VPN antes que Tor: qué cambia realmente el orden

Conectar primero la VPN produce una cadena concreta: dispositivo, extremo de la VPN, entrada de Tor, circuito de Tor, destino. Tu red local ve una conexión cifrada a la VPN, y el nodo de entrada de Tor ve la salida de la VPN como origen inmediato en lugar de la dirección de tu proveedor. El operador de la VPN, a su vez, ve conexiones hacia la infraestructura de entrada de Tor y puede inferir el uso de Tor a partir de los destinos. Cada observador pierde algo y gana algo, por eso el orden es un intercambio y no una mejora.

Nada en esa cadena cambia lo que el sitio web aprende de tu cuenta, de las cookies o de los datos que escribes.

Qué cambia el orden

La red local y el proveedor de internet pierden la visibilidad directa de tu tráfico de Tor, porque el primer salto es ahora un túnel cifrado hacia un proveedor. El guardián de entrada de Tor pierde tu dirección de casa y ve la salida de la VPN. El proveedor de la VPN gana los metadatos que antes tenía tu proveedor: a qué direcciones contactas, a qué horas y cuántos datos se mueven.

Más allá del guardián de entrada, el circuito se comporta como antes. Los relés siguen separando los papeles de entrada, medio y salida, y la VPN no ve el contenido final más de lo que lo veía tu proveedor.

Confirma la ruta que se usa realmente

El enrutamiento dividido es el motivo habitual de que la cadena prevista no sea la real.Si el Tor Browser queda excluido del túnel, o un segundo perfil enruta de otra forma, el guardián de entrada vuelve a ver la dirección del proveedor mientras la interfaz sigue pareciendo conectada. Comprueba la ruta y la salida observada, no el icono.

ip route get 1.1.1.1
ss -tunp | grep -E 'tor|9150|9050'
curl --socks5-hostname 127.0.0.1:9150 https://check.torproject.org/api/ip
resolvectl status | grep -A3 'DNS Servers'

La petición SOCKS por el puerto 9150 la responde el propio cliente del Tor Browser, así que una respuesta IsTor true confirma el circuito del navegador, no que cualquier otro programa lo use. Merece la pena registrar la salida del resolutor porque el DNS puede salir por una ruta que el túnel no cubre. Conserva ambas salidas con una marca de tiempo. Son la línea base para la siguiente comparación.

Compáralo con una petición directa desde un terminal normal: si también informa de Tor, algo más redirige el tráfico y la cadena no es la que suponía el diseño.

Observa qué ocurre cuando cae el túnel

Un cliente que vuelve en silencio a la interfaz local cambia el origen que ve el guardián de entrada, y el usuario normalmente no lo sabe porque la página sigue cargando. Ese es el fallo que merece la pena probar, no el camino feliz. Desconecta el túnel a propósito y observa si el tráfico de Tor se detiene o continúa sin protección.

nft list ruleset | grep -i -E 'vpn|tun|drop'
iptables -S | grep -i tun
ip link show | grep -E 'tun|wg'

Las reglas de cortafuegos que bloquean el tráfico saliente fuera del túnel son el único control de reserva fiable, y deben cubrir tanto el cliente SOCKS del navegador como cualquier otro programa que te importe. Una extensión del navegador no es una VPN de dispositivo y no afecta a otros programas ni a observadores externos.

Decide si la capa extra se gana su confianza

El Proyecto Tor desaconseja apilar una VPN bajo Tor a menos que puedas evaluar tú mismo la configuración. El motivo que dan es la dependencia añadida: otra parte, otra cuenta y otro modo de fallo. Si el objetivo es impedir que tu proveedor vea que usas Tor, la VPN se dirige precisamente a ese observador. Si el objetivo es una anonimia más fuerte frente a un observador global, la VPN no la proporciona.

También existe el orden inverso, y los nombres no son intercambiables:Tor sobre VPN y VPN sobre Tor describen relaciones de confianza distintas y comportamientos de fallo distintos. Lee la comparación antes de mezclarlos.

Anota qué observador intentas mover, luego verifica que la ruta real coincide con el diseño, luego verifica el comportamiento de fallo. Si esas tres respuestas no justifican la cuenta y la configuración adicionales, la configuración documentada del Tor Browser tiene menos piezas que equivocar.