¿Quién puede ver tu tráfico en un servidor VPN alquilado?
Alquilar un servidor VPN traslada la confianza al proveedor de alojamiento. Recorre el camino del cliente a la salida y mira qué puede y qué no puede aprender cada observador.
Alquilar un servidor cambia en quién confías y no elimina la pregunta. El túnel oculta tu tráfico a las redes que atraviesa y luego entrega el texto plano a una máquina que ejecuta el hipervisor de otra persona. Seguir el paquete hacia fuera desde tu cliente muestra dónde está cada observador y qué puede ver realmente cada uno. Ese recorrido es más útil que cualquier afirmación sobre ser anónimo.
Empieza en el cliente y sigue el paquete hacia fuera
Antes de que algo salga del portátil, el cliente envuelve el paquete y lo dirige al punto final público del servidor. Tu red local y tu proveedor de internet ven un solo flujo hacia esa dirección y ese puerto, con un tamaño y un ritmo. Lo que no ven es qué sitio abriste, porque ese destino está dentro de la carga cifrada. La línea entre metadatos y contenido es todo el recorrido en una frase.
Ese primer salto es donde la mayoría de las afirmaciones de marketing dejan de ser interesantes. Un vecino en la misma Wi-Fi ve lo que ve el proveedor de internet, y ninguno de los dos ve la página. El volumen y el momento, sin embargo, siguen visibles, y describen comportamiento incluso cuando la carga no lo hace.
La red de alojamiento ve el túnel, no la página
Dentro de la red del proveedor, el flujo cifrado llega a un conmutador, luego a una interfaz virtual y luego a tu VM. Quien opera esa red puede contar bytes y guardar registros de flujo sin tener ninguna clave, y para eso no hace falta ninguna clave. Es exactamente la posición que ocupa un proveedor de alojamiento.
De camino hacia fuera la imagen cambia. La VM abre una conexión nueva al destino, así que la red de alojamiento puede ver esa dirección de destino y el apretón de manos TLS a su alrededor. La carga sigue protegida por el cifrado propio de la aplicación, y los metadatos no.
| Observer | Visible to it | Hidden from it |
|---|---|---|
| Local network | Tunnel endpoint, volume, timing | Destination and payload |
| Your ISP | The same flow metadata | Destination and payload |
| Hosting network | Tunnel flow, exit destination, TLS handshake | HTTPS payload |
| Hypervisor operator | Guest memory and virtual NIC, in principle | Nothing, if it chooses to look |
Lee las filas en orden y aparece la forma del problema: cada una ve más que la fila de arriba, y ninguna tiene que romper la VPN para hacerlo.
Dentro de la VM el túnel termina y empieza el texto plano
El túnel termina en tu VM, así que el invitado ve el paquete interior antes de que algo lo vuelva a cifrar. Eso no es un defecto; es lo que hace una salida autoalojada. Sí significa que la seguridad de la salida depende de quién administra el invitado, y en esa cuenta el administrador eres tú.
wg show
ss -tunp | head
nft list ruleset | head -40Ejecuta esos comandos en el servidor y estarás inspeccionando los mismos sockets que inspeccionaría un operador con root en el invitado. Todo lo que registran los servicios que ejecutas está dentro de esa misma frontera de confianza, y por eso los ajustes de registro del invitado y los registros de infraestructura son dos preguntas separadas y no un solo ajuste.
El hipervisor se sienta debajo del invitado
Una máquina virtual no es dueña del núcleo en el que se ejecuta. El hipervisor mapea su memoria y su tarjeta de red virtual, así que un operador en esa capa queda fuera de la capacidad del invitado para auditarlo. El aislamiento del invitado es real y merece confianza entre inquilinos, y no es una promesa de que el acceso privilegiado sea imposible. Esa asimetría merece decirse con claridad en lugar de esconderse detrás de la palabra aislamiento.
Un servidor físico dedicado cambia la disposición sin eliminar la red, el acceso físico ni la interfaz de gestión que proporciona el proveedor. Lee lo que documenta el producto en lugar de dejar que una sola palabra resuelva la cuestión del acceso.
Convierte el recorrido en una decisión de confianza
Anota cada observador y la capacidad que le concedes, y luego decide si esa concesión encaja con el tráfico que piensas enviar. La lista es corta: tu red local, tu proveedor de internet, la red de alojamiento, el operador del hipervisor y tú. Cualquier otra cosa es un subcontratista de alguno de ellos y hereda la misma capacidad. Decidir por adelantado es más barato que descubrir la lista después.
Después verifica las partes que de verdad puedes comprobar: qué registros escriben tus propios servicios, cuánto tiempo los guardas y qué publica el proveedor sobre los registros de flujo y la retención. Las políticas que puedes leer y probar son mejores que las suposiciones sobre qué significa una palabra como privado.