Exposición de subred mediante DNS

Para qué sirve

EDNS Client Subnet, o ECS, puede incluir un prefijo de red del cliente para adaptar respuestas DNS. Esta prueba observa la opción recibida por un servidor autoritativo, sin deducirla de tu IP pública. Una opción con prefijo /0 tampoco expone una subred del cliente: es diferente de un prefijo mayor que cero.

Cómo hacer la prueba

1. Comprueba la disponibilidad del colector DNS. Elige modo navegador o resolvedor explícito y conserva esa elección para comparar.
2. Inicia el ensayo y espera toda la ventana de recogida. El navegador solicita un nombre único; el modo explícito consulta desde el servidor.
3. Lee el prefijo y la procedencia. La IP del resolvedor vista por el autoritativo no tiene por qué ser tu IP.

Qué medimos

Un nombre aleatorio vincula la consulta al ensayo. El autoritativo registra la opción ECS y valida su estructura, sin asumir que cualquier respuesta demuestra exposición.

El colector puede conservar temporalmente identificador, IP del resolvedor y prefijo recibido. Los modos navegador y servidor describen recorridos diferentes.

Cómo interpretar el resultado

Prefijo distinto de cero

La consulta contiene un prefijo válido de cliente. Su longitud indica qué parte de la red se transmite a esta autoridad.

Sin ECS o con /0

La consulta observada no transmite una subred útil mediante ECS. Son estados distintos y no garantizan igual comportamiento ante otros dominios.

Sin observación o colector no disponible

Si no hay consulta recibida o colector operativo, falta evidencia. Una opción mal formada exige atención técnica y no demuestra ausencia de ECS.

Comparar antes y después

1. Guarda la referencia con el mismo modo, dispositivo y resolvedor. Espera el resultado final y anota el prefijo exacto.
2. Cambia solo el resolvedor o un ajuste relevante y repite. Si pruebas una VPN, mantén el modo de medición.
3. Compara prefijos de ensayos completos. Una consulta enviada por el servidor no es equivalente a una solicitud del navegador.

Límites de la prueba

• Sin colector autoritativo operativo y consulta recibida, esta herramienta no puede medir ECS.
• Un resolvedor puede aplicar políticas diferentes según el dominio; este ensayo no representa todos sus destinos.

Qué puedes hacer

Se transmite un prefijo que quieres limitar

Revisa la política ECS de tu resolvedor y una alternativa que lo limite, si está disponible; vuelve a medir.

No llega ninguna consulta

Comprueba conectividad y modo, y repite. El fallo de la carga web no anula necesariamente una observación DNS.

Preguntas frecuentes

Fuentes y referencias

• RFC 7871 · ECS