Casi todos los formularios de DNS piden dos direcciones, y casi nadie sabe qué hace la segunda. De ahí salen combinaciones como «Cloudflare de primario y Google de secundario, así tengo lo mejor de los dos», que suenan bien y no hacen lo que parece.
Qué hace de verdad el secundario
Tu sistema operativo consulta siempre el primario. Sólo si ese servidor no responde dentro de un plazo (uno o dos segundos, según el sistema) reintenta contra el secundario. No alterna entre los dos, no reparte la carga y no compara respuestas. Mientras el primario responda, el secundario no recibe ni una consulta.
Hay matices por sistema: Windows vuelve al primario al cabo de un rato; algunos resolvers de Linux pueden rotar si se les pide; el router entrega los dos a cada dispositivo y cada uno decide. Pero la idea general es la misma en todos: el secundario es un respaldo para cuando el primario está caído o inaccesible, y nada más.
Y un detalle que confunde: si el primario responde «ese dominio no existe», eso es una respuesta válida y el sistema no pregunta al secundario. Sólo salta cuando no hay respuesta.
Qué combinar y qué no
De ahí salen tres reglas sencillas.
Los dos del mismo proveedor. Cada proveedor publica dos direcciones precisamente para esto: 1.1.1.1 y 1.0.0.1, 8.8.8.8 y 8.8.4.4, 9.9.9.9 y 149.112.112.112, 86.54.11.1 y 86.54.11.201. Van a redes distintas del mismo operador, así que si una cae, la otra sigue, y las dos aplican la misma política.
No mezcles filtrado con no filtrado. Si pones AdGuard de primario para quitar anuncios y Google de secundario «por si acaso», cada vez que AdGuard tarde más de la cuenta, la consulta saldrá por Google sin filtro. No lo notarás, pero el bloqueo tendrá huecos. Lo mismo con un filtro familiar: el secundario tiene que ser del mismo nivel de filtrado o de la misma familia de direcciones (CleanBrowsing y OpenDNS tienen pareja para cada filtro).
Si vas a mezclar, que sean dos sin filtro. Cloudflare de primario y Quad9 de secundario es una combinación razonable: si Cloudflare tiene un problema, Quad9 responde, y ninguno de los dos cambia el resultado de las consultas normales (Quad9 sólo bloquea dominios de malware).
En qué orden ponerlos
El primario es el que trabaja, así que pon primero el más rápido desde tu red, no el más famoso. El test de velocidad te lo dice en dos minutos. Desde Madrid, Cloudflare, Quad9, CleanBrowsing y DNS4EU respondieron en 5 o 6 ms con caché; desde tu operador el orden puede ser otro.
Y si tu router permite poner sólo uno, no pasa nada grave: los grandes resolvers son anycast y ya llevan la redundancia dentro. El secundario protege sobre todo contra un problema de red entre tú y ese proveedor.
IPv6 también va en pareja
Si tu conexión tiene IPv6, el sistema hará consultas también por esa vía, y ahí manda la pareja IPv6 del proveedor: 2606:4700:4700::1111 y ::1001 en Cloudflare, 2001:4860:4860::8888 y ::8844 en Google, 2620:fe::fe y 2620:fe::9 en Quad9. Si pones IPv4 de un proveedor e IPv6 de otro, vuelves al problema de mezclar políticas. Cada ficha de proveedor lista las cuatro direcciones.
«DNS público» frente a «DNS privado»
Estas dos palabras aparecen muchísimo en las búsquedas que llegan a esta web, y significan cosas distintas según quién las use.
DNS público es un resolver abierto a cualquiera en Internet. Cloudflare, Google, Quad9, DNS4EU o AdGuard son públicos: no hace falta ser cliente de nadie. El DNS de tu operador es, en ese sentido, privado: sólo responde a las conexiones de sus clientes. Cuando alguien dice «pon un DNS público», quiere decir «deja de usar el del operador».
DNS privado puede querer decir tres cosas:
- El ajuste «DNS privado» de Android. Es DNS cifrado (DNS sobre TLS) hacia el proveedor que escribas, para Wi-Fi y datos. «Privado» ahí significa que el operador no puede leer ni manipular tus consultas. Se rellena con un nombre (
one.one.one.one,dns.quad9.net), no con una IP. Lo explicamos en el artículo sobre el móvil. - Un resolver que no guarda registros. En ese sentido, «privado» describe la política del proveedor: Quad9, Cloudflare o Mullvad declaran no conservar consultas identificables; OpenDNS o Google sí guardan algo. La comparativa tiene la columna de registros.
- Un resolver tuyo. Un Pi-hole en casa, un AdGuard Home o el DNS de la empresa: un servidor que sólo atiende a tu red. Es el sentido más literal y el menos habitual en las búsquedas.
Así que «DNS público gratis» y «DNS privado gratis» suelen ser la misma búsqueda hecha por dos personas: las dos quieren un resolver que no sea el del operador, rápido y que no espíe. Cualquiera de los públicos sin registros lo cumple.
Resumen operativo
Primario: el más rápido desde tu red. Secundario: la segunda dirección de ese mismo proveedor. IPv6: la pareja del mismo proveedor. Sin mezclar filtros. Y si dudas entre dos, la comparativa los pone lado a lado y las guías dicen dónde va cada uno en Windows, macOS, Android, iOS y el router.