Por qué una etiqueta de país en DNS no demuestra una fuga de VPN

Las direcciones de resolutor con aspecto extranjero aparecen constantemente en los resultados de pruebas de DNS, y la conclusión a la que llega la gente es siempre la misma: las consultas debieron escapar del túnel. A veces lo hicieron. Más a menudo el informe describe qué servicio recursivo respondió y dónde cree una base de datos que se sitúa esa dirección, y eso es una afirmación sobre la infraestructura, no sobre tus paquetes. Separar la observación de la inferencia requiere tres hechos: quién respondió, cómo viajó el nombre y qué política configuraste realmente.

Lee qué observó realmente la prueba

La mayoría de las páginas de prueba funcionan igual: piden al cliente que resuelva un nombre de host único y luego buscan qué resolutor lo trajo, o simplemente devuelven la dirección de resolutor que el cliente informa. Eso identifica un servicio recursivo y, si la consulta llevaba información de subred del cliente, una ubicación de red aproximada. No demuestra que la consulta saliera del dispositivo fuera del túnel, y desde luego no demuestra que se usara el mismo camino para cada nombre. Una sola observación de una búsqueda se generaliza a una afirmación sobre todo el tráfico.

Una prueba que muestra la dirección del resolutor es más útil que una insignia de país, porque la dirección se puede comparar con la lista de resolutores que el cliente recibió realmente.

Anycast y reenvío explican la mayoría de las sorpresas

Los grandes resolutores públicos anuncian la misma dirección desde muchos lugares, y la red encamina cada consulta al sitio que está más cerca en términos de enrutamiento. Después, una base de datos de geolocalización asigna esa dirección a un solo lugar, que puede ser una dirección de registro corporativo en otro continente o un centro de datos que no es el que responde. RFC 4786 cubre la práctica operativa de los servicios anycast y la dificultad de asociar esa dirección con un lugar físico. El mapa es una simplificación de una decisión de enrutamiento, y simplifica en la dirección que produce resultados alarmantes.

El reenvío añade una segunda capa. Un resolutor stub local, un router o un resolutor del ISP pueden pasar las consultas a un servicio superior, y el nombre que aparece en la prueba refleja el último operador de esa cadena, no el primero. Las extensiones de subred del cliente pueden hacer que una respuesta superior se ajuste a tu red mientras hacen que la ubicación informada parezca un lugar donde nunca has estado.

Por tanto, un resolutor configurado puede ser correcto y aun así producir un resultado de aspecto extranjero, y un resolutor en tu propio país puede ser el equivocado porque pertenece a una parte que no elegiste.

Quién recibió el nombre, y por qué ruta

Dos preguntas responden la parte práctica: qué servidor usa el cliente y si se llega a ese servidor a través del túnel. Compara la lista de resolutores con la dirección del resultado de la prueba antes de sacar conclusiones sobre el enrutamiento, y luego comprueba que la consulta a esa dirección sale por la interfaz del túnel. Si las dos direcciones difieren, el hallazgo interesante es que algo reescribió o evitó el resolutor previsto, lo que merece una mirada más atenta que el nombre del país.

resolvectl query example.com
resolvectl status | grep -A3 'DNS Servers'
dig +short TXT whoami.akamai.net

El primer comando muestra qué servidor respondió por un nombre, el segundo muestra la lista configurada y su alcance, y el tercero informa de la dirección del resolutor tal como la ve un servicio público. Cuando los tres coinciden, la política hace lo que se le configuró, diga lo que diga la etiqueta de país.

Compara con la política que elegiste

Una VPN que impone un resolutor, un navegador configurado para usar su propio DNS cifrado y un sistema operativo que prefiere la configuración de una interfaz pueden ser correctos por separado mientras se contradicen en conjunto. Los navegadores modernos pueden enviar consultas por un transporte cifrado a un proveedor elegido dentro del navegador, lo que omite deliberadamente la lista de resolutores del sistema. Eso no es una fuga en el sentido de un túnel roto; es una política elegida en otro lugar, y encontrar dónde se eligió es la tarea real.

Los dispositivos de trabajo añaden reglas por dominio: los nombres internos deben ir al resolutor de la organización mientras que todo lo demás sigue el valor por defecto. Sustituir esa disposición porque una página de prueba mostró un país inesperado es como los nombres internos dejan de resolverse para todo un equipo.

Mantén las pruebas estrechas y seguras

Consultar un servicio de prueba público por un nombre de host interno revela el nombre a una parte que no tiene nada que ver, y la respuesta no te dice nada que no dijera leer la lista de resolutores localmente.

Usa en cambio nombres que revelen infraestructura, registra la dirección del resolutor, el alcance y la interfaz usada, y compara ese registro con la intención documentada. La etiqueta del mapa es contexto para una conversación, no un resultado de aprobado o suspenso, y tratarla como un veredicto produce cambios de configuración en lugar de diagnóstico.