Bloquear paquetes no siempre elimina la dirección
Una dirección IPv6 pública asignada por tu proveedor puede seguir configurada en el adaptador físico aunque se bloquee el tráfico IPv6. Una aplicación nativa podría consultar los adaptadores, leerla y enviarla mediante otra conexión permitida. Es exposición de información local, distinta de una fuga de paquetes IPv6. No significa que cualquier página web pueda inspeccionar libremente los adaptadores.
Cinco mecanismos con IPv6 desactivado
La configuración predeterminada usa resultados DNS ipv4_only, asignaciones fake-ip solo de IPv4 y reglas que rechazan destinos IPv6. TUN también captura el tráfico IPv6 para que el motor pueda descartarlo. Estos controles actúan de forma complementaria sobre la resolución, la asignación de direcciones y el tratamiento de paquetes.
En los adaptadores compatibles de Windows, Linux y macOS, el quinto mecanismo desactiva IPv6 para reducir las direcciones públicas accesibles a aplicaciones nativas. Al desconectar se intenta restaurar el estado anterior. Android carece de ese permiso y utiliza los cuatro primeros mecanismos. Algunas interfaces y máquinas virtuales en modo puente quedan fuera de estos controles.
DNS cifrado no implica una única ruta
DNS-over-HTTPS, o DoH, transporta los intercambios DNS mediante HTTPS. godusevpn envía el DNS remoto por el proxy de forma predeterminada. El DNS local y los nombres de los nodos siguen rutas según su función, configuración y estado de protección. El uso del DNS del sistema también recibe un tratamiento específico bajo la protección global estricta.
Por tanto, DoH no significa que toda consulta atraviese el túnel. El cifrado del transporte tampoco oculta la consulta al servicio que la resuelve. Cifrado, proveedor DNS y ruta son decisiones distintas.
Protección durante los intervalos del túnel
En modo global, con la opción activada y mientras quieras mantener la conexión, las reglas del sistema limitan el tráfico directo fuera del túnel. Existen excepciones necesarias para los nodos, las solicitudes de suscripción de respaldo, el bucle local y la LAN permitida.
Windows utiliza reglas WFP persistentes y comprueba aparte los filtros de arranque. Linux usa nftables y reglas de inicio en systemd y OpenWrt; los núcleos antiguos pueden limitar el DNS. macOS usa pf, permite procesos root y no garantiza activarse antes de la red. Android depende de VPN siempre activa y Bloquear conexiones sin VPN después de terminar el proceso o reiniciar.
Comprueba el estado real de protección
La versión actual conserva un túnel que funciona si fallan algunas comprobaciones, muestra un estado degradado e intenta reparar la protección sin desmontarlo. Los fallos al desactivar IPv6 en adaptadores sí pueden impedir el inicio bajo protección global estricta.
Lee los avisos, registros y diagnósticos. Distingue las máquinas virtuales con NAT de las que usan puente: estas últimas pueden evitar la pila de red del equipo anfitrión. Que el anfitrión esté conectado no demuestra que todos sus entornos estén protegidos.