¿Instalaste una VPN? Tu red local sigue viendo el dispositivo

Levantar un túnel no hace que la red local olvide la máquina, aunque esa es la suposición habitual. Las tablas de vecinos, los arrendamientos y los registros de nombres locales dicen otra cosa. El túnel cambia por dónde salen tus paquetes; no cambia lo que pueden ver tus vecinos.

Hay que comprobar dos perspectivas. Ninguna de ellas es la prueba de oculto o no que casi todo el mundo hace primero.

Tus vecinos siguen conociendo la máquina

Una dirección local, una dirección de hardware y, en la mayoría de las redes, un nombre de host arrendado siguen ligados a la máquina mientras está conectada. Un enrutador los enumera, y en un segmento plano otros hosts también pueden aprenderlos. El descubrimiento de vecinos, la asignación de direcciones y la resolución de nombres local ocurren en el segmento y no dentro del túnel, por eso una VPN no los suprime. Las tramas que llevan tu tráfico van cifradas de extremo a extremo, mientras que el arrendamiento y la entrada de vecino nunca formaron parte de esa conversación.

Lo que el túnel oculta es la lista de destinos. Tu enrutador ve un único flujo cifrado hacia un solo extremo en lugar de una serie de sitios, aunque el volumen, el momento y la reputación del extremo todavía describen bastante.

La dirección de salida es solo una identidad

La afirmación de que una VPN oculta un dispositivo en una red local es cierta en un sentido estrecho: un observador remoto ya no conoce tu dirección pública. Eso no dice nada sobre el punto de acceso al que estás conectado, que sigue conociendo la dirección de hardware con la que habla. Tratar las dos observaciones como una sola pregunta es como la gente concluye que un túnel falló cuando hizo exactamente lo que hace un túnel. Sepáralas y cada resultado se vuelve interpretable por sí solo.

La ubicación tiene un segundo canal que nunca toca una dirección. La geolocalización del navegador puede responderse a partir de un escaneo de puntos de acceso cercanos en lugar de una dirección, porque el sistema operativo entrega sus identificadores a un servicio de consulta que ya los asigna a lugares. Desenchufar la radio elimina esa entrada; un país de salida distinto no.

Si alquilas el servidor, el proveedor ve el patrón

Ejecutar el túnel en una instancia alquilada mueve la observación en vez de eliminarla. El proveedor de alojamiento ve el origen y el destino del flujo exterior porque tiene que enrutarlo, y la dirección del extremo identifica el servicio. La carga útil sigue siendo ilegible, pero un host que habla con un solo par y con nada más no es difícil de clasificar. Nada en esa descripción exige romper un cifrado.

Un patrón no es contenido. Si la preocupación son los registros del proveedor, la respuesta es un proveedor con una política declarada y una jurisdicción que aceptes, no un cifrado distinto. Un cifrado más fuerte no cambia nada en cómo se ve el flujo desde fuera.

El túnel dividido decide quién ve tus consultas

Con un túnel de trabajo, lo que el administrador puede observar depende de las rutas que instala el cliente. Con solo los prefijos corporativos en el túnel, la puerta de enlace registra exactamente esa porción de tu tráfico y nada más. Sin túnel dividido, cada paquete pasa por el empleador, incluidas las consultas de dominio cuando su resolutor se empuja al cliente. Esa diferencia decide cuáles de tus hábitos puede observar el empleador.

Revisa la tabla de enrutamiento en lugar de suponer, y fíjate en quién responde a una consulta de un nombre público. Una vez que su resolutor responde a tus consultas, retienen la consulta incluso cuando la página se descarga en otro sitio.

Comprueba ambas vistas antes de creer ninguna

Pide a un segundo dispositivo del mismo segmento que resuelva tu nombre de host e imprima su tabla de vecinos, y luego observa desde fuera qué dirección informa un servicio. Esas dos respuestas describen capas distintas, y ninguna prueba única de oculto o no cubre ambas.

arp -a
ip route show default
resolvectl status | head -n 20
dig +short example.com

Cambia una capa a la vez cuando pruebes. Apaga el protocolo de descubrimiento y el segmento pierde esa vista mientras el túnel queda intacto; cambia el país de salida y el registro de un sitio web cambia mientras el segmento no.