Lo que la red local sigue viendo a través de tu VPN

Tres observadores se funden en una sola pregunta cada vez que alguien pregunta si una VPN oculta su tráfico: la red a la que está conectado, la máquina que tiene en las manos y el operador del túnel. Cada uno aprende algo distinto, y el túnel cambia cada una de esas vistas de una manera diferente. Conviene trabajar en la dirección contraria y partir de la afirmación que se hace, porque la afirmación es lo que tiene que sobrevivir al escrutinio. Decide qué afirmación necesitas y luego compara las herramientas con ella.

Primera afirmación: nadie puede leer el tráfico

Empieza por la afirmación más estrecha: la carga útil sigue siendo ilegible. Un observador pasivo en la ruta no puede ver dentro de una sesión TLS, así que el túnel añade poco a un sitio que ya usa HTTPS y no añade nada contra los dos extremos. Quien rompe esta afirmación es quien controla el dispositivo, porque un proxy de inspección termina la conexión y la vuelve a firmar con una raíz en la que la máquina ya confía. Por eso el candado sigue apareciendo mientras la cadena de certificados lleva el nombre de la organización que instaló la raíz.

security find-certificate -a -p /Library/Keychains/System.keychain | openssl crl2pkcs7 -nocrl -certfile /dev/stdin | openssl pkcs7 -noout -print_certs | grep subject
certutil -store Root

En macOS esa tubería imprime una línea de sujeto por cada certificado del llavero de la máquina, sin abrir ninguna ventana, y en Windows certutil -store Root enumera el mismo almacén que certlm.msc muestra gráficamente. Una raíz que pertenece a una escuela, a un empleador o a un producto de seguridad de red es la entrada que hay que buscar. Encontrar una demuestra solo que la interceptación es posible, no que esté ocurriendo.

Lo que puedes hacer al respecto es una cuestión de política y no técnica. Quitar un perfil o una raíz de inspección de un hardware que no es tuyo normalmente incumple el acuerdo de uso aceptable, y el sistema de gestión suele darse cuenta y volver a aplicarlo, así que exigir que el propietario del dispositivo no lea tu tráfico necesita otro dispositivo y no otro ajuste.

Segunda afirmación: nadie puede ver adónde vas

El destino es la afirmación más difícil, porque se producen dos revelaciones antes de que cargue una página. La consulta va al resolutor que el sistema tenga configurado, y la respuesta es visible para la red que la transporta. Después el saludo TLS lleva el nombre del servidor solicitado en claro, salvo que Encrypted Client Hello esté admitido en ambos extremos. Ninguna de las dos revelaciones implica descifrar, así que el túnel no tiene efecto sobre ninguna.

resolvectl status | grep -A2 "Link"
nslookup example.com

Qué resolutor se usa realmente decide la exposición, y puede medirse en lugar de discutirse. En Linux, resolvectl status imprime los servidores DNS por enlace, y su salida te dice si responde el resolutor del sitio o el impuesto. Windows responde a la misma pregunta con nslookup example.com, cuyo primer bloque de salida es el servidor DNS que respondió.

Cuando el portátil consulta el resolutor del sitio antes de que suba el túnel, o el perfil llega sin un servidor de reemplazo y el viejo sigue en uso, el administrador sigue recogiendo nombres de host sin descifrar nada. El DNS cifrado del navegador o bien esquiva el resolutor impuesto o bien queda bloqueado del todo y falla cerrado. El operador de salida ve los mismos nombres desde su lado. Por eso cambiar el resolutor no aleja esa revelación del proveedor del túnel.

Tercera afirmación: nadie sabe que te conectaste

La tercera afirmación es la que un túnel no puede sostener, porque los paquetes siguen cruzando la red local. Esa red conoce la dirección del extremo, el volumen aproximado, el momento y la existencia de una sesión cifrada de larga duración, lo que basta para bloquear, limitar o simplemente notar. Un cortafuegos que no puede leer un paquete aún puede negarse a dejarlo pasar. Estar vigilado no es lo mismo que no estar vigilado por nadie: has movido al observador, no lo has borrado.

El túnel dividido, y cualquier aplicación que ignore la ruta impuesta, producen flujos fuera del túnel que se ven exactamente como antes. Esos son los flujos que un observador atento nota primero, y la tabla de rutas del cliente muestra qué destinos quedan excluidos.

El operador del otro extremo tiene la imagen espejo de esa vista: dirección de salida, momento, volumen y normalmente los nombres de los sitios. Tu proveedor pasa a ser la parte con el mirador, lo que es un trato distinto de la invisibilidad. Elegir un proveedor en el que confías es una decisión real; llamar inobservado al resultado, no.

Decide qué afirmación necesitas

Escribe el requisito en una línea antes de tocar un cliente: ocultar el contenido, ocultar los destinos u ocultar si te conectaste siquiera. El contenido ya lo resuelven HTTPS y el túnel, mientras que los destinos requieren un resolutor y una ruta que eviten por completo el equipo del sitio.

El tercer requisito es el incómodo, porque algo sigue visiblemente conectado en algún lugar, cifrado o no. Ningún ajuste del cliente cambia eso. Si el requisito y la política se separan, esa brecha pertenece a una conversación con quien es dueño de la política, no a una opción del cliente. Quien puede responderlo es quien escribió la política.