Qué cifra el túnel y qué deja legible

Tu túnel está activo, una pestaña muestra un candado verde y una página HTTP simple en otra pestaña sigue avisando de que la conexión no es segura. Esa combinación confunde a la gente porque las dos protecciones cubren distancias distintas. Una VPN protege el tráfico entre sus propios extremos, y más allá de la salida el tráfico vuelve a ser ordinario. HTTPS protege una conexión hasta el sitio web. Poner esos dos hechos uno al lado del otro explica la mayoría de las preguntas sobre qué oculta realmente una VPN.

Qué cubre realmente el túnel

Entre el cliente y el par de la VPN, un observador ve bytes cifrados en lugar de una petición legible. Eso cubre el tramo que cruza el túnel, que suele ser la parte que no controlas. No llega al enlace entre la salida de la VPN y el sitio web, porque el túnel terminó en la salida. Los bytes vuelven a ser legibles desde el momento en que el túnel termina. Nada de eso es una configuración incorrecta.

La salida es una máquina que descifra y reenvía, que es exactamente para lo que sirve una VPN. Todo lo que reenvía es visible para ella en la forma en que lo recibió, así que una petición HTTP simple sigue siendo texto plano desde la salida en adelante.

Léelo como una propiedad y no como un defecto. El cifrado se limita a una ruta, y la ruta termina donde empieza el servicio.

Claves, nonces e integridad en palabras llanas

El tráfico en curso se protege con criptografía simétrica, y ambos extremos derivan u obtienen el material de clave durante el saludo. El cifrado autenticado, descrito en términos generales por RFC 5116, ofrece confidencialidad e integridad en una sola construcción. El receptor rechaza los bytes modificados en lugar de simplemente no poder leerlos, y esa es la parte que la gente olvida cuando piensa que cifrar significa revolver.

Las claves vienen de ese intercambio, no de la contraseña escrita al iniciar sesión. La contraseña autentica una identidad, y después el protocolo establece material de sesión. El intercambio efímero de claves es lo que da secreto hacia adelante, así que una sesión grabada sigue siendo ilegible aunque una clave de largo plazo se filtre después.

Un número grande en una especificación no responde a ninguna de esas preguntas, y comparar números entre algoritmos no relacionados no es una clasificación. Pregunta más bien qué aporta el intercambio de claves.

Dónde termina el túnel

El extremo que termina el túnel puede leer lo que reenvía. Eso vale igual para una pasarela corporativa, un proveedor comercial y un servidor autoalojado. Es el diseño, no un defecto. La criptografía fuerte no puede impedir que un extremo comprometido lea el texto plano que le llega, porque el extremo es donde se detiene la protección.

HTTPS continúa más allá de ese punto, y por eso un sitio puede ser seguro en una red hostil incluso sin VPN. Las dos protecciones se solapan en el primer tramo y solo una continúa después de la salida.

Por eso mismo, debilitar la verificación del certificado para que funcione una conexión no es una prueba del túnel. Desactiva otra protección y te deja con menos de lo que tenías al principio.

Por qué el anonimato es otro producto

Las direcciones, el tiempo y el volumen siguen siendo observables fuera del túnel. Un observador puede ver que el tráfico fluye hacia un extremo de VPN, cuánto aproximadamente y cuándo. El contenido puede ser ilegible mientras el patrón aún informa.

El proveedor también está en un lugar distinto de tu propia red, lo que es un cambio de observador y no una eliminación de la observación. Las cookies, los inicios de sesión y los identificadores de cuenta funcionan exactamente como antes, porque el túnel nunca prometió alterarlos.

Elige un proveedor por su política de registro y su jurisdicción si ese es el requisito, y luego lee la política misma. Las páginas de marketing rara vez responden a esa pregunta de forma que alguien pueda auditar.

Comprueba el túnel y el sitio por separado

Verifica primero el túnel, para saber qué protección estás probando. Luego verifica el transporte propio del sitio y compara los dos resultados en vez de suponer que uno implica el otro. Un túnel que transporta HTTP simple y un sitio que sirve HTTPS hacen exactamente lo que se configuró para que hicieran.

Ejecuta las comprobaciones contra un host que tengas permiso para probar y lee la salida, no el resumen.

wg show
ip -brief addr show tun0
curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' https://example.com

Cuando el túnel está activo y el sitio es HTTPS, tienes dos protecciones en el primer tramo y una en el segundo. Cuando el sitio es HTTP simple, el segundo tramo es legible por cualquiera que esté en él, incluida la salida que reenvió la petición. Saber cuál de las dos falta es todo el diagnóstico, y requiere dos órdenes en lugar de un cliente nuevo.