DNS

Las consultas DNS salen fuera de la VPN en un Mac

Con una VPN activa, normalmente quieres que las consultas DNS vayan a los servidores de la VPN. Algunos ajustes las envían en cambio a los servidores de la red local.

Se aplica a: macOS 13 Ventura y posterior para los pasos de Ajustes del Sistema. Los comandos de Terminal funcionan en todas las versiones actuales de macOS.Revisado: 29 de octubre de 2026

Síntomas

La VPN está conectada, pero una prueba de DNS muestra los servidores del proveedor local.
Los sitios ven el servidor DNS de tu red local mientras la VPN está activa.
Los nombres internos funcionan, pero los demás usan el DNS de la red local.

Causas probables

Servidores DNS manuales en Wi-Fi o Ethernet. Los servidores que escribiste para un servicio de red pueden seguir usándose junto a los de la VPN.
Una VPN de túnel dividido. Algunas VPN solo envían por el túnel algunos dominios o redes. Las demás consultas usan los servidores locales.
Un perfil de DNS cifrado o una app de DNS. Un perfil de ajustes de DNS u otra app de DNS puede enviar las consultas a su propio servidor.
Los ajustes de la app de la VPN. Muchas apps de VPN tienen sus propias opciones de DNS. Esas opciones deciden qué servidores recibe macOS.

Cómo comprobarlo

Conecta la VPN. Muestra la configuración de DNS. El resolutor #1 es el predeterminado para la mayoría de los nombres.
```
scutil --dns
```
Salida Cada resolutor con sus direcciones nameserver, su interfaz if_index y, en algunos casos, un domain.
Busca la interfaz del resolutor #1. Una interfaz VPN suele tener un nombre como utun.
```
ifconfig -l
```
Busca servidores DNS que hayas configurado a mano en el servicio físico.
```
networksetup -getdnsservers Wi-Fi
```
Busca perfiles. En macOS 15 y posteriores, selecciona el menú Apple > Ajustes del Sistema > General > Gestión de dispositivos.
En macOS 13 y 14, selecciona menú Apple > Ajustes del Sistema > Privacidad y seguridad > Perfiles.

Cómo solucionarlo

Elimina los servidores DNS que configuraste a mano en Wi-Fi o Ethernet, si no los necesitas.
```
networksetup -setdnsservers Wi-Fi empty
```
Requiere una contraseña de administrador.
Abre los ajustes de la app de la VPN. Activa su opción para usar el DNS de la VPN, si la tiene.
Elimina un perfil de DNS que no necesites. Selecciónalo en Gestión de dispositivos o en Perfiles y haz clic en el botón Eliminar.
Desconecta la VPN y vuelve a conectarla. Ejecuta scutil --dns otra vez y compara.
Pregunta al proveedor de la VPN o a tu administrador qué servidores DNS debe usar el túnel.

Con Kilobat

Kilobat muestra las interfaces VPN junto a las físicas.
```
kilobat interfaces --json
```
Para un nombre privado, why indica a qué resolutor de la VPN fue y si responde. También compara la ruta directa con el túnel.
```
kilobat why intranet.corp.example
```

Preguntas

¿Gestiona siempre una VPN todo el DNS?

No. Lo decide la VPN. Una VPN de túnel dividido puede enviar solo algunos dominios a sus servidores DNS.

¿Por qué veo más de un resolutor?

macOS puede usar muchos resolutores. Los resolutores con una línea domain solo responden para ese dominio. La página man de scutil lo explica.

Fuentes

scutil(8), página man instalada con macOS 27.2
resolver(5), página del manual instalada con macOS 27.2
Soporte técnico de Apple: Cambiar los ajustes de DNS en el Mac
Soporte técnico de Apple: Cambiar el orden de los servicios de red que usa el Mac
Soporte técnico de Apple: Usar perfiles de configuración para estandarizar los ajustes en los Mac

Fuentes revisadas el 29 de octubre de 2026. Las páginas man son las que se instalan con macOS; abre una con man <name> en Terminal.