¿Quién puede ver tu tráfico VPN? Cuatro observadores
La red local, el operador de VPN, la empresa y el destino ven cada uno una porción distinta. Compáralos antes de confiar en un túnel para la privacidad.
Un túnel cambia dónde se vuelve observable tu tráfico. No lo hace inobservable, y la parte que gana visibilidad es aquella por la que encaminaste el tráfico. Si ese intercambio merece la pena depende de qué salto desconfías, así que la comparación útil es entre los observadores y no entre las marcas.
Cuatro partes se sientan en una conexión
Sigue una petición desde el portátil hacia fuera y aparecen cuatro posiciones: la red de acceso a la que te uniste, la salida de la VPN, el entorno corporativo si el dispositivo está gestionado y el propio destino. Cada una ocupa un lugar distinto en el camino, así que cada una recoge un tipo distinto de pruebas. La tabla es todo el argumento en una sola vista.
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
Lee la tabla desde la amenaza hacia fuera. Si la preocupación es el Wi-Fi de la cafetería, la primera fila es lo que cambia; si la preocupación es el proveedor, has cambiado un operador por otro y la segunda fila ahora importa más. Las filas no compiten; cada una describe una posición distinta en el mismo camino.
La red de acceso sigue viendo el túnel
Tu proveedor o la red del hotel ve una conexión a una dirección IP, los bytes transferidos y los momentos en que se movieron. No ve los sitios dentro del túnel, siempre que la resolución de nombres también viaje dentro de él y el destino se alcance por la salida y no directamente.
Dos fugas sobreviven más a menudo de lo que la gente espera. Las consultas DNS enviadas al resolutor local siguen nombrando los sitios, y el nombre del servidor en un saludo TLS ordinario es legible en el camino salvo que se use el saludo de cliente cifrado. Ninguna se corrige instalando un cliente; ambas son cuestiones de configuración.
El operador de VPN y la empresa detrás
Un proveedor comercial se sitúa exactamente donde estaba tu proveedor: reenvía tus paquetes y puede leer todo lo que no esté cifrado por separado. Una contraseña escrita en un formulario HTTP simple es legible en la salida aunque el primer salto estuviera cifrado. El túnel movió la confianza, no eliminó la exposición. Lee la política de registros del proveedor antes de suponer que el cambio ha mejorado algo.
En un portátil de trabajo gestionado, la organización posee el punto final, así que la gestión del dispositivo, el registro DNS y los registros del proxy lo observan haya o no un túnel conectado. Una VPN personal no hace privado un dispositivo gestionado, y en muchas redes es una violación de la política más que una medida de privacidad.
El tráfico de otros dispositivos de tu casa no es visible para ese empleador, salvo que el portátil de trabajo actúe deliberadamente como su puerta de enlace. Esa distinción importa cuando un hogar comparte una conexión y asume lo peor.
El destino y los vecinos de la salida
El sitio que visitas ve la dirección de salida, la cuenta con la que iniciaste sesión, las cookies y las características del navegador. Un túnel solo cambia el primer elemento, e iniciar sesión vincula la dirección de salida contigo de todos modos.
Los servicios compartidos añaden un riesgo más sutil. Si el proveedor no aísla a los clientes entre sí, una máquina que escucha en un puerto puede ser accesible para otros clientes de la misma salida. Bloquear el tráfico entrante por defecto en el cortafuegos del host cubre la mayor parte de ese riesgo. Probarlo significa conectar un segundo dispositivo al mismo servicio e intentar alcanzar un puerto que escucha.
Algunas cosas nunca cambian: los identificadores de cuenta, el seguimiento a nivel de aplicación y el hecho de que el propio teléfono sabe que reenvía tráfico cuando compartes la conexión. Un túnel es una decisión de enrutamiento, no un cambio de identidad.
Elige al observador del que te escondes antes de elegir un producto. Si es la red local, casi cualquier salida bien configurada ayuda. Si es el registro del propio proveedor, el contrato forma parte de la decisión. Si es tu empleador, ningún túnel personal hará el trabajo.