VPN frente a proxy

Resuelven problemas parecidos de formas distintas

Desde el punto de vista de un sitio web, una VPN y un proxy se parecen: tu tráfico llega desde una dirección que no es la tuya. Desde el punto de vista de tu dispositivo no se parecen en nada, y las diferencias deciden si alguno de los dos hace realmente lo que querías.

Un proxy es un relé que configuras en una aplicación. La aplicación envía sus peticiones al proxy, el proxy las reenvía y la respuesta vuelve por el mismo camino. Todo lo que haya en tu máquina que no esté configurado para usar el proxy —otro navegador, un actualizador del sistema, un cliente de mensajería— sigue conectándose directamente, y el proxy nunca se entera.

Una VPN es una interfaz de red virtual. Una vez levantada, el sistema operativo enruta el tráfico por ella de forma predeterminada, así que las aplicaciones no necesitan configuración y no pueden quedarse fuera por descuido. Todo pasa por el túnel: consultas DNS, tráfico en segundo plano y aplicaciones que ni siquiera tienen ajuste de proxy.

Esa diferencia de alcance es la que más importa en la práctica. La mayoría de los problemas de «mi proxy no funciona» son en realidad tráfico que nunca se enrutó por él.

Tres enfoques, uno al lado del otro

Qué protege realmente cada uno

La pregunta útil no es «cuál es más privado» sino «privado frente a quién». Cada una de estas herramientas elimina un observador y añade otro.

Sin túnel, tu proveedor de internet ve todos los destinos con los que hablas y, en conexiones sin cifrar, el contenido. Con una VPN, tu proveedor solo ve un flujo cifrado hacia el extremo de la VPN, y el operador de la VPN ve todo lo que antes veía tu proveedor. No has eliminado al observador: has elegido otro, lo cual es una decisión real y solo es una mejora si confías más en la nueva parte que en la anterior.

Tor es la excepción que plantea el trato de otra manera. El tráfico pasa por tres repetidores elegidos por tu cliente, y ninguno sabe a la vez quién eres y qué pediste: el guardián de entrada ve tu dirección pero no tu destino, el repetidor de salida ve tu destino pero no tu dirección, y el intermedio no ve ninguno de los dos. Esa propiedad es lo que exige el anonimato de verdad, y cuesta mucha velocidad.

La fuga de DNS

La forma más común de que un túnel falle en silencio es el DNS. Si tu navegador está configurado para usar un proxy pero tu sistema operativo sigue resolviendo nombres con el resolver de tu proveedor, entonces tu proveedor conoce cada sitio que visitas aunque el tráfico vaya por otro sitio. Una VPN bien configurada lleva el DNS por el túnel; un proxy con frecuencia no, y eso hay que comprobarlo en vez de darlo por hecho.

Por qué la detección funciona

Un sitio web no puede ver el software que corre en tu máquina. Lo que sí ve es la dirección desde la que llega tu tráfico y los datos públicos de registro asociados a ella, y los operadores comerciales registran sus rangos a su propio nombre porque tienen que hacerlo.

Esa es la base de toda detección honesta. Si una dirección pertenece a una red registrada a nombre de una empresa que vende servicio VPN, la inferencia es fuerte. Si pertenece a un proveedor de hosting o de nube, la dirección es de centro de datos, lo cual es un hecho y no una acusación. Si aparece en la lista pública de salidas de Tor, eso es definitivo. Y si la petición lleva cabeceras de reenvío que tu propia infraestructura no añadió, un intermediario se ha anunciado.

Ninguna de estas es perfecta, y una herramienta que afirme certeza está exagerando lo que puede saber. Una VPN corporativa que termina en la red de la propia empresa parece exactamente una conexión de empresa normal, porque eso es lo que es. Algunos ISP residenciales anuncian rangos domésticos desde sistemas autónomos que también albergan clientes de hosting. La respuesta correcta es mostrar la evidencia junto al veredicto para que pueda juzgarse en vez de simplemente creerse.

Por qué los servicios tratan estas redes de otra manera

El fraude y el abuso se concentran en las salidas compartidas. Una dirección usada por miles de personas sin relación entre sí vale más para un atacante que una dirección residencial usada por un hogar, así que los servicios que se preocupan por el abuso la ponderan en consecuencia. Por eso usar una VPN produce más captchas, más comprobaciones al iniciar sesión y a veces una negativa directa a crear una cuenta: no porque hayas hecho nada, sino porque la dirección que estás tomando prestada la han usado otros.

Elegir entre ellos

Si el objetivo es que tu proveedor de internet no tenga un registro de todo lo que visitas, la herramienta es una VPN de un operador en el que tengas motivos para confiar, y tiene que llevar todo tu tráfico para hacer el trabajo.

Si el objetivo es que una aplicación concreta parezca venir de otro sitio —probar un servicio con restricción geográfica, hacer scraping dentro de los términos, trabajar tras un filtro corporativo— un proxy es más ligero y a menudo suficiente.

Si el objetivo es el anonimato porque ser identificado tiene consecuencias reales, ninguno de los dos basta, y lo que pide la situación es Tor con la disciplina operativa que lo acompaña.

En los tres casos, verificar que el túnel transporta de verdad tu tráfico vale más que cualquier cantidad de configuración. Un túnel que se ha caído en silencio se ve idéntico desde dentro del cliente y completamente distinto desde fuera.