Nuevo circuito de Tor frente a cambiar de servidor VPN: qué cambia de verdad

Cambiar un circuito de Tor y cambiar de servidor VPN se sienten ambos como obtener una ruta nueva, pero fallan en lugares distintos cuando los tratas como el mismo botón. Uno pide al cliente de Tor que construya otra ruta para un sitio; el otro pide al cliente VPN que se conecte a otro extremo. Ninguno es un reinicio, y la dirección que un sitio acaba viendo depende de cuál de los dos esté más cerca del destino. Así decido qué control usar y qué compruebo después.

Dos operaciones en dos capas distintas

Tor es una capa superpuesta. El cliente elige un relé guardián, un relé intermedio y un relé de salida, y luego lleva flujos TCP por ese circuito; el destino ve la salida y nada más. Un cambio de circuito es una decisión dentro de Tor sobre qué relés llevan un flujo.

Una VPN es un túnel por debajo. El cliente elige un extremo, envuelve el tráfico en una capa exterior, y lo que venga después ve la dirección del extremo. Un cambio de servidor es una decisión sobre dónde termina la ruta exterior.

Como las capas son independientes, una operación puede ser invisible en el extremo lejano de la conexión. Esa asimetría explica la mayor parte de la confusión en torno a estos dos controles.

Qué hace Nuevo circuito de Tor para este sitio

Nuevo circuito de Tor para este sitio, en el panel de información del sitio, cierra los flujos que Tor lleva para ese sitio y construye un circuito nuevo para la siguiente petición. Las pestañas, las cookies, los inicios de sesión y el resto de la sesión se quedan exactamente donde estaban, y esa es la idea: conservas la sesión y cambias la ruta.

Eso lo convierte en la herramienta adecuada para un fallo concreto: un relé de salida que el destino bloquea, un bucle de captcha que sigue a la salida, o un sitio que se atasca mientras todos los demás van bien. La vista del circuito en ese mismo panel lista los tres relés, así que puedes confirmar que la salida cambió de verdad en lugar de suponerlo.

Vigila al guardián. Tor mantiene un conjunto pequeño de guardianes de entrada, y un cambio de circuito normalmente reutiliza el mismo guardián, así que el primer salto en la red no se mueve. Nueva identidad es el reinicio mayor: cierra pestañas y borra el estado de navegación antes de construir un circuito nuevo, y los controles de identidad están documentados aparte por una razón: es otra operación con otro coste.

Qué hace un cambio de servidor VPN

El cliente derriba el túnel y se conecta a otro extremo. El siguiente salto fuera del túnel, sea un guardián de Tor o el propio destino, ve una dirección de origen distinta. Las conexiones dentro del túnel se rompen y deben restablecerse, así que las páginas pueden quedarse colgadas hasta agotar el tiempo en vez de recargarse limpiamente.

Nada por encima del túnel se reescribe, pero el derribo no es invisible. En una configuración con la VPN delante, la salida la sigue eligiendo Tor, pero al caer el túnel mueren las conexiones TCP que Tor mantiene con su guardián, así que Tor derriba esos circuitos y construye otros, volviendo a elegir una salida. El sitio puede ver, por tanto, otra dirección de salida tras un cambio, aunque el cambio en sí nunca eligió ninguna. Lo que el cambio decide es la dirección que ve el guardián; el circuito reconstruido es lo que vuelve a elegir la salida. Si cambiaste servidores solo para cambiar lo que ve un sitio mientras Tor está delante, moviste una capa que el sitio nunca observa directamente, y cualquier cambio que note vino de la reconstrucción, no del cambio.

Un cambio además solo afecta a la ruta que posee el cliente. Un navegador que reutiliza una conexión abierta puede parecer atascado en la ruta antigua hasta que se reconecta, y una respuesta DNS en caché es la otra causa habitual. Recarga primero, luego juzga.

El orden decide qué ve el destino

Los dos órdenes responden preguntas distintas. Con la VPN delante de Tor, el guardián y los relés ven el extremo de la VPN mientras el destino ve la salida de Tor. Con Tor delante de la VPN, el destino ve el extremo de la VPN, porque el túnel es lo último por lo que pasa el tráfico.

Así, una consulta de IP informa de lo que vio el destino, no de la ruta que lo llevó. Un servicio que muestra la salida en una configuración y la VPN en la otra se comporta correctamente, no filtra.

Qué no hace ninguna de las dos operaciones

Ninguna borra la identidad de una cuenta. Una sesión iniciada es una cookie más un registro en el servidor, y cambiar una ruta no toca ninguna de las dos. Un perfil de navegador estable, el mismo inicio de sesión y la misma huella sobreviven a ambas acciones.

Ninguna es prueba tampoco. Un sitio informa de una dirección que observó durante una petición; no puede informar de tu ruta de relés ni de si tu VPN cayó hace diez minutos. Si necesitas esa cronología, apúntala en el momento, porque después no se puede reconstruir desde el extremo lejano.

Empareja el control con el síntoma

Empieza por lo que falló, no por qué botón parece más completo:

• Un sitio te bloquea, los captchas dan vueltas o un solo sitio va lento: circuito nuevo para ese sitio.
• Una configuración solo con VPN necesita otra dirección visible: cambia el servidor.
• Esperabas una salida pero el sitio informa de tu VPN: revisa el orden, Tor está detrás del túnel.
• Pestañas cerradas y todo reiniciado: usaste Nueva identidad, no un cambio de circuito.
• La salida parece igual tras un cambio de circuito: los relés pueden repetirse legítimamente, y el guardián no se moverá en absoluto.

Apunta la acción y el síntoma que debía corregir antes de cambiar nada más. Dos cambios seguidos producen una comparación que no se puede interpretar, y repetir ambos cuando solo una capa se comporta mal es como una comprobación de cinco minutos se convierte en una tarde entera.