La detección de VPN depende de dónde estés mirando

Dos detectores pueden vigilar al mismo usuario y discrepar, ambos correctamente. El observador junto al enlace de acceso ve la conversación exterior del VPN; el sitio web ve la conexión de aplicación que llega desde la salida. Son conexiones distintas con huellas distintas, y la evidencia de una no se traslada a la otra. Nombrar el punto de observación antes de discutir cualquier prueba TLS o TCP es lo que hace significativa la afirmación.

Un detector sin un punto de observación declarado describe una opinión, no una medición.

Dos puntos de observación, dos conexiones distintas

La conversación exterior pertenece al protocolo del túnel: sus propios formatos de mensaje, su propia máquina de estados, su propia temporización. La conexión interior es el navegador abriendo TLS al sitio web, transportada por el túnel y luego reenviada desde la salida. Ambas existen en el mismo momento y no son el mismo flujo. Una es lo que puede ver una red de acceso, la otra es lo que puede ver el destino, y un equipo intermedio que termine cualquiera de las dos cambia ambas imágenes.

Esa diferencia explica la mayor parte de la confusión en las discusiones sobre detección. Una prueba que informa de una cosa sobre un flujo a menudo responde a una pregunta sobre una capa distinta de la que el operador tenía en mente.

Qué ve el observador del camino de acceso

Junto al enlace de acceso, el material visible es el propio protocolo del túnel: tipos de paquetes de control y de datos para OpenVPN, los patrones fijos de apretón de manos y de datos de WireGuard, o cualquier envoltorio que añada el despliegue. Que un clasificador pueda identificarlos depende de lo que sea visible, del transporte que los lleve y de si hay ofuscación adicional. Un patrón reconocible es evidencia sobre un flujo, y no evidencia sobre la identidad o la intención de la persona que está detrás.

El puerto 443 es una convención para llegar a un servicio. No convierte todo transporte de túnel en HTTPS.

Qué ve realmente el sitio web

Con un túnel enrutado, el navegador sigue ejecutando su propia sesión TLS con el sitio. La traducción en la salida no convierte la puerta de enlace VPN en el extremo TLS del navegador, así que el ClientHello que recibe el sitio describe el navegador o su biblioteca TLS. Una huella al estilo JA3 caracteriza, por tanto, la conexión de aplicación, no el software VPN que la transporta. Solo un proxy que termina deliberadamente cambia esa disposición, y hay que identificarlo por separado.

Las observaciones TCP necesitan el mismo cuidado. El reenvío, la traducción y un proxy que origina una conexión nueva son tres diseños distintos, y solo uno de ellos reescribe la pila de transporte. Una sola característica inusual no implica de forma única un túnel.

Mantén la afirmación dentro de la evidencia

La clasificación de red, la observación de protocolos, las huellas de aplicación y las señales de cuenta son entradas para una decisión de riesgo, cada una con falsos positivos, falsos negativos y evidencia ausente. Una dirección en un rango de alojamiento no demuestra nada sobre un VPN comercial, y una huella de navegador común no demuestra nada sobre uno directo. Cuando evalúes un detector, usa un conjunto de datos autorizado con rutas conocidas y registra qué observación produjo cada resultado.

Mantén la clasificación de protocolo separada de una decisión de acceso con consecuencias. Una respuesta personalizada o un truco de paquete malformado no valida la inferencia que hay detrás; solo presiona una conjetura.

Un informe útil nombra la observación, el punto de observación y la confianza. Una línea escueta de «VPN detectado» oculta justo la parte que permitiría a alguien comprobarlo.