmigo mismo. Unos meses después compré una suscripción de VPN por la misma razón. Las dos veces creí que me había «vuelto privado». Las dos veces estaba equivocado de un modo interesante, y tuve que husmear un rato a nivel de paquetes antes de entender qué había comprado realmente cada vez.

La confusión es comprensible, porque los dos se venden con las mismas palabras. Pero el DNS y las VPN actúan en puntos completamente distintos de tu conexión, y una vez que ves eso, el resto — fugas, trucos de región, velocidad — encaja solo.

Empieza por saber qué es realmente una consulta

Antes de que tu navegador pueda cargar example.com, necesita que ese nombre se traduzca a una dirección IP. Le pregunta a un resolutor DNS, que responde con algo como 203.0.113.25. Esa pregunta y respuesta es una consulta: diminuta, rápida y separada de la visita en sí. Solo cuando vuelve la respuesta, tu navegador abre una conexión con esa dirección y trae la página.

Mantén esas dos etapas bien separadas en tu cabeza, porque toda la cuestión DNS frente a VPN vive ahí. Cambiar el DNS toca solo la primera etapa. Una VPN se hace cargo también de la segunda.

Qué hace realmente cambiar tu DNS

Cambiar de resolutor — a mano, o usando DNS cifrado en el navegador — cambia quién responde las preguntas. El resolutor de tu ISP deja de ver un diario de cada nombre que consultas, y el nuevo resolutor empieza a verlo en su lugar. Un resolutor con filtrado puede rechazar nombres conocidos por malware o anuncios. Un resolutor ubicado en otro país puede importar para los servicios que deciden qué mostrarte según desde dónde parece venir la consulta, que es todo el truco detrás de los servicios de DNS inteligente.

El ángulo de la región también merece honestidad. Algunos servicios comprueban dónde parece estar tu resolutor, en lugar de dónde estás tú, porque históricamente las consultas eran una aproximación bastante decente de la ubicación. Esa es toda la base del DNS inteligente: ni cifrado ni un túnel, solo respuestas elegidas para apuntarte a un proxy en otro lugar. En el momento en que un servicio comprueba la dirección de tu conexión — como hacen la mayoría —, el truco deja de funcionar, y por eso el DNS inteligente desbloquea algunos catálogos y no hace nada por otros.

Y esa es más o menos toda la lista. La visita en sí no cambia. Tus datos siguen saliendo de tu casa por tu propia conexión, con tu propia dirección IP, y los sitios que visitas te ven exactamente como antes. Tu ISP ya no puede leer las consultas si el tráfico del resolutor va cifrado, pero aún puede ver a qué direcciones IP te conectas. Había cambiado la guía telefónica, no la carretera.

Qué hace realmente una VPN

Una VPN envuelve todo tu tráfico — consultas y descargas de páginas por igual — en un túnel cifrado hasta un servidor gestionado por el proveedor de la VPN. Ese servidor habla entonces con internet en tu nombre. Los sitios web ven la dirección del servidor VPN en lugar de la tuya. Tu ISP ve un único flujo cifrado hacia un único destino y no mucho más.

Pero fíjate en lo que ocurrió en silencio: la confianza no desapareció, se mudó. El proveedor de la VPN puede ahora observar lo que tu ISP observaba antes, porque todo lo que haces pasa por sus máquinas. Una VPN es un cambio de quién vigila, no el fin de ser vigilado, y la palabra «anónimo» en el marketing merece el escepticismo que una explicación sencilla de las fugas DNS aplica a las fugas.

Hay un detalle de fontanería que vale la pena conocer, porque explica las fugas de la siguiente sección. Por debajo, una consulta es un paquetito enviado a la dirección del resolutor — el puerto 53 para el DNS simple — mientras que una VPN mueve todo, cada paquete de cada programa, dentro de su túnel. Cuando las reglas del túnel se olvidan de incluir esos pequeños paquetes de consulta, se escapan por la red normal. Etapas distintas, modos de fallo distintos.

Lado a lado

La última fila es la que los vendedores preferirían que te saltaras. Ninguna herramienta borra las cuentas en las que inicias sesión, las cookies que los sitios guardan o la huella que presenta tu navegador. Inicia sesión en tu correo a través de una VPN y ese servicio sabe exactamente quién eres — solo ve una dirección de retorno distinta.

Una carga de página, de las dos maneras

Hazlo concreto. Escribes el nombre de una tienda en tu navegador con el Wi-Fi de una cafetería. Con solo un cambio de DNS activo, tu consulta va al resolutor que elegiste — cifrada, si así la configuraste — y vuelve con la dirección de la tienda, digamos 198.51.100.25. Luego tu portátil se conecta directamente a esa dirección, a través de la red de la cafetería, a la vista de todos. La tienda ve la dirección real de tu portátil. El router de la cafetería ve adónde fuiste y cuántos datos fluyeron. El diario de nombres se mudó de casa; el viaje no cambió en absoluto.

La misma cafetería, la VPN activada. La consulta ocurre ahora dentro del túnel, respondida por el resolutor de la VPN. La carga de la página también viaja dentro del túnel, hasta el servidor de la VPN, que obtiene la página y te la retransmite. La cafetería ve un único flujo cifrado hacia un único destino. La tienda ve la dirección del servidor de la VPN, en el país del servidor de la VPN. Fíjate, sin embargo, en el espectador: no ha abandonado el teatro. Ha cambiado de butaca, del router de la cafetería a la sala de servidores del proveedor de la VPN.

Hay un híbrido que merece nombre, porque produce informes de fugas desconcertantes: el split tunnelling. Muchos clientes de VPN te permiten eximir aplicaciones elegidas del túnel, de modo que la aplicación del banco usa tu conexión real mientras el navegador viaja por la VPN. Las consultas de esas aplicaciones exentas también viajan fuera, respondidas por tu resolutor ordinario. Eso no es un error ni una traición — es la función funcionando —, pero significa que «la VPN está activada» deja de ser una descripción completa de tu tráfico. Dos carriles, dos conjuntos de testigos, y una prueba de fugas que solo muestrea un carril siempre te contará la mitad de la historia.

El incómodo caso intermedio: fugas DNS bajo una VPN

Aquí es donde los dos chocan. Se supone que una VPN también enruta las consultas por el túnel, usando sus propios resolutores. Pero los sistemas operativos y los navegadores a veces envían las consultas fuera del túnel, al resolutor antiguo, a menudo el del ISP. El tráfico de las páginas queda oculto mientras el diario de consultas se escapa por la puerta lateral — eso es una fuga DNS, y es el motivo por el que un ajuste de DNS cambiado, como los de esta guía para cambiar de servidor, puede luchar en silencio contra una VPN en lugar de ayudarla.

Como las dos herramientas comparten vocabulario, la gente las combina de maneras que se anulan en silencio la una a la otra. Las recurrentes:

• Configurar un resolutor personalizado por privacidad y luego ejecutar una prueba de fugas que culpa a la VPN, cuando las consultas que escapan son tu propio ajuste haciendo exactamente lo que le dijiste que hiciera.
• Comprar DNS inteligente por privacidad. No ofrece ninguna: las consultas son todo su producto, y tu tráfico se queda exactamente donde estaba, bajo tu propia dirección.
• Usar una VPN por motivos de región mientras el DNS cifrado del propio navegador envía las consultas a un resolutor de tu país real. Algunos servicios leen la ubicación aparente de la consulta, así que una mitad de ti parece estar en el extranjero y la otra mitad en casa.
• Apilar ambas herramientas y culpar de la lentitud a la que se instaló en último lugar. El túnel grava cada byte que mueves; el resolutor solo gravó alguna vez las preguntas.

Ninguna de estas configuraciones es exótica. Yo mismo he construido dos de ellas, cada vez añadiendo una herramienta sensata a una configuración que ya tenía una, y sin comprobar nunca qué hacía en realidad la combinación. La comprobación lleva cinco minutos y una pregunta honesta: para una sola consulta, y para una sola carga de página, ¿las máquinas de quién estoy usando en realidad?

Entonces, ¿cuál necesitas tú?

Pregúntate qué intentas arreglar en realidad. ¿Consultas visibles para tu ISP, o respuestas lentas y filtradas? Cambia el resolutor — lleva minutos y no cuesta nada. ¿Conectarte desde una red en la que no confías, o necesitas que los sitios vean otra ubicación de red? Ese es el trabajo de la VPN, túnel incluido. Mucha gente usa razonablemente ambas, configuradas para que la VPN se encargue de las consultas mientras está conectada.

Lo que ninguna compra te da es invisibilidad. Trata cualquier herramienta que prometa eso como un cuento — y si quieres comprobar qué expone realmente tu propia configuración, las consultas son el primer sitio donde mirar.