Abrir un segundo navegador no crea una segunda ruta VPN

Dos navegadores, dos ventanas, una en la cuenta del trabajo y otra en una cuenta personal, y la suposición es que ahora toman caminos distintos. No lo hacen. La separación de perfiles mantiene las cookies aparte, mientras que la decisión de enrutamiento ocurre por debajo del navegador y no sabe qué perfil preguntó. Un segundo camino necesita una regla que lo seleccione, y solo hay unos pocos lugares donde esa regla puede vivir.

Separar el estado no es separar el camino

Un perfil de navegador aísla el almacenamiento: cookies, historial, extensiones y a veces credenciales. Ese aislamiento se aplica dentro de un solo árbol de procesos y no tiene nada que decir sobre qué interfaz transporta un paquete.

Las ventanas privadas llegan más lejos en apariencia y nada más lejos en enrutamiento. Todo lo que envía el navegador sigue saliendo por el camino que elija el sistema operativo, salvo que algo entre el socket y la red lo cambie. Confundir el aislamiento de almacenamiento con el aislamiento de red genera expectativas que ningún fabricante de navegadores prometió y que ninguna prueba puede satisfacer.

Qué selecciona realmente una ruta

Cuatro cosas pueden seleccionar un camino distinto: una regla de VPN por aplicación que coincida con el ejecutable o el paquete, un proxy configurado dentro del navegador o del sistema, un espacio de nombres de red o un contenedor, y un segundo dispositivo físico. Cada una cambia algo real, y cada una tiene un coste.

Una regla por aplicación es la respuesta habitual en las plataformas móviles, donde el servicio VPN recibe una lista de paquetes. En el escritorio depende del cliente, y una regla que coincide con el ejecutable cubre todos los perfiles que ese ejecutable abra. Si dos perfiles necesitan de verdad caminos distintos, normalmente necesitan dos procesos con identidades diferentes en lugar de dos pestañas. Por eso una instalación compartida del navegador nunca puede ser la frontera en un diseño por perfiles.

Los proxys a nivel de aplicación añaden otro intermediario

Un ajuste de proxy en el navegador sí crea un camino separado, y también crea una relación de confianza separada con quien opera el proxy. Es un arreglo legítimo para un perfil, y no equivale a una cobertura de todo el dispositivo.

Elija el proxy a propósito: un escucha SOCKS en el mismo host, un proxy autenticado dentro del túnel o un servicio remoto. Mezclar un proxy con una VPN de túnel completo produce caminos anidados en los que los modos de fallo se multiplican.

Verifique la petición real de cada navegador

Envíe la misma petición desde cada navegador y compare la dirección de salida observada, en lugar de comparar las páginas de configuración. Un proxy configurado que falla silenciosamente al conectar es una forma muy común de acabar de vuelta en el camino predeterminado.

curl -sS --max-time 8 https://api.ipify.org
curl -sS --max-time 8 --proxy socks5h://127.0.0.1:1080 https://api.ipify.org
dig +short example.com

Después repita la petición con el proxy forzado y con el túnel caído, para ver qué capa transporta realmente el tráfico. Anote también la respuesta DNS, porque un navegador con su propio resolutor cifrado puede saltarse por completo el camino del sistema y aun así mostrar la página que esperaba.

Escriba la correspondencia prevista en dos líneas: qué proceso usa qué camino y quién posee cada uno. Tenga también a la vista las identidades de las cuentas, porque dos caminos no impiden que el mismo inicio de sesión se presente a ambos destinos. Vuelva a probar tras la próxima actualización del navegador, porque un ajuste de proxy se pierde con facilidad y cuesta notarlo.