Por qué un sitio bloqueado sigue cargando después de desconectar la VPN

Un sitio estaba bloqueado, funcionaba mientras la VPN estaba conectada y sigue funcionando después de desconectar la VPN. Eso es una pequeña pieza de evidencia sobre dónde estaba el bloqueo, no una prueba de que el túnel siguiera vigente. Si el bloqueo hubiera estado en la dirección de destino, un nombre en caché no habría ayudado y la conexión seguiría fallando. La carga de la página apunta, en cambio, a la resolución de nombres. Leer bien esa pista te ahorra un largo desvío por las reglas del cortafuegos.

Hay dos lugares donde puede estar un bloqueo, y desde un navegador se ven idénticos.

Dos bloqueos que se ven igual en un navegador

Un bloqueo de nombres ocurre en la resolución. El resolutor devuelve una dirección equivocada, una respuesta vacía o una página de portal cautivo, y el navegador informa de que no se puede llegar al sitio.

Un bloqueo de direcciones ocurre más tarde. El nombre se resuelve correctamente y los paquetes hacia la dirección real se descartan, se redirigen o se reinician. Cambiar el resolutor no hace nada aquí, porque el fallo empieza después de que el nombre ya ha sido respondido.

Solo el primer tipo puede ser transportado por una caché, y eso es lo que hace útil tu observación.

Por qué la respuesta sobrevive al túnel

Las cachés del resolutor se indexan por nombre y se conservan durante el tiempo de vida del registro. El sistema operativo guarda una y el navegador suele guardar otra, así que un solo nombre puede almacenarse dos veces con dos vidas distintas. Conectar o desconectar una VPN no vacía ninguna de las dos; solo cambia a qué resolutor se envían las consultas futuras.

Mientras el túnel estaba activo, la consulta fue al resolutor del proveedor, que devolvió la dirección correcta, y esa respuesta se guardó localmente. Tras la desconexión el navegador preguntó de nuevo, la caché local respondió sin consultar a nadie y la página cargó.

Seguirá cargando hasta que la entrada caduque o alguien vacíe la caché, y entonces vuelve el comportamiento antiguo.

Una prueba de tres pasos que los separa

Hazlo en orden, porque el primero es el único paso que demuestra que la caché estaba transportando la página.

Vacía la caché del resolutor y la del navegador, y recarga. Si el sitio vuelve a fallar, la caché era la razón de que funcionara. Después consulta el mismo nombre por el resolutor que tenías antes de la VPN y por otro distinto, y compara las dos respuestas: una discrepancia sitúa el bloqueo en el nombrado. Si conoces la dirección, intenta llegar a ella sin el nombre, porque el éxito ahí confirma que la dirección en sí no está filtrada.

Qué significa cada resultado para tu siguiente paso

Para un bloqueo de nombres, el cambio directo es un resolutor distinto, y el DNS cifrado cambia quién puede ver y alterar esas consultas. La VPN hacía ese trabajo como efecto secundario.

Para un bloqueo a nivel de dirección, cambiar el resolutor es irrelevante y la teoría de la caché es sencillamente errónea.

Dos fronteras merecen mención antes de que actúes. Si puedes cambiar de resolutor en una red dada es una cuestión de política y no técnica. Y no todas las redes bloquean mediante DNS, así que un resultado describe la red que probaste y no el bloqueo en general. Anota qué resolutor usaste, porque ese detalle es lo que hace la prueba repetible para la siguiente persona.