Guía
Cómo comprobar que tu VPN funciona
Seis comprobaciones que indican si el túnel transporta tu tráfico, en el orden que detecta primero los fallos habituales. Ninguna necesita software aparte de un navegador, y cada una demuestra una sola cosa. Redactado para los clientes de finales de 2026.
Qué demuestra esto
Un cliente que indica conectado está informando de su propio estado, no de adónde va tu tráfico. Las seis comprobaciones siguientes responden a la segunda pregunta. Hazlas una vez después de instalar el cliente, otra después de cada actualización del cliente o del sistema y otra en cualquier red que no hayas usado antes. En conjunto llevan unos minutos; las tres primeras, uno.
Conéctate primero a la salida que usas normalmente. Después baja por la lista en orden: cada comprobación presupone que la anterior ha pasado, y los fallos habituales están al principio.
1. Tu dirección ha cambiado
- Abre cualquier página de «cuál es mi IP» y lee la dirección y el país que muestra. El país tiene que coincidir con la salida que elegiste; la dirección tiene que ser una que no reconozcas como propia.
- Desconéctate y vuelve a cargar la misma página. La dirección debería volver a ser la tuya. Si no lo hace, la página está en la caché o hay un segundo túnel interfiriendo, y el primer resultado no demostró nada.
- Vuelve a conectarte y carga la página una vez más. Tres lecturas, dos de ellas distintas de la intermedia, constituyen toda la prueba. Una sola lectura tomada mientras estás conectado no sirve.
Esto demuestra que la salida está delante de tu navegador. No dice nada sobre las búsquedas de nombres, otras aplicaciones o lo que ocurre cuando el túnel se cae, que es para lo que sirve el resto de la página.
2. Las búsquedas están dentro del túnel
- Haz una prueba de fugas de DNS — cualquier página que ofrezca una prueba ampliada, que envíe muchas búsquedas en lugar de una — y lee la lista de resolutores que informa, junto con sus propietarios.
- Cada resolutor tiene que pertenecer al proveedor de VPN o estar en el país de la salida. Una entrada que pertenezca a tu proveedor de internet o esté ubicada en tu propio país implica que la prueba ha fallado, independientemente de lo que indiquen las demás.
- Si falla, configura el DNS del cliente con el resolutor propio del proveedor o activa su protección contra fugas, vuelve a conectarte y repite la prueba. La configuración se describe en la guía de cada plataforma; el significado de la fuga se explica en la página sobre fugas de DNS.
3. El navegador no está anunciando tu dirección
Los navegadores incluyen un protocolo para llamadas y vídeo que puede revelar directamente a una página tus direcciones local y pública, rodeando el túnel. Es una configuración del navegador, no del cliente, así que un cliente perfectamente configurado pasa todas las demás pruebas y falla esta.
- Haz una prueba de fugas de WebRTC en cada navegador que uses, mientras estás conectado. Las ventanas y los perfiles privados tienen sus propias configuraciones, así que prueba el que realmente utilizas para navegar.
- La dirección pública que muestra tiene que ser la de la salida, o no mostrar ninguna. Una dirección local del tipo que asigna el router es normal e inofensiva; tu propia dirección pública es el fallo.
- Si falla, busca la configuración de WebRTC en el propio navegador o en la extensión de navegador del proveedor, que es donde la incluyen la mayoría de los clientes, y repite la prueba después de cambiarla.
4. IPv6 no está rodeando el túnel
La mayoría de las redes asignan ahora dos tipos de dirección, y un cliente que tuneliza el tipo antiguo e ignora el nuevo filtra información a todos los sitios que responden por ambos — que son la mayoría de los grandes. La comprobación de dirección anterior suele no detectarlo, porque la página que usaste muestra la dirección por la que se accedió a ella.
- Abre una página de prueba de IPv6 mientras estás conectado. Los resultados correctos son «sin conectividad IPv6» o una dirección IPv6 que pertenezca a la salida. Una dirección IPv6 ubicada en tu propio país es una fuga.
- Si falla, busca en el cliente una configuración de IPv6: bloquear es la opción segura; enrutar es mejor cuando está disponible. Si el cliente no ofrece ninguna de las dos, hay que desactivar IPv6 en el adaptador desde el sistema operativo.
- Repite la primera comprobación después: desactivar IPv6 cambia la dirección por la que la página de prueba accede a ti, y hay que confirmar el resultado anterior en las nuevas condiciones.
5. Un túnel caído falla de forma segura
Todo lo anterior describe el túnel mientras está activo. La comprobación importante en una red problemática es qué ocurre cuando no lo está, y tiene su propio procedimiento: cómo probar un interruptor de emergencia de VPN. Hazlo una vez en cualquier dispositivo que salga de casa; la versión corta es que una descarga en curso tiene que detenerse por completo cuando se interrumpe el túnel sin que se lo pidas al cliente. En la página sobre el interruptor de emergencia se explica por qué importa.
6. Algo distinto del navegador
Hasta ahora todas las comprobaciones se han ejecutado en un navegador, y un navegador puede enrutarse de forma distinta al resto del equipo: una extensión de proxy, una VPN exclusiva del navegador o una regla de túnel dividido pueden hacer que el navegador pase mientras otra aplicación filtra información, o al contrario.
- Elige una aplicación que muestre su propia dirección de conexión — la comprobación de dirección del propio cliente de torrents, el registro de conexión de un cliente de correo o el panel de red de un juego — o ejecuta la comprobación de dirección desde un segundo navegador que no hayas configurado.
- Su dirección tiene que ser la de la salida, igual que indicó la primera comprobación. Una dirección distinta significa que el túnel no es de todo el sistema, y la configuración responsable es la extensión del navegador o una regla de túnel dividido.
Qué significa superar la prueba
Qué demuestran esas comprobaciones
+Tu tráfico sale por el servidor de salida, en el país que seleccionaste, desde todas las aplicaciones y no solo desde una
+La red a la que estás conectado no ve ni los sitios a los que accedes ni las búsquedas que permiten encontrarlos
+Ni el navegador ni la familia de direcciones más nueva transportan tu dirección alrededor del túnel
Lo que no demuestran
−No dicen nada sobre lo que conserva el proveedor — es una cuestión documental, respondida en las páginas sobre retención
−No te vuelven anónimo: tu navegador, tus inicios de sesión y tus hábitos no cambian; consulta lo que una VPN no protege
−Superar la prueba hoy es una afirmación sobre el cliente de hoy; la próxima actualización puede restablecer cualquier configuración de esta página
Cuando falla una prueba
La página de dirección muestra mi propio país mientras el cliente indica que está conectado
El cliente está ejecutándose, pero el tráfico no pasa por él. Desconéctate, cierra completamente el cliente en lugar de cerrar su ventana, vuelve a iniciarlo y reconéctate antes de hacer nada más. Si el resultado se repite, normalmente otro VPN, una configuración de proxy del navegador o un producto de seguridad con su propio filtro de red está tomando primero el tráfico.
Comprueba al final el proxy y las extensiones del propio navegador: una extensión que enruta el navegador mediante su propio proxy tiene prioridad sobre el túnel del sistema, y la página de dirección ve la salida de la extensión, no la tuya.
La prueba de DNS muestra los resolutores de mi proveedor de internet
Las búsquedas están saliendo fuera del túnel. En el cliente, activa la protección contra fugas de DNS o configura el DNS con el resolutor propio del proveedor, vuelve a conectarte y ejecuta la prueba de nuevo. Si los resolutores siguen perteneciendo a tu proveedor de internet, el sistema operativo mantiene un resolutor propio en otra interfaz; las guías de cada plataforma explican cómo funciona en cada sistema.
Un solo resolutor en la lista basta para suspender la prueba: una única búsqueda filtrada revela el sitio que visitaste.
La prueba de IPv6 muestra una dirección cuando el cliente está conectado
El cliente tuneliza IPv4 y deja pasar IPv6, por lo que todos los sitios que responden por ambos ven tu dirección real. Busca una configuración de IPv6 en el cliente y establécela en bloquear o enrutar; si el cliente no ofrece ninguna de las dos opciones, desactiva IPv6 en el adaptador de red que usa el sistema operativo. Después ejecuta la prueba de nuevo y espera que no aparezca ninguna dirección IPv6 o que aparezca una perteneciente a la salida.
Todas las pruebas pasan en mi red doméstica y una falla en otra
La segunda red está haciendo algo con el tráfico. Una red de hotel u oficina que intercepte el DNS, elimine IPv6 o interrumpa conexiones de larga duración produce exactamente una prueba fallida, y el problema está en la red, no en el cliente. El resultado es un hecho sobre esa red que debes tener presente, y el interruptor de emergencia es lo que evita que un túnel fallido allí se convierta en uno abierto.
Ayer todo pasó y hoy falla la prueba de DNS
Algo ha cambiado, y los dos candidatos habituales son una actualización del cliente que restableció una configuración y una actualización del sistema que añadió un resolutor. Abre la configuración del cliente y léela en lugar de confiar en cómo estaba; las entradas de DNS y del interruptor de emergencia son las que más a menudo se restablecen. Una comprobación es una afirmación sobre el momento en que se ejecutó, por eso merece la pena repetir esta página después de cada actualización.
Mismos pasos, otros equipos
El resto de las plataformas
Cada plataforma tiene su propia guía en lugar de una pestaña en esta. Los pasos divergen en cuanto se abre el instalador, y una página que responde a tres plataformas a la vez no responde bien a ninguna.