¿Cómo evita XDP DNS caídas y bloqueos con su servidor secundario?

XDP DNS acaba de reforzar su infraestructura con servidores secundarios independientes, una pieza que parece pequeña hasta que falla la principal. El servicio, creado para reducir los efectos colaterales de los bloqueos de direcciones IP en España, ya puede mantener la resolución de dominios aunque uno de sus nodos deje de responder.

La novedad afecta sobre todo a quienes utilizan el DNS convencional mediante IPv4 o IPv6: ahora pueden configurar una dirección primaria y otra secundaria alojadas en redes distintas. En las conexiones que emplean DNS cifrado mediante DoH o DoT, el cambio resulta más transparente, porque los propios dominios del servicio pueden dejar de dirigir tráfico hacia un nodo caído y apoyarse en el servidor de respaldo.

XDP se puso en marcha hace apenas unas semanas y su crecimiento ha sido rápido: según los datos difundidos sobre el servicio, supera ya los 63 millones de consultas DNS diarias y modifica cientos de miles de respuestas que originalmente apuntaban hacia direcciones IP con problemas de conectividad desde determinadas operadoras españolas.

Un segundo servidor para que XDP no dependa de una sola máquina

Un DNS puede estar diseñado con mucha inteligencia y, aun así, tener un problema bastante terrenal: si la máquina que responde deja de funcionar, de poco sirve todo lo demás. El nuevo despliegue busca precisamente eliminar ese punto único de fallo.

En la modalidad de XDP que incorpora filtrado de publicidad, rastreadores y malware, la dirección IPv4 principal continúa siendo 85.208.114.51, mientras que el nuevo DNS secundario es 51.170.52.10. En IPv6 se utilizan respectivamente 2a0e:97c0:c40::51 y 2603:c027:8703:d400::10.

No se trata simplemente de colocar dos direcciones distintas en la misma máquina. El servidor secundario está situado en otra red independiente, de modo que una incidencia en el nodo principal no debería arrastrar automáticamente al de respaldo. Esa separación es, precisamente, lo que convierte la redundancia en algo útil y no en mera decoración técnica.

Qué hace XDP DNS y por qué no es una VPN

La idea detrás de XDP resulta algo más sofisticada que cambiar el DNS de Google por otro cualquiera. El servicio intenta detectar direcciones IP que, aun perteneciendo a páginas legítimas, se encuentran inaccesibles desde algunas conexiones españolas.

Esto sucede especialmente cuando el bloqueo se aplica sobre una dirección IP compartida. Las grandes redes de distribución de contenidos, las conocidas CDN, pueden alojar o atender muchos servicios diferentes utilizando una misma infraestructura. Cloudflare es el ejemplo más visible.

Cuando una IP termina bloqueada, el efecto puede parecerse a cerrar un bloque entero de pisos porque alguien busca a un vecino concreto. La puerta queda cerrada para todos.

Cómo evita una IP problemática sin modificar el dominio

El sistema desarrollado para XDP analiza las respuestas DNS y comprueba si incluyen direcciones identificadas como bloqueadas. Cuando detecta una IP afectada dentro de determinados rangos, puede reemplazarla por otra dirección operativa del mismo entorno de red antes de devolver la respuesta al usuario.

El proyecto utiliza para ello un proxy DNS denominado evade-proxy, desarrollado en Rust. Su lista de direcciones problemáticas se actualiza continuamente y cuenta también con sondas realizadas desde conexiones residenciales, necesarias porque un servidor alojado en un centro de datos puede acceder perfectamente a una dirección que, paradójicamente, está siendo bloqueada en una línea doméstica.

Aquí está el matiz importante: XDP no elimina ni levanta el bloqueo aplicado por una operadora. Tampoco crea un túnel para transportar todo el tráfico, como haría una VPN. Lo que intenta es evitar entregar al dispositivo una dirección que no funciona cuando existe otra ruta válida hacia el mismo servicio.

Dos modalidades: con filtrado y sin filtrado

XDP mantiene dos configuraciones diferentes. La primera incorpora protección frente a determinados dominios asociados con publicidad, seguimiento y malware. Es la modalidad cuyo DNS principal IPv4 es 85.208.114.51 y cuyo secundario pasa a ser 51.170.52.10.

Existe también una versión estándar, pensada para quienes quieren utilizar el mecanismo contra bloqueos sin añadir ese filtrado. Su dirección IPv4 primaria es 85.208.114.52 y la secundaria, 51.170.54.40. En IPv6 emplea 2a0e:97c0:c40::52 como principal y 2603:c027:8703:d400::40 como respaldo.

Ambas variantes mantienen DNSSEC, el sistema que permite verificar criptográficamente la autenticidad de determinadas respuestas DNS. El proyecto también declara una política de ausencia de registros permanentes de consultas.

Qué cambia para quienes usan DoH o DoT

Quienes hayan configurado XDP mediante DNS sobre HTTPS (DoH) o DNS sobre TLS (DoT) probablemente notarán todavía menos el cambio.

La modalidad con filtrado utiliza dns.xdp.es, mientras que la versión estándar funciona mediante lite.xdp.es. En estos casos, la infraestructura puede modificar los nodos a los que apuntan esos nombres si uno de ellos deja de estar disponible.

Es decir, el usuario no tiene que ir corriendo al router cada vez que una máquina decide tomarse la tarde libre. El nombre permanece; por debajo cambia el servidor que responde.

Con el DNS tradicional ocurre algo diferente. Allí sí resulta especialmente útil tener configuradas las dos direcciones, primaria y secundaria, porque el propio dispositivo o router dispone así de una alternativa directa cuando la primera no responde.

Una solución que ya mueve decenas de millones de consultas

XDP nació durante el verano de 2026 como respuesta a los problemas provocados por bloqueos de IP que terminaban afectando a servicios ajenos al objetivo original. El fenómeno se ha hecho especialmente visible alrededor de las medidas destinadas a impedir emisiones deportivas no autorizadas, aunque técnicamente el problema trasciende el fútbol.

Su funcionamiento tampoco consiste en mantener una tabla estática escrita una vez y abandonada en un cajón. El software actualiza regularmente las direcciones afectadas y distingue entre distintos tipos de infraestructura. En determinados casos relacionados con Cloudflare puede seleccionar otra IP del mismo prefijo; para otras CDN utiliza comprobaciones específicas que permiten identificar una dirección accesible.

Hay detrás una diferencia importante respecto a un cambio de DNS convencional. Sustituir el DNS del operador por cualquier resolver público no arregla necesariamente un bloqueo realizado directamente sobre una IP. XDP intenta intervenir precisamente en la respuesta que contiene esa IP, entregando una alternativa cuando su sistema ha verificado que existe.

Eso explica también su rápido volumen de uso. Más de 63 millones de consultas en 24 horas colocan al proyecto, pese a su corta vida, bastante lejos de ser un experimento utilizado por cuatro administradores de sistemas un domingo por la tarde.

Más robustez para un problema que sigue ahí

El servidor secundario no cambia la filosofía de XDP, pero sí corrige una debilidad evidente: un servicio concebido para mantener páginas accesibles durante incidencias de red necesitaba, por pura coherencia, evitar depender de un único nodo.

La incorporación de redundancia convierte el sistema en una infraestructura algo más resistente y reduce la posibilidad de que una avería propia deje sin resolución DNS a quienes lo utilizan. Y eso importa: cuando un DNS falla, Internet puede seguir perfectamente encendido al otro lado del cable, pero para el usuario se parece bastante a que alguien haya apagado la luz.

XDP continúa siendo una solución específica, no una VPN disfrazada ni un remedio universal para cualquier restricción de red. Su propuesta es bastante más concreta: detectar determinadas IP inaccesibles, evitar devolverlas cuando existe una alternativa válida y hacerlo ahora con un segundo servidor preparado para entrar en juego cuando el primero no esté disponible.