Tor sobre VPN: ¿quién ve tu IP y quién ve que usas Tor?

Conectas el cliente VPN, esperas el túnel y luego abres Tor Browser para que construya un circuito. Esa secuencia tan corriente es la que decide quién ve qué. En ese orden, el relé de entrada de Tor saluda a la dirección de salida de tu VPN, y tu proveedor de VPN saluda a un relé de guardia público. Hazlo al revés y ambos observadores cambian. Merece la pena recorrer ambos órdenes, porque la configuración del cliente rompe en silencio la secuencia que la gente creía establecida, y la comprobación que lo detecta es la misma en los dos casos.

Empieza por el orden, no por el producto

Dos disposiciones se llaman «VPN con Tor», y solo la primera es habitual. Con Tor sobre VPN, el túnel ya está levantado cuando arranca Tor, así que el proceso tor envía su conexión de guardia dentro del túnel como cualquier otro tráfico saliente. Con VPN sobre Tor, primero arranca Tor y la propia sesión VPN viaja por el circuito, llegando al proveedor desde una salida de Tor.

Lo que cambia entre ellas es qué dirección ocupa el extremo más lejano del enlace más externo. Cada observador solo ve el salto anterior, nunca la ruta completa: la guardia ve a quien se conectó con ella, y el servidor VPN ve a quien se conectó con él. Tor no transporta hacia fuera la dirección local de tu túnel, y no hay ningún campo en el protocolo donde pudiera hacerlo.

En ambos órdenes el sitio de destino sigue viendo una salida de Tor, y ningún orden cambia lo que ese sitio aprende de tu inicio de sesión. La diferencia se limita a los dos bordes.

Qué ve el relé de entrada de Tor

La entrada, o guardia, acepta una conexión TCP corriente en un puerto de relé y comienza un intercambio TLS con el cliente. En una configuración de Tor sobre VPN, el origen de esa conexión es tu salida VPN. En una configuración con Tor primero, es la dirección que usó tu máquina para llegar a la red Tor, normalmente tu conexión de casa.

Eso responde a la mitad de la pregunta sobre la IP, pero solo si el túnel llevó realmente la conexión. El proceso Tor llega a la guardia con su propio socket, y ese socket no se rige por la configuración de proxy de Tor Browser. El navegador habla con el proceso tor incluido mediante SOCKS en el 9150, y luego tor abre su propia conexión usando la tabla de enrutamiento del núcleo. Una línea Socks5Proxy en torrc, o un transporte de cliente, cambian esa ruta. Nada más lo hace.

En Linux puedes leer la respuesta en la propia máquina. Pregunta al núcleo qué interfaz usaría para una dirección pública cualquiera, y luego mira la dirección local de la conexión establecida:

ip route get 203.0.113.10
sudo ss -tnp | grep -i tor

Si la ruta dice dev wg0 o dev tun0, y la dirección local de la conexión establecida es la dirección del túnel, Tor está dentro de la VPN. Si la ruta nombra tu interfaz física, está fuera, diga lo que diga el indicador del cliente.

Qué puede ver tu proveedor de VPN

El proveedor termina tu sesión VPN, así que ve las direcciones a las que te conectas. Las direcciones de los relés de guardia se publican en el consenso público y sus puertos son bien conocidos, así que emparejar una es una búsqueda en una lista, no una inspección profunda de paquetes. Un proveedor no necesita romper Tor para saber que una sesión es Tor.

Lo que no ve es el resto del circuito. El relé intermedio y la salida se eligen dentro de Tor, y el proveedor solo maneja el enlace con la guardia. El contenido de la página permanece dentro del TLS que termina en la salida, y la resolución de nombres para el tráfico de Tor también ocurre en la salida, así que no hay ninguna consulta DNS en el proveedor que correlacionar con un destino.

Los puentes con obfs4 cambian la búsqueda, no la topología. La dirección de un puente falta en la lista pública de relés y el tráfico se moldea para no parecer Tor, así que un operador que solo compara direcciones no lo marcará. La sesión sigue viniendo de tu cliente VPN, y el proveedor sigue viendo un extremo, un volumen y un horario.

La capacidad no es una política de retención

Un operador que puede observar una conexión no ha prometido conservarla. El registro es una decisión aparte, escrita en una política, limitada por la jurisdicción y comprobable solo con pruebas en las que ya confías. La etiqueta de sin registros no cambia el papel de red descrito arriba.

La identidad de la cuenta suele importar más que la dirección de salida. Si iniciaste sesión con una dirección de correo o pagaste con tarjeta, el proveedor puede vincular la sesión contigo sin registrar un solo destino. Rotar las IP de salida no hace nada al respecto.

Comprueba la cobertura antes de confiar en cualquiera de las dos respuestas

La mayoría de quienes creen que ejecutan Tor sobre VPN ejecutan solo una parte. El enrutamiento dividido que excluye Tor Browser, un interruptor de seguridad que cubre el navegador pero no el servicio tor, una unidad de arranque que se ejecuta antes de que el túnel esté levantado y una ruta IPv6 que rodea el túnel son los cuatro habituales.

Leer la pantalla de estado del cliente no prueba ninguno de ellos. La prueba que sí lo hace: deja Tor Browser en marcha, baja el túnel y observa si la conexión de guardia sobrevive en la interfaz física.

El orden en el que compruebo, deteniéndome en el primer fallo:

• ip route get 203.0.113.10 devuelve el dispositivo del túnel.
• ss -tnp | grep -i tor muestra la conexión de guardia con una dirección local del túnel.
• ip -6 route no tiene ruta por defecto fuera del túnel, o IPv6 está desactivado en el cliente.
• Bajar la VPN termina o redirige la conexión de tor en lugar de dejarla en el enlace físico.

Qué orden encaja con lo que defiendes

Ambos órdenes ocultan algo y exponen algo, así que la respuesta es una elección sobre el observador que te importa.

Léelo por columnas hasta que una fila coincida con lo que intentas evitar. Si la preocupación es una red local o un proveedor de acceso que registra o bloquea Tor, Tor sobre VPN lo resuelve. Si la preocupación es que el operador de la VPN conozca tu dirección de casa, VPN sobre Tor lo resuelve, y lo paga exponiendo el uso de Tor a tu propia red y tu dirección de casa a la guardia.

Ninguna de las dos disposiciones deja los dos bordes ciegos. Añadir un observador no elimina otro. La nota del Tor Project sobre ejecutar una VPN con Tor dice lo mismo desde el otro lado: el túnel cambia en quién se confía y qué rutas de fallo existen, así que no es una mejora que se añada sin decidir qué querías ocultar.

Decide primero el observador, elige después el orden y verifica con ip route get y ss en lugar de con el indicador del cliente. Si el observador es alguien que puede obligar al propio proveedor de VPN, ninguna elección de orden lo arregla.