Rotar IP de proxy sin VPN: qué ve la salida

La rotación de proxy y una VPN cambian tu dirección pública en capas distintas, y esa diferencia decide qué se filtra. Una VPN mueve cada paquete a un túnel, así que la dirección de origen que ve el objetivo es el extremo del túnel. Un proxy se sitúa por encima de la capa de red: solo las peticiones que envías a través de él aparecen desde la salida, mientras que todo lo demás en la máquina conserva la dirección real. Acertar con esa separación convierte la rotación de una casilla en una decisión de diseño.

De dónde viene realmente la dirección pública

La dirección que ve un objetivo es la última desde la que salió tu tráfico, y en una conexión doméstica es la dirección del proveedor en tu router, no algo que posea la máquina. Reiniciar el router puede devolver el mismo arrendamiento, y cambiar su dirección MAC a veces produce una nueva, pero ninguna de las dos te da un selector de país. Una VPN sustituye la dirección de origen en la capa IP, así que cada paquete de la máquina, incluidos el DNS y las actualizaciones en segundo plano, sale del extremo del túnel. Un proxy trabaja una capa más arriba: acepta una petición, abre su propia conexión hacia el objetivo, y solo esa petición aparece desde la salida. Todo lo demás en la máquina sigue usando la dirección real.

Esa separación explica la mayoría de las sorpresas. Una extensión del navegador apuntada a un proxy cambia lo que envía el navegador y nada más, así que una segunda aplicación en el mismo host sigue filtrando la dirección original. Una VPN de todo el sistema tiene el modo de fallo opuesto: cubre tráfico que querías mantener local y solo falla cerrada si el cliente está configurado para ello. Elegir entre las dos es en realidad elegir qué tráfico tiene que moverse.

La rotación se aplica entonces a la capa que hayas elegido. Con un proxy, rotación significa que la siguiente petición usa una salida distinta. Con una VPN, significa derribar y reconstruir el túnel, lo que es más lento y se nota como una reconexión visible.

Qué puede leer un proxy HTTP y qué no

Con HTTP simple el proxy ve un URI absoluto en la línea de petición, cada cabecera y el cuerpo. Puede registrarlo todo y reescribir cualquier parte, y por eso un proxy gratuito que inyecta un script en las respuestas hace exactamente lo que el protocolo permite. La autenticación usa Proxy-Authorization, y una credencial ausente o incorrecta produce 407 Proxy Authentication Required en lugar de un error de conexión.

Con HTTPS el cliente envía CONNECT host:port y el proxy abre un túnel en crudo, tras lo cual ve bytes cifrados. Sigue aprendiendo el nombre de host de la línea CONNECT y normalmente del campo SNI del apretón de manos TLS, así que el registro a nivel de nombre de host sobrevive aunque la carga útil no. Leer la carga útil exige terminar TLS con un certificado en el que el cliente confíe, que es otro producto con otro riesgo. La especificación de semántica HTTP define CONNECT como una petición de túnel, que es el modelo mental correcto para lo que una salida puede y no puede ver.

curl -v -x http://proxy.example.net:8080 https://example.com 2>&1 | grep -E 'CONNECT|Proxy-'

La salida detallada muestra la línea CONNECT antes de cualquier tráfico TLS, y ese es el momento en que el proxy conoce tu destino. Un proxy que responde con 407 nunca abrió el túnel, así que reintentar con otros ajustes TLS no ayudará.

La granularidad de la rotación decide qué se rompe

Rotar en cada petición es el ajuste que parece más seguro y rompe más cosas. Las cookies, los tokens CSRF y las sesiones del servidor están ligados a una identidad, y una identidad que cambia entre el inicio de sesión y la siguiente llamada parece al objetivo un secuestro de sesión. Muchos proveedores ofrecen una sesión pegajosa codificándola en el nombre de usuario del proxy, así que la salida se mantiene fija durante una ventana elegida.

Elige la granularidad según la tarea, no según el valor por defecto del proveedor. Un rastreador que descarga páginas independientes puede rotar por petición, mientras que un flujo de pago o una API autenticada tienen que mantener una salida durante todo el flujo. Las dos llamadas de abajo muestran un nombre de usuario pegajoso y un punto final rotativo simple, y el socks5h esquema resuelve nombres en el proxy en lugar de localmente.

curl -sS -x http://user-session-a1b2:[email protected]:8080 https://ifconfig.me
curl -sS -x socks5h://127.0.0.1:1080 https://ifconfig.me

El DNS local es una fuga silenciosa. Si el cliente resuelve el nombre antes de conectar, el resolutor sigue aprendiendo cada host que visitas aunque la petición HTTP salga en otro sitio. La socks5h forma y la resolución del lado del proxy evitan eso, y usarlas no cuesta nada.

Qué clasifica el objetivo además de la dirección

La reputación de la dirección es una entrada entre varias. Los objetivos combinan el ASN y su etiqueta de centro de datos o residencial, la huella TLS del cliente, los ajustes HTTP/2, el orden de las cabeceras, la tasa de peticiones y la forma de la navegación. Una salida residencial movida por un navegador sin interfaz puede fallar donde una salida de centro de datos movida por una sesión real pasa.

El tipo de salida fija qué puedes afirmar honestamente sobre el tráfico, y cada uno conlleva un coste distinto.

Una salida compartida no es neutral. Todo lo demás que corre desde esa dirección cae en el mismo cubo de reputación, y una dirección ya quemada por otros inquilinos falla antes de que se lea tu primera petición.

Elige una salida que puedas describir en una política

La pregunta útil no es cómo ocultar la dirección sino quién responde del tráfico que sale de ella. Tu propia salida de nube por tarea, un proveedor contratado con un acuerdo de tratamiento de datos y una retención publicada, y una VPN autoalojada con una identidad por tarea son todas descriptibles en una frase. Una lista gratuita no, porque su operador no tiene ninguna obligación contigo y tiene todos los incentivos para registrar.

Mantén tus propios límites de tasa por debajo de lo que tolere el objetivo, y recoge solo los campos que la tarea necesita, para que un error siga siendo pequeño. Rotar más rápido para escapar de un bloqueo suele subir la tasa de peticiones que lo causó.

Escribe la salida elegida, su ventana de rotación y su propietario en la configuración del trabajo antes de la primera ejecución. Cuando llegue el bloqueo, esa nota es la que te dice si cambiar la salida o cambiar el comportamiento.