Test de fugas de VPN: IPv6, DNS y WebRTC

La VPN dice conectada, la IP principal ya es de otro país y aun así tu compañía o la página que visitas pueden ver tu dirección real. Las tres fugas más comunes, cómo detectarlas en un minuto y la solución concreta para cada una.

Test de IPv6, cuál es mi IPv6, cuál es mi IPv4: en España estas búsquedas suman más de mil al mes, y buena parte viene de gente que acaba de conectar una VPN y quiere comprobar que funciona. Es la actitud correcta, porque una VPN puede estar conectada y aun así dejar escapar tu dirección. Vale igual para el celular y el móvil que para el ordenador o la computadora: las fugas son las mismas y se detectan igual.

Qué es una fuga y por qué no se nota

Una VPN mete tu tráfico en un túnel cifrado y lo saca a internet desde otro servidor. Una fuga es cualquier fragmento de ese tráfico que, por configuración del sistema, del navegador o de la propia VPN, toma otro camino y sale directamente por tu conexión.

Lo traicionero es que todo sigue funcionando. Las páginas cargan, la app dice conectada y el comprobador de IP principal muestra un país lejano. La fuga solo aparece si miras las líneas concretas donde se produce.

Fuga uno: IPv6

Cada vez más conexiones de fibra y de datos móviles en México y en España tienen IPv6 activado junto a IPv4. Si tu VPN solo transporta IPv4, el sistema enviará por su cuenta todo lo que pueda ir por IPv6, fuera del túnel, con tu dirección real.

Es la fuga más grave de las tres, porque no se limita a metadatos: es tráfico real saliendo sin protección, y muchas webs grandes prefieren IPv6 cuando está disponible.

Cómo detectarla: en un comprobador con la VPN conectada, mira la línea de IPv6. Si muestra una dirección de tu compañía, está fugando. Si dice que no hay IPv6 o muestra una del servidor de la VPN, estás bien.

Cómo cerrarla: usa una configuración que cubra ambos protocolos. En un perfil AmneziaWG eso significa que el campo AllowedIPs incluya 0.0.0.0/0 y también ::/0; en apps VLESS, que actives el modo TUN. Nuestros perfiles vienen así: como nuestras salidas son solo IPv4, el IPv6 entra en el túnel y se descarta ahí, en lugar de escaparse por fuera. Si tu proveedor no admite IPv6, la alternativa es desactivar IPv6 en el adaptador mientras usas la VPN.

Fuga dos: DNS

Antes de abrir cualquier página, tu dispositivo pregunta a un servidor DNS qué dirección corresponde a ese nombre. Si esa consulta sigue yendo al DNS de tu compañía, sea Telmex, Totalplay, Movistar o Digi, tu proveedor tiene la lista completa de dominios que visitas, con hora, aunque no pueda leer el contenido.

En España, además, los operadores deben conservar datos de tráfico doce meses por la Ley 25/2007. Una fuga DNS alimenta exactamente esos registros.

Causas habituales:

• La configuración no fija un DNS. Si el perfil no fija un DNS, por ejemplo cuando falta esa línea en la sección Interface de un perfil AmneziaWG, el sistema sigue usando el de tu red.
• Windows pregunta a todos los adaptadores a la vez. La resolución multi-hogar envía la consulta por todas las conexiones y usa la respuesta más rápida, que suele ser la de tu compañía.
• El navegador tiene su propio DNS. Chrome y Firefox pueden usar DNS seguro hacia Cloudflare o Google, saltándose el que configuró la VPN.

Cómo cerrarla: asegúrate de que el túnel incluye un DNS, desactiva el DNS seguro del navegador mientras uses una VPN de confianza y, en Windows, desactiva la resolución multi-hogar desde las directivas de grupo, en Configuración del equipo, Plantillas administrativas, Red, Cliente DNS.

• Que las páginas carguen bien no prueba que el túnel funcione. Una fuga no rompe nada que se vea; por eso sobrevive tanto tiempo.

Fuga tres: WebRTC

WebRTC es la tecnología que usan los navegadores para videollamadas sin instalar nada. Para conectar dos personas, el navegador descubre las direcciones por las que puede comunicarse, y cualquier página puede pedirle esa lista con unas líneas de código, sin permiso ni aviso.

Los navegadores modernos ya ocultan tu IP local sustituyéndola por un nombre aleatorio. Lo que aún puede escapar es tu IP pública real, si parte del tráfico del navegador sale por fuera del túnel, algo habitual con VPN mal configuradas o extensiones de navegador que solo protegen algunas pestañas.

Cómo cerrarla:

• Usa una VPN de sistema, no una extensión. Las extensiones de VPN para el navegador suelen dejar WebRTC fuera del túnel.
• Firefox: en about:config, cambia media.peerconnection.enabled a false si no necesitas videollamadas en el navegador.
• Chrome: instala la extensión oficial WebRTC Network Limiter, de Google, y elige usar solo la interfaz de la conexión VPN.
• Brave: en Privacidad y seguridad, ajusta la política de gestión de IP de WebRTC para desactivar las conexiones UDP sin proxy.

La prueba completa, en un minuto

• Sin VPN, abre cyphervpn.net/es/check y anota tu IPv4, tu IPv6, el DNS y la IP de WebRTC. Es tu referencia: así se ve una fuga.
• Conecta la VPN y recarga la página.
• Compara línea por línea. Nada de lo que anotaste debe reaparecer. Si una sola línea muestra tu compañía, esa es la fuga que tienes que cerrar.
• Cambia de red y repite. Algunas fugas solo aparecen al pasar del wifi a los datos, justo cuando la VPN se reconecta.

Un último detalle que delata aunque no haya fugas técnicas: la zona horaria y el idioma. Si tu IP dice Finlandia pero el reloj del navegador marca Ciudad de México o Madrid, la incoherencia se nota. Nuestro comprobador también lo señala.

FAQ

¿Cómo sé si mi VPN tiene fugas?

Haz la prueba sin VPN, anota lo que ves, conéctala y repite. Si alguna línea, IPv4, IPv6, DNS o WebRTC, sigue mostrando tu compañía de internet, hay una fuga en esa parte.

¿Qué es más grave, una fuga de DNS o de IPv6?

La de IPv6, porque deja salir tráfico real con tu dirección. La de DNS expone la lista de dominios que visitas, lo que ya es mucho, pero no el tráfico en sí.

¿Un kill switch evita las fugas?

No por sí solo. El kill switch corta la conexión si el túnel se cae; las fugas ocurren con el túnel funcionando. Resuelven problemas distintos y conviene tener ambos.

¿Por qué tengo IPv6 si nunca lo activé?

Porque tu compañía lo activa en la conexión y los sistemas operativos lo usan por defecto. En muchos hogares y en datos móviles funciona sin que el usuario haga nada.

¿Las extensiones de VPN del navegador tienen fugas?

A menudo sí. Protegen solo el tráfico del navegador que pasa por la extensión, y WebRTC puede quedar fuera. Para privacidad real, usa una VPN de sistema que cubra todo el dispositivo.

→ Para empezar desde cero: ¿Cuál es mi IP? Qué dice de ti →