Smart DNS no es una VPN: qué cambia de verdad ese ajuste de DNS

Apuntas el televisor a un resolutor de Smart DNS, una aplicación de streaming empieza a funcionar y la conclusión se escribe sola: esto es una VPN que cuesta menos y se instala más rápido. No lo es, y la diferencia no es pedantería. Lo que cambió es la respuesta que recibió el televisor cuando preguntó dónde vive un nombre de host; lo que no cambió es que cada paquete sigue saliendo de tu casa en claro, por el mismo camino, desde la misma dirección que el ISP ya conoce. El mito es que un ajuste de DNS es un túnel. La realidad es más estrecha y más útil en cuanto la ves.

El mito: un cambio de DNS redirige tu tráfico

El DNS corriente le dice a una aplicación dónde conectarse. Un servicio de Smart DNS responde a nombres de host seleccionados con direcciones que pertenecen a la infraestructura del propio proveedor, así que la aplicación se conecta allí en lugar de al servicio directamente. Después el proveedor retransmite ese único flujo al destino real. Nada más del dispositivo se mueve.

Por eso el truco funciona en un televisor o una consola. No hay cliente, ni interfaz, ni entrada en la tabla de rutas, ni capa de cifrado. El dispositivo hace exactamente lo que siempre hizo: resolver un nombre y conectarse a lo que vuelva. Cambiaste la respuesta, no el camino de cada paquete.

La etiqueta también la usan proyectos de DNS no relacionados, así que consulta la documentación del propio proveedor en lugar de suponer un conjunto de funciones a partir del nombre. No existe un protocolo Smart DNS estándar; la cobertura de un producto no dice nada fiable sobre otro.

Qué se dirige realmente y qué no

La distinción es fácil de ver cuando la enumeras por flujo en lugar de por dispositivo.

Puedes verlo ocurrir. Pregunta al resolutor del proveedor por un nombre de host y pregunta lo mismo a un resolutor público:

dig +short @<provider-resolver> example-stream.example
dig +short @1.1.1.1 example-stream.example

Respuestas distintas significan direccionamiento en la capa de nombre. La misma respuesta significa o bien que el servicio no cubre ese nombre o bien que el dispositivo no usa ese resolutor — un fallo que parece una mala configuración de DNS y que a menudo se confunde con una cuenta rota.

Hay un segundo fallo con el mismo olor. Muchos proveedores autorizan por la dirección pública que usas ahora, así que la cuenta funciona hasta que la dirección cambia. La rotación de NAT de grado operador, o una VPN encima, mueve esa dirección y el repetidor te rechaza, mientras la resolución sigue teniendo éxito. La entrada del registro es un control de acceso, no prueba de una salida exclusiva.

El DNS cifrado es una tercera cosa del todo

DNS sobre HTTPS y DNS sobre TLS protegen el intercambio entre tu dispositivo y el resolutor. Cifran y autentican la consulta para que la red local no pueda leerla ni reescribirla, y DoH la lleva en tráfico HTTPS corriente por el puerto 443, que es también la razón de que parezca tráfico web a un filtro. Es una función de confidencialidad para las consultas.

Dirigir un servicio es otra función: la propia respuesta apunta a un intermediario. Un producto puede ofrecer ambas cosas a la vez, y muchos lo hacen, pero una no implica la otra. Cifrar tus consultas nunca ha movido un solo byte de vídeo por otro país.

Así que «DNS cifrado» responde a una pregunta sobre quién puede leer tus consultas. No responde quién puede ver tu tráfico, y no te da una dirección de salida nueva. La especificación de DNS over HTTPS es la referencia correcta para lo que cubre esa protección, y no dice nada sobre el enrutamiento.

Quién ve qué en cada arreglo

Con Smart DNS, el resolutor ve los nombres que consultas, el repetidor del proveedor ve las conexiones que transporta, y tu ISP sigue viendo todo lo demás en estructura de texto abierto: a qué direcciones te conectaste, cuándo y cuánto. El contenido sigue protegido por TLS hasta el destino en el flujo dirigido, así que el repetidor reenvía una sesión cifrada que no puede leer — pero puede ver que te conectaste, desde dónde y durante cuánto tiempo.

Con una VPN, el operador del túnel ve tu tráfico y tus destinos, lo que es una única decisión de confianza concentrada, y tu ISP solo ve un flujo cifrado hacia un punto final. Una exposición distinta, no automáticamente menor. Ninguno de los dos modelos debería juzgarse por si se abre un sitio.

La velocidad sigue el camino, no la etiqueta. Un repetidor selectivo puede mantener el tráfico no relacionado fuera de un desvío, lo que es una ventaja real para un dispositivo que de otro modo lo tunelizaría todo. Tampoco es una garantía, y ningún arreglo promete acceso permanente a un servicio que intenta detectarlo activamente.

Cuándo Smart DNS es la herramienta adecuada

Es de verdad la herramienta adecuada cuando el dispositivo no puede ejecutar ningún cliente de VPN — un televisor, una consola, un decodificador con la pila de red bloqueada — y cuando solo importa un servicio con nombre. También es razonable cuando deliberadamente no quieres que cada paquete de ese dispositivo pase por un túnel.

Es la herramienta equivocada cuando el requisito es cifrado, una dirección de salida para todo el dispositivo o protección frente a la red local y el ISP. Son propiedades de túnel, y ningún ajuste de resolutor las produce. Y si mantienes una VPN en el mismo dispositivo, espera que la autorización basada en el registro se rompa, porque tu dirección pública ahora es la del túnel.

Recorre esta decisión en orden y detente en la primera línea que sea cierta:

• ¿Necesitas el tráfico cifrado y todo el dispositivo en una salida nueva? Usa una VPN y revisa sus rutas y exclusiones, no su indicador de conectado.
• ¿Solo necesitas unos pocos servicios con nombre en un dispositivo que no puede tunelizar? Smart DNS es proporcionado.
• ¿Necesitas tus consultas privadas pero sin mover tu tráfico? Eso es DNS cifrado, que no es ninguna de las anteriores.
• ¿El proveedor depende de tu dirección actual? Espera una rotura en el momento en que cambie.