- Quién necesita una VPN siempre instalada: perfiles y motivos reales
- Vídeo en streaming y VPN: ¿se corta al activarla o desconectarla?
- Qué aporta una VPN en una Wi-Fi pública cuando navegas por webs con HTTPS
Conectar el router o el móvil a una VPN cifra tu tráfico y lo esconde de miradas ajenas, pero no te vuelve invisible para tu propio operador. Tu proveedor de Internet sabe que estás usando una VPN y, según cómo la tengas configurada, puede llegar a averiguar cuál es exactamente. Te explicamos qué ve tu ISP, cómo identifica el servicio y qué queda realmente a salvo.
La confusión más habitual es pensar que la VPN lo tapa todo por igual. Tu operador puede detectar sin demasiado esfuerzo que hay un túnel cifrado saliendo hacia un servidor externo: eso es casi imposible de disimular. Averiguar si ese servidor pertenece a un servicio comercial concreto o a tu propia red doméstica ya exige algo más de trabajo. El contenido de lo que navegas sigue siendo un misterio para el ISP, pero los metadatos de la conexión dejan pistas bastante claras.
Qué ve exactamente tu operador cuando conectas una VPN
Al establecer una conexión VPN, tu proveedor accede a los metadatos de la comunicación, no a su contenido. Ve tu dirección IP pública original y la del servidor remoto al que te conectas, aunque no sepa qué viaja dentro de ese túnel. Buena parte de ese tráfico circula además por puertos reconocibles, como el 1194 que usa OpenVPN por defecto, lo que ayuda a identificar el tipo de conexión sin necesidad de ver el contenido.
Aunque el túnel vaya cifrado, el patrón de tráfico (cuándo mandas paquetes y de qué tamaño) sigue siendo visible para la infraestructura de red. Tu operador no distingue si estás viendo una serie en streaming o repasando el correo, pero sí puede saber que envías datos cifrados a una máquina concreta, de forma constante y durante cuánto tiempo.
Es un poco como el cartero que reparte un sobre certificado: puede ver quién lo envía y a quién va dirigido, además de observar su tamaño y cuántas veces se mueve ese sobre a lo largo del día, pero no tiene forma de abrirlo y leer lo que hay dentro.
Cómo identifica el operador qué VPN concreta usas
Saber que usas una VPN es trivial para cualquier operador; saber cuál usas exige cruzar varias pistas. La IP de destino, las consultas de resolución de nombres y la huella del protocolo son los tres vectores que permiten acotar el servicio.
La vía más directa es la base de datos de rangos IP. Los proveedores de VPN comerciales usan bloques de direcciones que suelen estar catalogados públicamente en los registros de Internet. Si tu operador cruza la IP de destino con esas listas, puede identificar en poco tiempo a qué compañía pertenece. Cambiar de servidor dentro de la misma app no sirve de mucho: casi todos los nodos de un mismo proveedor comparten rangos.
Otra pista decisiva son las consultas DNS. Antes de levantar el túnel cifrado, tu dispositivo necesita saber la IP del servidor VPN, y para eso lanza una consulta DNS. Si no tienes configurado un DNS cifrado, o si la propia app resuelve su dominio a través del DNS por defecto de tu operador, el ISP puede ver esa petición. Ahí queda expuesto el dominio del proveedor, justo antes de que entre en juego el cifrado.
Por último, cada protocolo de tunelización deja una firma propia en los primeros paquetes de la negociación. Con técnicas de Inspección Profunda de Paquetes (DPI), un operador puede llegar a distinguir si usas OpenVPN, WireGuard o IPsec a partir de esa cabecera inicial. Esto no siempre señala a un proveedor comercial concreto, pero descarta opciones y reduce bastante el abanico de posibilidades.
Qué queda fuera del alcance de tu operador aunque sepa que usas VPN
Detectar el servicio y vigilar el contenido son dos cosas completamente distintas, y conviene no mezclarlas. Mientras el túnel funcione correctamente y no haya fugas de configuración en tu dispositivo, tu operador no puede ver qué páginas visitas, qué buscas ni el contenido de los archivos que descargas.
Si la VPN gestiona bien tus consultas DNS y las redirige por su propio túnel, tu ISP tampoco sabrá qué dominios estás resolviendo en cada momento. La privacidad de tu navegación se traslada entonces de tu operador de fibra o móvil hacia el proveedor de la VPN, que es quien tiene la capacidad técnica real para ver, o decidir no registrar, tu actividad en la red.
Esto explica por qué elegir proveedor de VPN no es un detalle menor: estás cambiando de manos quién puede observar tu actividad, no eliminando esa posibilidad. Un servicio con política de no registros (no-logs) auditada reduce el riesgo, pero la confianza se deposita en una empresa distinta a tu operador habitual.
De qué sirve la ofuscación o cambiar de puerto
Algunos servicios de VPN incluyen modos de ofuscación pensados para camuflar el tráfico y hacer que parezca tráfico HTTPS normal, el mismo que usas para entrar en cualquier web con candado en la barra de direcciones. Esto complica que un sistema DPI identifique el protocolo por su huella característica.
Pero cambiar el puerto o activar la ofuscación no toca la IP de destino ni arregla las fugas de DNS, que siguen siendo la vía más directa para que tu operador ate cabos. Estas técnicas bajan la probabilidad de que un firewall corporativo o estatal bloquee la conexión por el tipo de protocolo, pero no impiden que el ISP vea que te conectas a una dirección asociada a un servicio de anonimato.
La invisibilidad total frente a tu proveedor de Internet no existe. La clave está en reducir al mínimo las pistas que delatan qué servicio usas: eso pasa por configurar un DNS cifrado y evitar que la aplicación resuelva su propio dominio a través del DNS por defecto de tu operador.