El filtrado del tráfico VPN no es una sola tecnología, sino varios niveles: listas de direcciones, firmas de protocolos y análisis de comportamiento en el equipo de los operadores. Los protocolos modernos responden a cada nivel con su propia técnica. Explicamos cómo funciona esto desde ambos lados, y por qué la respuesta honesta a «¿funciona?» suena como «normalmente sí, y aquí está el porqué».
Es un material técnico, pero sin fórmulas. Explica por qué un protocolo puede funcionar durante un mes y ralentizarse de la noche a la mañana, qué es el TSPU, cómo el camuflaje TLS engaña al analizador y qué hace en realidad la aplicación de MeduzaVPN cuando cambia de protocolo.
Tres niveles de filtrado
El operador de telecomunicaciones ve cada paquete que envías. No puede leer el contenido del túnel cifrado, pero puede hacerse tres preguntas: adónde va el paquete, qué aspecto tiene y cómo se comporta el flujo de paquetes a lo largo del tiempo. A cada pregunta corresponde un nivel de filtrado.
| Nivel | Qué se analiza | Cómo actúa | Respuesta de los protocolos |
|---|---|---|---|
| Direcciones | IP y puerto de destino | Listas de servidores VPN y subredes de hosting conocidos | IP personal, puertos no estándar |
| Firmas | Estructura de los primeros paquetes, cabeceras, tamaños | El DPI reconoce el protocolo por su protocolo de enlace característico | Camuflaje como TLS, ofuscación, relleno aleatorio |
| Comportamiento | Duración, volumen, relación entre entrante y saliente, regularidad | Modelos estadísticos marcan un flujo «demasiado constante» | Imitación de sesiones normales, cambio de puertos y direcciones, adaptación |
Listas de IP y dirección personal
El nivel más simple. Los operadores y reguladores recopilan direcciones de servidores de VPN conocidos y las añaden a listas de bloqueo. Encontrarlas no es difícil: un servicio masivo trabaja con cientos de direcciones que se publican en la aplicación y en el sitio web, y cualquiera puede conectarse y anotar adónde fue el tráfico.
Un servidor personal funciona de otra manera. Su dirección la conoces solo tú, no se publica ni se comparte con nadie más. No está en las listas ya elaboradas, y solo puede acabar allí si se bloquea toda una subred del hosting. Por eso el servidor VPN personal elimina casi por completo el primer nivel, pero solo el primero.
El bloqueo de subredes ocurre. En ese caso, la solución es cambiar de ubicación: el servidor se despliega de nuevo en otro centro de datos, con una dirección nueva, en pocos minutos. La posibilidad de elegir entre más de 60 ubicaciones sirve también para esto.
Firmas, DPI y TSPU
El DPI es un equipo que analiza los paquetes más allá de las direcciones: observa los primeros bytes de la conexión, el tamaño y el orden de los paquetes, las versiones y extensiones de los protocolos. Cada protocolo de VPN tiene un protocolo de enlace característico. El WireGuard clásico empieza con un paquete de tamaño fijo y estructura reconocible; OpenVPN, con sus propias cabeceras de servicio; IKEv2 usa puertos y un formato conocidos.
El TSPU (el sistema ruso de inspección profunda de paquetes, DPI) es DPI instalado en los operadores rusos con gestión centralizada de reglas. La diferencia clave frente a los filtros caseros: una regla añadida en el centro se aplica de inmediato en todos los operadores, y puede no bloquear, sino ralentizar, lo que hace más difícil entender qué ha pasado.
Qué ve exactamente el DPI
- El tipo y la versión del protocolo de enlace TLS, incluido el nombre del servidor en el campo abierto SNI.
- La huella del cliente: el conjunto de cifrados, extensiones y su orden, por los que se reconoce la biblioteca.
- El tamaño de los primeros paquetes y las pausas entre ellos.
- La presencia o ausencia de elementos esperados del protocolo: certificados, cabeceras HTTP, respuestas del servidor.
Un protocolo que parece «algo cifrado sin señas de identidad» es sospechoso por sí mismo: el tráfico normal casi siempre es reconocible. Por eso la respuesta moderna no es ocultar el protocolo, sino hacer que se parezca a uno concreto y legítimo.
Análisis de comportamiento
Las firmas detectan el protocolo en los primeros segundos. El análisis de comportamiento funciona más despacio, pero resiste mejor el camuflaje: observa el flujo completo. Una conexión HTTPS normal con un sitio dura segundos o minutos, transmite poco y termina. Un túnel hacia una sola dirección dura horas, por él pasa todo el tráfico del dispositivo, y la proporción entre datos entrantes y salientes parece «todo a la vez».
Los modelos tienen en cuenta, por ejemplo:
- la duración de la conexión y el volumen de datos hacia una misma dirección;
- el número de «sitios» distintos que el dispositivo ha dejado de visitar directamente;
- paquetes de servicio regulares del mismo tamaño (keepalive);
- la falta de correspondencia entre el dominio declarado en el SNI y el comportamiento real.
Responder al análisis de comportamiento es más complejo que responder a las firmas: hay que cambiar la forma del flujo, no solo las cabeceras. Esto se consigue distribuyendo el tráfico entre varias conexiones y puertos, añadiendo pausas y relleno hasta tamaños «normales», y cambiando parámetros periódicamente. Ahí es donde pasa la frontera entre los protocolos que se «camuflan» y los que se adaptan.
Cómo responden los protocolos modernos
Camuflaje TLS y REALITY
La idea: la conexión con el servidor VPN debe ser indistinguible de una conexión HTTPS con un sitio grande. En REALITY, el servidor responde al cliente con un auténtico protocolo de enlace TLS de un dominio ajeno, que obtiene de un sitio real. El analizador que intente conectarse por su cuenta a esa dirección verá el sitio auténtico con su certificado auténtico. Solo el cliente con la clave correcta obtiene el túnel por dentro. Así funciona VLESS con REALITY; además, la huella del cliente se falsifica para parecerse a los navegadores más comunes.
Ofuscación
Una técnica más antigua: hacer que el tráfico se parezca a ruido aleatorio y eliminar los elementos reconocibles del protocolo de enlace. Así funcionan Shadowsocks y las variantes ofuscadas de otros protocolos. Contra las firmas funciona bien; contra el análisis de comportamiento, peor, porque «ruido sin señas de identidad» es en sí mismo poco habitual.
Estrategias de puertos
Los filtros suelen fijarse en los puertos «conocidos», y aplican las reglas para puertos no estándar con más cautela, para no afectar a servicios legítimos. De ahí técnicas como: operar en el puerto 443, donde vive todo el HTTPS, distribuir las conexiones entre varios puertos y cambiar de puerto tras un corte. Algunos protocolos usan UDP donde el TCP se ralentiza, y al revés; por ejemplo, Hysteria se construye sobre QUIC.
Rápidos y resistentes: un compromiso
El camuflaje cuesta recursos: bytes adicionales, conexiones de más, procesamiento en el dispositivo. Por eso WireGuard sigue siendo el más rápido, pero también el más reconocible, y los protocolos con camuflaje son un poco más lentos, pero pasan donde él se ralentiza. La estrategia razonable es tener ambas opciones en el mismo servidor y cambiar según la situación.
Por qué funciona hoy y mañana no
Es la pregunta más frecuente en soporte. Hay varias respuestas, y normalmente actúan varias a la vez.
- Una regla nueva. Las reglas de filtrado se actualizan de forma centralizada y pueden aparecer de la noche a la mañana. Un protocolo que no caía en ninguna cayó en una nueva.
- Estadística acumulada. Los modelos de comportamiento calculan una probabilidad, no un indicador binario. Una dirección hacia la que fluye un tráfico constante va ganando «peso» con el tiempo y termina cruzando el umbral de ralentización.
- Operadores distintos, reglas distintas. En casa funciona, en LTE no, porque el operador móvil tiene un conjunto de reglas diferente, y en itinerancia entre redes hay un tercero.
- Experimentos puntuales. Parte de las ralentizaciones se activan por tiempo limitado o en regiones concretas para medir el efecto. Entonces el problema desaparece tan de repente como apareció.
- Bloqueos colaterales. Ralentizar QUIC o ciertos rangos de hosting afecta a los protocolos que se apoyan en ellos, sin intención de bloquearlos específicamente.
Conclusión práctica: la resistencia no la da «el mejor protocolo», sino la posibilidad de cambiar rápido de protocolo, de puerto y de dirección. Cómo se ve esto para un usuario en Rusia, en la sección sobre el VPN en Rusia.
Qué hace MeduzaVPN ULTRA y el cambio de protocolos
El servidor personal de MeduzaVPN despliega todos los protocolos a la vez: MeduzaVPN ULTRA, MeduzaVPN, WireGuard, OpenVPN, VLESS, V2Ray, Xray, Shadowsocks, Outline, Hysteria, SOCKS5, IKEv2 y SoftEther. La aplicación cambia entre ellos sin reinstalar nada y sin volver a iniciar sesión. Esta es la respuesta a «hoy funciona, mañana no»: cambiar un ajuste en lugar de buscar un servicio nuevo.
Qué hay dentro de ULTRA
MeduzaVPN ULTRA está diseñado para los tres niveles de filtrado a la vez. Contra las listas de direcciones: IP personal y cambio de ubicación. Contra las firmas: camuflaje del tráfico como si fuera normal, sin un protocolo de enlace reconocible. Contra el análisis de comportamiento: distribución por puertos, parámetros adaptativos y una forma de flujo cercana a las sesiones habituales. Aun así, la velocidad se mantiene cercana a WireGuard, así que se puede usar ULTRA como protocolo principal y no solo «de emergencia».
Orden de acciones ante problemas
- Cambia de protocolo: WireGuard → ULTRA → VLESS. Cada uno resiste más el filtrado que el anterior.
- Cambia de ubicación: una dirección nueva en otro centro de datos elimina el bloqueo de la subred.
- Compruébalo en otra red, para distinguir un bloqueo de un problema local.
- Escribe al soporte: allí se ve el estado del servidor y los cambios de reglas conocidos hasta hoy.
El kill switch en la aplicación evita que el tráfico salga directo mientras el túnel se vuelve a conectar, y el split tunneling permite sacar del túnel los servicios que no necesitan VPN, reduciendo así el «peso» del flujo hacia el servidor.
Límites honestos
- No hay garantías. El filtrado es una carrera en la que las reglas cambian. Cualquier promesa de «100 % de estabilidad» es incorrecta. Una promesa realista: un conjunto de protocolos de los que al menos uno suele funcionar, y un cambio rápido entre ellos.
- No se puede ocultar el hecho de la conexión. El operador siempre ve que estás conectado a alguna dirección y cuánto has transmitido. La tarea del protocolo no es hacerlo invisible, sino evitar que se clasifique esa conexión como VPN.
- Una restricción total es posible. Si un operador decide permitir solo una lista blanca de direcciones, ningún protocolo ayudará. Esos modos se han aplicado de forma local y por tiempo limitado, pero no se pueden descartar.
- El camuflaje cuesta velocidad. Los protocolos resistentes son algo más lentos que los rápidos. Es el precio, no un defecto.
- La IP personal no es una armadura. Elimina el bloqueo por listas, pero no protege del DPI. Junto con el protocolo, sí; por separado, no.
Conclusión
El filtrado funciona en tres niveles: direcciones, firmas, comportamiento. La IP personal resuelve el primero, el camuflaje TLS y la ofuscación el segundo, y los protocolos adaptativos como MeduzaVPN ULTRA el tercero. Ninguna técnica es eterna, por eso el valor principal es tener todos los protocolos en un mismo servidor y poder cambiar entre ellos desde la aplicación.
MeduzaVPN ofrece un servidor personal con IP propia en más de 60 ubicaciones y el conjunto completo de protocolos, incluido ULTRA. Las suscripciones incluyen 7 días sin cobro, tiempo suficiente para comprobar qué funciona en tu propia red. Ver planes.
Preguntas frecuentes
¿Qué es el DPI y qué es el TSPU?
El DPI (inspección profunda de paquetes) es un equipo que no solo mira las direcciones, sino también el contenido y la estructura del tráfico, para entender de qué protocolo se trata. El TSPU (el sistema ruso de inspección profunda de paquetes, DPI) son los medios técnicos instalados en los operadores rusos con gestión centralizada de reglas. Permiten ralentizar o cortar las conexiones que encajan en una regla, sin necesidad de bloquear direcciones IP.
¿Por qué ayer un protocolo funcionaba y hoy no?
Las reglas de filtrado se actualizan de forma centralizada, y una regla nueva puede aparecer de un día para otro. Además, los modelos de comportamiento acumulan estadísticas: una dirección hacia la que fluye un flujo constante y parecido va ganando con el tiempo más «peso» de sospecha. Por eso el mismo protocolo puede funcionar semanas y luego empezar a ralentizarse.
¿Ayuda una IP personal frente al filtrado de tráfico?
Ayuda contra un tipo de bloqueo: las listas de direcciones de VPN conocidas. Los servicios masivos trabajan con cientos de direcciones que caen rápido en esas listas. Un servidor personal vive en una dirección que usas solo tú, y no está en las listas ya elaboradas. Contra el DPI por firma o por comportamiento, la IP personal por sí sola no protege; ahí es donde entra el protocolo.
¿Qué es REALITY y el camuflaje TLS?
Es una forma de hacer que la conexión con el servidor VPN sea indistinguible de una conexión HTTPS normal con un sitio grande. El servidor responde con un auténtico protocolo de enlace TLS de un dominio ajeno, y quien intente conectarse a él por su cuenta verá el sitio real. Así funciona VLESS con REALITY y mecanismos parecidos en MeduzaVPN ULTRA.
¿En qué se diferencia MeduzaVPN ULTRA del resto de protocolos?
ULTRA está diseñado específicamente para el filtrado: camufla el tráfico como si fuera normal, distribuye las conexiones entre varios puertos y se adapta al comportamiento de la red. Aun así, sigue siendo rápido, cercano a WireGuard. En la aplicación funciona igual que el resto de protocolos, entre los que se puede cambiar sin reinstalar nada.
¿Puede algún VPN garantizar que funcionará siempre pase lo que pase?
No. Cualquier servicio que prometa un 100 % está siendo engañoso: el filtrado es una carrera en la que las reglas cambian. Una promesa honesta es un conjunto de protocolos distintos en un mismo servidor, un cambio rápido entre ellos y una dirección personal que no arrastra la reputación de otros. Eso da una alta probabilidad de que alguna opción funcione ahora mismo en tu red.
¿Qué hago si el VPN deja de conectarse?
Primero cambia de protocolo en la aplicación: de WireGuard a ULTRA, de ULTRA a VLESS. Después prueba otra ubicación. Si no funciona, comprueba si el VPN funciona en otra red, para distinguir un bloqueo de un problema local. El soporte ve el estado del servidor y puede indicarte qué ha cambiado.
¿El propio proveedor puede detectar que uso un VPN?
El proveedor ve la dirección a la que te conectas, el volumen de tráfico y su forma. Los protocolos con camuflaje hacen que esa forma se parezca al HTTPS normal, y distinguirla se vuelve difícil, pero ocultar por completo el hecho de la conexión es imposible. La tarea de los protocolos modernos no es esconder la conexión, sino evitar que se clasifique como VPN.