Cómo funciona realmente una VPN, y qué es lo que no oculta.

«Uso una VPN, así que soy anónimo en internet» es uno de los malentendidos más comunes en la seguridad de consumo, y sobrevive porque la primera mitad de la frase es lo bastante cierta como para que la segunda mitad también se sienta cierta. Una VPN sí cambia lo que puede ver tu red local y tu ISP. Sí cambia la dirección IP que ve un sitio web cuando te conectas. Lo que no hace es borrarte de la transacción: solo desplaza el punto donde se deposita la confianza, de tu ISP a la empresa que sea que gestione el servidor VPN por el que ahora pasa tu tráfico. Entender cómo funciona realmente una VPN, a nivel mecánico, es la forma más rápida de dejar de tratarla como un dispositivo de camuflaje de privacidad y empezar a tratarla como lo que es: un túnel cifrado con una función muy concreta y muy limitada.

Qué hace realmente una VPN

Una red privada virtual (VPN) crea un túnel cifrado entre tu dispositivo y un servidor gestionado por el proveedor de la VPN (o, en un entorno corporativo, por tu empresa). Cada paquete que tu dispositivo normalmente enviaría directo a internet se envuelve en su lugar: se cifra y se redirecciona para viajar primero al servidor VPN. El servidor descifra cada paquete, lo reenvía a su destino real como si hubiera partido del propio servidor, y hace lo mismo a la inversa con todo lo que vuelve. Desde fuera, tu dispositivo se comporta como si viviera allí donde vive ese servidor.

Este único mecanismo –cifrar en local, descifrar y reemitir en el extremo remoto: es todo el truco. Todo lo que una VPN puede o no puede protegerte se deriva directamente de dónde está ese extremo remoto y de quién lo controla.

Qué oculta una VPN a tu red local y a tu ISP

Antes de llegar al servidor VPN, tu tráfico tiene que cruzar tu propia red y la infraestructura de tu ISP. Sin una VPN, ambos pueden ver el destino y, para todo lo que no use ya TLS, el contenido de lo que envías. Con una VPN activa, todo lo que sale de tu dispositivo ya está cifrado antes de llegar a tu router o al equipo de tu ISP, de modo que:

• Tu ISP ve un túnel cifrado hacia una única dirección IP: el servidor VPN– y no puede ver a qué sitios o servicios estás llegando realmente dentro de él, ni qué datos circulan.
• Cualquiera en tu red local: el operador del Wi-Fi de una cafetería, un vecino malicioso en el mismo punto de acceso, un casero que gestiona el router– ve lo mismo: tráfico de túnel cifrado, nada legible dentro.
• Las consultas DNS, que normalmente filtrarían tus destinos de navegación al resolutor de tu ISP, también se enrutan por el túnel (cuando el cliente VPN está bien configurado), así que el ISP también pierde esa visibilidad.

Se trata de una mejora de privacidad real y significativa en redes no confiables, siendo el Wi-Fi público el caso más claro. Es también la parte en la que se centra la mayor parte del marketing de las VPN, porque es la parte que es cierta sin matices.

Qué oculta una VPN al destino, y qué no oculta

Al otro lado del túnel, el sitio web o servicio al que te conectas ve la dirección IP del servidor VPN, no la tuya. Ese es un cambio real: tu ubicación geográfica (según se infiere de la IP), tu ISP y la identidad de tu red doméstica o de oficina quedan todas sustituidas por las del servidor VPN. Por eso las VPN son útiles para acceder a contenido con restricción geográfica y para mantener tu IP doméstica fuera de registros que no controlas.

Lo que no hace es anonimizar la conexión entre tú y esa cuenta. Piensa en lo que sigue viajando contigo dentro del túnel:

• Las cookies que fija un sitio persisten a través de los cambios de IP. Si inicias sesión en la misma cuenta antes y después de activar una VPN, el sitio puede vincular trivialmente ambas sesiones a la misma identidad, sin importar de qué IP viniera cada una.
• El fingerprinting del navegador: la combinación de resolución de pantalla, fuentes instaladas, zona horaria, renderizado de canvas y docenas de otras señales silenciosas– puede volver a identificar un navegador a través de distintas sesiones con una precisión inquietante, totalmente al margen de la dirección IP.
• El seguimiento basado en el inicio de sesión es el más importante: en cuanto entras en un proveedor de correo, una red social o cualquier cuenta ligada a tu identidad real, ese servicio sabe exactamente quién eres. Una VPN cambia tu dirección de red; no dice nada sobre las credenciales que acabas de teclear en un formulario.

Una VPN es cifrado y sustitución de dirección. No es una herramienta de gestión de identidad, y tratarla como tal es donde el mito se derrumba en la práctica.

El túnel, a nivel mecánico: la encapsulación

El término técnico para lo que una VPN hace con cada paquete es encapsulación: tu paquete original –con sus direcciones reales de origen y destino– se cifra por completo y luego se envuelve dentro de un nuevo paquete exterior dirigido únicamente al servidor VPN. Solo el servidor VPN tiene la clave para desenvolverlo y ver el paquete original que hay debajo.

Paquete original (antes del túnel):
  origen: 192.168.1.42       destino: 93.184.216.34:443

Paquete encapsulado (lo que realmente viaja por la red de tu ISP):
  origen: 192.168.1.42       destino: 203.0.113.9:51820   <- de tu dispositivo al servidor VPN
  payload: [ todo lo anterior, completamente cifrado ]

Tras descifrarlo y reenviarlo, el servidor VPN produce:
  origen: 203.0.113.9        destino: 93.184.216.34:443   <- ahora parece venir del servidor VPN

Todo lo que circula entre tu dispositivo y el servidor VPN lleva únicamente el sobre exterior cifrado. Nadie que observe ese tramo –ni tu router, ni tu ISP, ni alguien en el mismo Wi-Fi de la cafetería– puede leer el origen o el destino originales, solo que existe un túnel y, más o menos, cuántos datos circulan por él.

Comparativa de protocolos de túnel: WireGuard, OpenVPN, IPsec

«VPN» es una categoría, no una única tecnología. El túnel en sí se construye con uno de un puñado de protocolos, y la elección afecta a la velocidad, a la facilidad de auditoría y al lugar donde se suele desplegar la VPN:

Ninguno de estos protocolos cambia lo que una VPN puede o no puede ver u ocultar en el fondo: eso lo determinan los extremos del túnel, no el esquema de cifrado que los conecta. La elección de protocolo tiene que ver con el rendimiento, la compatibilidad y la facilidad de auditar la implementación, no con las garantías de privacidad.

Split tunneling: enrutar solo parte del tráfico por la VPN

Por defecto, la mayoría de los clientes VPN funcionan en modo «túnel completo»: cada paquete que envía tu dispositivo, sea cual sea su destino, se enruta a través del túnel cifrado. El split tunneling (túnel dividido) cambia eso, permitiéndote especificar qué tráfico pasa por la VPN y cuál viaja directamente por la ruta normal. Una configuración habitual envía por el túnel solo el tráfico destinado a una aplicación concreta, a un conjunto específico de IP de destino o a una subred corporativa concreta, mientras que todo lo demás –navegación web general, streaming, otras apps– sale directamente por tu conexión a internet habitual.

Esto importa para los dos casos de uso que trata este artículo. En una VPN de consumo, el split tunneling evita forzar tráfico local que consume mucho ancho de banda a través de un túnel que, si no, lo desviaría hasta un servidor lejano y de vuelta. En una VPN corporativa de acceso remoto, el split tunneling a menudo se restringe deliberadamente o se desactiva por completo, porque los departamentos de TI quieren que todo el tráfico –no solo el tráfico hacia sistemas internos– sea inspeccionado por los controles de seguridad corporativos. Un split tunneling mal configurado es también un fallo de seguridad real: si solo se protege el tráfico «interesante» mientras el resto viaja en claro por una red no confiable, has vuelto a introducir exactamente la exposición que una VPN debería cerrar para esa parte desprotegida.

VPN de consumo frente a VPN corporativa

La palabra «VPN» abarca dos despliegues bastante distintos que la gente suele confundir:

VPN de consumo

Un único dispositivo se conecta hacia fuera con el servidor de un proveedor comercial, que después reenvía el tráfico a internet abierto. El objetivo es casi siempre la privacidad frente a la red local o el ISP y, en segundo lugar, cambiar la ubicación aparente. Todo lo dicho en este artículo sobre la confianza en el proveedor se aplica directamente aquí: el servidor del proveedor hace exactamente el trabajo que antes hacía tu ISP.

VPN corporativa de acceso remoto

El portátil de un empleado se conecta hacia dentro, a la red privada de la empresa, en lugar de hacia fuera, a internet abierto. Una vez conectado, el dispositivo puede acceder a recursos compartidos internos, herramientas internas y sitios web solo internos como si estuviera físicamente en la LAN de la oficina. Se trata de un túnel cliente-a-sitio, construido habitualmente sobre IPsec/IKEv2 u OpenVPN, y su función es extender el perímetro de una red privada hasta un dispositivo remoto, no anonimizar el tráfico de ese dispositivo hacia el resto de internet.

VPN site-to-site

Aquí no hay ningún cliente individual: en su lugar, un túnel permanente y siempre activo enlaza dos redes completas, como una oficina remota y la sede central, o un centro de datos local y un entorno en la nube. Ambos extremos suelen ser firewalls o puertas de enlace VPN dedicadas, casi siempre hablando IPsec, y cada dispositivo de cualquiera de las dos redes puede alcanzar la otra de forma transparente en cuanto se establece el túnel. Esto es infraestructura, configurada una sola vez por los administradores de red, y no algo que un usuario individual encienda y apague.

Qué puede ver el proveedor de la VPN: por qué la confianza importa tanto como el cifrado

Esta es la parte que el marketing de las VPN de consumo suele dejar fuera. El servidor VPN no es una caja negra por la que el tráfico pasa sin ser visto: es exactamente el punto donde tu tráfico vuelve a ser legible, descifrado y reenviado en la forma que tuviera antes de que el túnel lo envolviera. Quien opere ese servidor ocupa la misma posición estructural que antes ocupaba tu ISP, con la misma capacidad teórica de observar destinos, volúmenes y –para cualquier tráfico que no esté protegido de forma independiente por su propio TLS– el contenido.

Un proveedor de confianza mitiga esto con una política de no registro (no-logging) realmente aplicada, idealmente respaldada por una auditoría independiente de un tercero y no solo por una afirmación en una página de marketing. Pero la capacidad técnica de ver tu tráfico existe en ese servidor con independencia de la política que se le superponga: la política es una promesa, no una restricción física. Por eso elegir un proveedor de VPN es, en la práctica, una decisión sobre a quién estás dispuesto a confiar la visibilidad que antes tenía tu ISP, no solo una comparación de algoritmos de cifrado. Los servicios de VPN gratuitos en particular merecen especial escrutinio aquí: mantener infraestructura de servidores cuesta dinero, y un proveedor que no te cobra directamente está monetizando el trato de alguna manera.

Comprobar tu propia VPN en busca de fugas

Como un cliente VPN mal configurado puede fallar en silencio a la hora de proteger justo lo que dice proteger, merece la pena verificarlo en lugar de darlo por hecho. Dos comprobaciones detectan los fallos más comunes:

# 1. Confirma que tu IP pública realmente ha cambiado
$ curl -s https://ifconfig.me
203.0.113.9        # debería ser la IP del servidor VPN, no la de tu ISP

# 2. Confirma que las consultas DNS también pasan por el túnel
$ nslookup breachfolio.com
Server:  10.8.0.1   # debería ser un resolutor asignado por la VPN, no el DNS de tu ISP

Si el primer comando devuelve tu dirección real asignada por el ISP, el cliente VPN no está enrutando realmente tu tráfico por el túnel; comprueba que el cliente muestre «conectado» y no solo «conectando». Si el segundo comando muestra un servidor DNS fuera del rango de direcciones propio de la VPN, tienes una fuga de DNS: tus destinos de navegación los sigue resolviendo tu ISP aunque el resto de tu tráfico esté cifrado, lo que anula una parte importante de para qué sirve el túnel. Los sitios dedicados a pruebas de fuga de DNS automatizan ambas comprobaciones desde el navegador si prefieres no usar una terminal.

La conclusión

Una VPN hace exactamente dos cosas bien: cifra tu tráfico frente a tu red local y tu ISP, y sustituye tu dirección IP por la del servidor VPN al hablar con el mundo exterior. Ambas cosas son reales, útiles y merece la pena tenerlas en cualquier red no confiable. Lo que no hace es anonimizarte: el proveedor puede ver lo que antes veía tu ISP, las cookies y el fingerprinting te siguen a través de los cambios de IP, e iniciar sesión en cualquier cuenta que sea tuya te vuelve a identificar al instante, con VPN o sin ella. Elige un protocolo de túnel por sus características de rendimiento y compatibilidad, y elige un proveedor de la misma forma en que elegirías a cualquier otra persona a la que le entregas tu tráfico: basándote en la confianza, no solo en la fuerza del candado.

Preguntas frecuentes