¿Sin pares entrantes en tu nodo de Bitcoin detrás de una VPN?

Tu nodo está sincronizado, la VPN dice que hay conexión y getpeerinfo muestra ocho o diez pares. Ninguno de ellos tiene inbound establecido en true. Esa combinación es normal y no es un fallo: las conexiones salientes demuestran que el nodo puede llegar a otros, y nada en ellas demuestra que alguien pueda llegar a ti. Si el objetivo es un nodo que acepta conexiones P2P entrantes a través de una VPN, tienes que probar esa dirección por separado.

Sigue el paquete desde el par hasta tu escucha

El P2P entrante es una cadena de cuatro cosas, y falla en el eslabón más débil, no en el más interesante.

other peer
  -> provider's public address and assigned port
  -> the permitted VPN mapping
  -> Bitcoin Core's P2P listener

El valor predeterminado de P2P de Core en la red principal es 8333, pero el proveedor puede darte otro puerto público y otro destino del lado del cliente. Anota la dirección pública, el puerto externo y el lugar donde el proveedor entrega realmente el tráfico. Después confirma que tu plan y tu cuenta permiten conexiones entrantes, porque una dirección de salida dedicada no es un contrato de reenvío de puertos.

Esa distinción atrapa a quien compra una IP estática esperando accesibilidad. Que la dirección sea estable no dice nada sobre si el proveedor reenvía un puerto entrante a tu sesión.

Comprueba el escucha antes de comprobar el proveedor

Core tiene que escuchar en la dirección y el puerto a los que entrega el mapeo, y el cortafuegos del host tiene que permitirlo. Si el nodo se ejecuta en un contenedor o en otra máquina de la LAN, el siguiente salto y su ruta de respuesta también forman parte de la cadena.

Una regla de cortafuegos local no puede crear un mapeo en un proveedor que descarta los paquetes entrantes, y un mapeo del proveedor no puede llegar a un proceso vinculado solo a loopback. Las dos mitades tienen que coincidir en la misma tupla, y por eso el primer paso es escribir la tupla en lugar de adivinarla.

Mantén el extremo anunciado coherente con el mapeo vigente. Una dirección estática no hace permanente un puerto asignado ni su concesión entre reconexiones, así que un extremo publicado hace meses puede que ahora no apunte a nada. Vuelve a leer la página del proveedor después de cualquier reconexión y compárala con lo que anuncia tu nodo. Si el puerto se ha movido, el extremo antiguo ahora o no es de nadie o es de otra persona.

Lee el indicador entrante, no el total de conexiones

Desde un contexto RPC local autorizado, esta consulta de solo lectura enumera los pares:

bitcoin-cli getpeerinfo

La referencia de RPC define inbound como true para una conexión entrante y false para una saliente. Fíjate en ese campo. Un total por encima de diez no demuestra nada sobre la dirección, y los totales y las categorías cambian con la configuración y la versión de todos modos.

Después prueba el extremo mapeado desde fuera con una comprobación de accesibilidad nueva que tengas autorización para ejecutar, y mira si aparece un par entrante correspondiente. Ten cuidado con la salida que pegas en un hilo de soporte: las direcciones de los pares son datos de conexión de otras personas y no hace falta publicarlas para que respondan a tu pregunta.

No lo resuelvas exponiendo RPC

La documentación de RPC de Bitcoin Core advierte explícitamente contra exponer la interfaz RPC a la internet pública. Las conexiones con pares y la administración autenticada son servicios distintos, y hacer que el P2P sea accesible publicando RPC cambia un problema de conectividad por uno mucho peor.

Si prefieres no depender en absoluto del P2P entrante, un servicio onion es la alternativa documentada, y tiene sus propios requisitos previos: Tor disponible, autenticación de control configurada y ajustes de escucha que permitan crear el servicio. No aparece porque resulte que hay una VPN en marcha.

Excluir Core de la VPN es un tercer diseño, y legítimo para algunos operadores, pero pone el tráfico de pares en tu conexión normal. Eso no es acceso entrante a través de la VPN, y un router o un NAT superior todavía puede necesitar su propia entrada permitida. Elige cuál de los tres estás probando de verdad antes de cambiar cualquier otra cosa.