¿Te delata IPv6? Detección de fugas de IP en redes dual-stack

Lo esencial primero: usar un proxy IPv4 no significa que todo tu tráfico pase por él: en una red dual-stack, IPv6 puede esquivar el proxy y salir directamente por tu propia conexión. Si una página de comprobación muestra una dirección IPv6, mira primero de quién es la salida antes de hablar de fuga. Mucha gente se ha topado con esta escena: la página muestra la dirección del proxy para IPv4, pero otra compatible con IPv6 revela una dirección que nunca habías visto. Este artículo explica por qué ocurre, distingue tres conceptos, recorre una detección en cuatro pasos y el orden para solucionarlo, y cierra con una forma de verificar la salida dentro de un entorno de MostMate.

Por qué aparece una dirección IPv6 aunque uses un proxy IPv4

Una red dual-stack significa que el dispositivo cuenta a la vez con direcciones y rutas IPv4 e IPv6, y puede salir a internet por cualquiera de los dos caminos. Hoy en día la mayoría de las redes de banda ancha y móviles son dual-stack por defecto: el módem y el router asignan al dispositivo una dirección IPv4 y, al mismo tiempo, una IPv6 pública. La relación entre proxy e IPv6 queda descrita en el estándar IPv6 (RFC 8200) como dos canales independientes; cuál de ellos gestiona el proxy depende de la configuración.

El caso de un proxy que solo cubre IPv4 es muy común:

• El servidor proxy solo tiene dirección IPv4 y no alcanza destinos IPv6.
• La tarjeta de red virtual del cliente proxy solo asume el enrutamiento IPv4; la ruta predeterminada de IPv6 sigue apuntando a la pasarela local.
• Las reglas de reparto solo contemplan rangos de direcciones IPv4.
• Algunas aplicaciones ignoran el proxy del sistema y se conectan por su cuenta.

El navegador añade un mecanismo del tipo Happy Eyeballs: cuando una página se resuelve a la vez en registro A y en registro AAAA, el navegador prueba ambos caminos en paralelo y se queda con el que conecte primero. Dentro de una misma sesión, parte de las peticiones va por la IPv4 del proxy y otra por tu IPv6 local, con un resultado que puede cambiar en cada intento. Otra cosa a tener en cuenta: que el DNS devuelva un registro AAAA solo indica que el dominio tiene una dirección IPv6, no que el navegador vaya a conectar realmente por IPv6.

¿Detectar IPv6 equivale a una fuga?

Una dirección IPv6 detectada y la exposición de tu IP real son dos cosas distintas; en medio queda la pregunta de quién es el dueño de la salida. Tres conceptos, por separado:

• IPv6 detectado: solo indica que esa conexión pasó por el canal IPv6. Por sí solo, no es un problema.
• Elusión inesperada del proxy: la salida IPv6 no es una dirección asignada por el proxy: este no cubre ese canal, el desvío es real y hay que tratarlo.
• Dirección real expuesta: la salida IPv6 pertenece a tu operador local y su región no coincide con la del proxy — fuga confirmada.

Solo hay una forma de decidirlo: compara el operador y la región de esa IPv6 con los de tu proxy. Si coinciden, el propio proxy tiene salida IPv6 y todo está en orden; si no coinciden y apuntan a tu operador local, hay un desvío. Dos detalles que suelen confundir: las direcciones que empiezan por fe80 son link-local, valen solo dentro de la red local y no cuentan como exposición pública; además, una prueba aislada puede distorsionarse por la caché del navegador, las extensiones o la lógica del sitio de comprobación. No saques conclusiones de un solo resultado.

Cuatro pasos para detectar un desvío

Lo que hay que confirmar es de quién es la salida IPv6: que aparezca una dirección en la página no es motivo de alarma por sí solo. Sigue estos cuatro pasos en orden:

1. Comprueba si tu equipo tiene una IPv6 pública. Desactiva el proxy y abre test-ipv6.com: una IPv6 pública significa que un desvío es posible; solo una dirección link-local o nada de IPv6 significa que no hay nada que desviar. Puedes ahorrarte el resto.
2. Activa el proxy y anota por separado las salidas IPv4 e IPv6. En la página de comprobación, compara el operador y la región de ambas direcciones: IPv4 del proxy, IPv6 de tu operador local — desvío confirmado.
3. Suma las comprobaciones de DNS y WebRTC. Ambas exponen rutas de resolución e información de tu red local; junto con la salida IPv6, completan el panorama de exposición a nivel de red. Para una lectura detallada de los valores de WebRTC, consulta la guía del trust score de Iphey.
4. Repite la prueba tras cambiar las condiciones. Cambia de proxy o de red y repite los dos primeros pasos: que exista un desvío depende del entorno de red; un solo resultado no se puede extrapolar.

Desvío confirmado: soluciona en este orden

Avanza desde el lado del proxy hacia el del sistema, con un objetivo de revisión claro en cada paso:

1. Revisa la cobertura de protocolos del proxy. Pregunta a tu proveedor si el plan incluye salidas IPv6 y si el reenvío cubre destinos IPv6. Muchos proxies son solo IPv4, y esa es la causa más común de los desvíos.
2. Revisa la configuración IPv6 del sistema y del navegador. Comprueba si IPv6 está activado en los ajustes de red del sistema y si el navegador tiene su propio proxy o un DNS seguro que esquiva el cliente proxy.
3. Elige según tu caso una de tres medidas: cambiar a un proxy compatible con dual-stack; ajustar el enrutamiento a nivel de red para que la IPv6 también pase por el proxy; o limitar IPv6 tras evaluar el impacto en tu actividad. La limitación tapa el desvío, pero algunas redes y servicios lo notarán. Prueba a pequeña escala antes de aplicarlo en general. No es la respuesta estándar.
4. Repite la prueba tras el ajuste. Vuelve a pasar la comprobación de cuatro pasos de la sección anterior, confirma que la salida IPv6 ya coincide con el proxy y retoma el uso habitual.

Verificar la salida de red dentro de MostMate

MostMate es un navegador antidetectado. El panorama completo del producto está en Qué es MostMate. En lo que a IPv6 se refiere, su papel es la configuración y verificación del lado del entorno, en combinación con el proceso de detección de arriba:

• Los proxies se gestionan por separado y se asignan por entorno. Crea o importa primero un proxy en la lista independiente de proxies, asígnalo después al entorno y, tras guardar, confirma la IP de salida con la función de prueba; coteja el origen de la configuración con la salida real.

• Valora la salida real desde dentro del entorno, no solo la configuración. Rellenar los ajustes del proxy no significa que el tráfico pase por ellos: abre una página de comprobación dentro del entorno y compara las filas de IPv4 e IPv6; lo que cuenta es el acceso real. La lógica del aislamiento está explicada a fondo en Qué es el aislamiento de entornos.
• Ajusta el modo WebRTC en consecuencia. Las direcciones de red que obtiene WebRTC no pasan por el canal del proxy HTTP; configurarlo como deshabilitado o personalizado en el entorno elimina una vía de exposición de red.
• Verifica de nuevo tras cambiar de proxy o de red. Cualquier cambio de configuración invalida los resultados anteriores. Repite la comprobación de cuatro pasos antes de volver a poner el entorno en marcha.

Un límite conviene dejar claro: el aislamiento de entornos y la configuración de huellas gestionan datos y parámetros de identidad; que el tráfico pase o no por IPv6 a nivel de red lo deciden las capacidades del proxy y el enrutamiento del sistema. Si el proxy no admite IPv6, la solución está en el proxy o en la capa de red: la configuración del entorno no llega a esa capa. Los pasos para crear y configurar entornos están en Cómo empezar con MostMate.

Preguntas frecuentes

Si uso un proxy IPv4, ¿tengo que preocuparme por IPv6?

Sí, si tu equipo tiene una IPv6 pública. En una red dual-stack, IPv6 puede rodear un proxy limitado a IPv4 y conectar directamente; si eso constituye un desvío depende del dueño de la salida. Sin IPv6 pública, ese canal no existe y de momento no hay nada que tratar.

¿Cómo sé si una IPv6 detectada es del proxy o es mi dirección real?

Por el operador y la región: si coinciden con la salida del proxy, es la IPv6 del proxy; si apunta a tu operador de banda ancha local y la región no cuadra, tu equipo está conectando en directo.

¿Desactivar IPv6 resuelve el problema?

El desvío lo tapa, pero puede afectar la conectividad de algunos sitios y servicios, y no arregla nada en el proxy en sí. Piensa primero en un proxy compatible con dual-stack o en un enrutamiento ajustado; si aun así limitas IPv6, verifica a pequeña escala que tu actividad no se resiente.

¿Puede un navegador antidetectado evitar las fugas de IPv6?

Esa conclusión no se puede sostener. Un navegador antidetectado mantiene la coherencia de los datos del entorno y los parámetros de identidad; la salida a nivel de red la deciden el proxy y el enrutamiento del sistema. Tras configurar, comprueba la salida real dentro del entorno con una página de comprobación y guíate por ese resultado.

Para terminar

En las fugas de IPv6 todo se reduce al dueño de la salida: primero confirma si tu equipo tiene una IPv6 pública, después compara las salidas para detectar desvíos y por último actúa en el proxy y en la capa de red. Si gestionas varias cuentas, descarga MostMate, monta los entornos y verifica la salida real de cada uno antes de ponerlos a trabajar.