Qué hace de verdad una VPN y de qué no puede protegerte

Las VPN se venden como una capa mágica: pulsa un botón y te vuelves invisible. La realidad es más modesta y a la vez más útil: un túnel que hace tres cosas concretas, las hace bien y ahí se detiene. Conocer estos límites ahorra dinero en suscripciones y evita sorpresas desagradables en el peor momento.

Cómo funciona el túnel

La app de VPN crea en el sistema una interfaz de red virtual y dirige a ella todo el tráfico del dispositivo. Los paquetes se cifran y viajan en un solo flujo hasta el servidor, allí se descifran y siguen hacia los sitios de la forma habitual, y las respuestas vuelven por el mismo túnel. La clave es todo el tráfico, desde el navegador hasta los servicios en segundo plano. Un proxy atiende los programas configurados, mientras que el túnel captura el sistema entero, incluidas las apps que no saben que existe.

Tres funciones honestas

• Cifrado hasta el servidor. La red local, desde el Wi-Fi de una cafetería hasta cualquier nodo intermedio, ve un solo flujo cifrado hacia una sola dirección. De ese flujo nadie puede extraer qué sitios abres ni qué envías.
• Cambio de dirección y ubicación. Los sitios ven la dirección del servidor VPN: una página de otro país, precios de otra región, acceso a recursos cerrados para tu dirección.
• Entrada a una red privada. La variante corporativa: un túnel hasta la oficina te convierte en miembro de la red interna con sus recursos. Ese es, por cierto, el sentido original de la sigla: red privada virtual.

Lo que una VPN no hace

Aquí empieza la zona de exageraciones publicitarias, y conviene recorrerla punto por punto. Anonimato: los sitios te reconocen por cuentas, cookies y huella del navegador, y cambiar de dirección no lo anula. Protección contra virus y phishing: el túnel transporta bytes sin distinguir si son útiles o maliciosos, y una página de acceso falsa es igual de peligrosa por VPN. Cifrado «hasta el final»: el túnel termina en el servidor VPN, a partir de ahí el tráfico sigue como siempre y su protección depende del HTTPS de cada sitio. Por último, la confianza: todo lo que antes veía tu proveedor ahora lo ve el operador de la VPN. No has quitado al observador, lo has elegido, así que elige a conciencia.

VPN o proxy

La tarea decide. Un túnel va bien para la protección personal: un usuario, todo el dispositivo, redes ajenas. Un proxy está hecho para esquemas de trabajo: programas separados, muchas direcciones distintas, automatización. Un scraper que necesita mil salidas no se monta sobre una VPN, porque el túnel da una dirección para todo el dispositivo. Y al revés: para un portátil en un aeropuerto un proxy se queda corto, no cubre el tráfico de las apps que olvidaste. Tenemos una comparación detallada por pasos en el artículo sobre cómo funciona un proxy, y un repaso práctico de tareas en el texto sobre para qué sirven los servidores proxy.

Unas palabras sobre protocolos

Bajo el capó del túnel vive un protocolo: al estándar moderno WireGuard se le valora por su velocidad y resistencia en redes móviles, al veterano OpenVPN por su compatibilidad y a IKEv2 por recuperarse rápido al cambiar de red. Para el usuario la diferencia se reduce a velocidad y estabilidad: si el cliente ofrece elegir, empieza por WireGuard. Las matemáticas del cifrado son igual de fiables en los tres con una configuración correcta.

Elegir al operador del túnel

Como todo el tráfico pasa por el servidor VPN, la identidad de su dueño se convierte en la propiedad principal del producto. Los túneles gratis sin modelo de negocio viven según las mismas leyes que los proxies gratuitos y las extensiones de navegador: alguien los paga, normalmente con datos de los usuarios. Para el acceso corporativo la respuesta es obvia: el túnel de la empresa. Para uso personal: un operador con jurisdicción clara, modelo de pago e historial. Quien tenga soltura técnica puede montar su propio servidor con WireGuard en una tarde y eliminar por completo la cuestión de la confianza, aunque queda la de tener una sola dirección.

Cómo comprobar tu túnel

Tras conectar, entra en la página de detección de IP: la dirección debe pertenecer al servidor VPN. Luego pasa la comprobación de anonimato: una fuga de WebRTC y una zona horaria que no coincide con la dirección delatan el túnel ante los sitios, y el informe muestra ambos puntos de inmediato. El DNS es otra historia: las consultas de nombres deben ir por el túnel y no al proveedor local, o la lista de dominios que visitas seguirá visible para la red de la que querías esconderte. Un buen cliente lo resuelve solo, y puedes verificarlo en la misma comprobación de anonimato, por los servidores de nombres.

Una fórmula corta para recordar: una VPN es un tubo cifrado con cambio de dirección. Lo que prometa más que un tubo merece una prueba frente a la práctica de protección en redes ajenas: allí se ve qué parte del trabajo hace el túnel y qué parte los hábitos.