¿Qué es una VPN y cómo funciona? Una guía en lenguaje sencillo

Una VPN (red privada virtual) es un servicio que envía tu tráfico de internet a través de un túnel cifrado hasta un servidor gestionado por la empresa de la VPN, que luego lo reenvía al sitio web o a la aplicación que estás usando. Tu proveedor de internet y la red Wi-Fi a la que estás conectado solo ven que te conectas a ese servidor, y los sitios web ven la dirección IP del servidor en lugar de la tuya.

Eso es realmente útil, pero mucho menos de lo que sugieren los anuncios. Una VPN no te hace anónimo, no impide la mayor parte del rastreo y no te protege de las estafas. Traslada la tarea de ver tu tráfico de una empresa (tu proveedor de internet) a otra (el proveedor de la VPN). Esta guía explica cómo funciona, qué oculta y a quién, las funciones que importan, lo que no puede hacer y cómo elegir una si decides que la quieres.

¿Cómo funciona una VPN?

Tu dispositivo cifra todo lo que envía y lo envuelve en paquetes dirigidos al servidor de la VPN. El servidor los abre y los descifra, envía tus solicitudes a internet con su propia dirección IP y cifra las respuestas en el camino de vuelta hacia ti.

La guía Surveillance Self-Defense de la EFF lo explica con sencillez: con una VPN, «todos los datos que envías (como las solicitudes a servidores al navegar por la web) parecen originarse en la propia VPN», según su módulo sobre cómo elegir una VPN¹. Paso a paso:

1. Te conectas. La aplicación de la VPN en tu teléfono u ordenador y el servidor de la VPN se identifican mutuamente y acuerdan nuevas claves de cifrado. Las reglas para ello son el protocolo de la VPN, como WireGuard u OpenVPN (consulta WireGuard frente a OpenVPN).
2. Tu tráfico entra en el túnel. La aplicación dirige el tráfico de internet de tu dispositivo hacia una interfaz de red virtual. Cada paquete se cifra y se envuelve dentro de un paquete nuevo dirigido al servidor de la VPN. Cualquiera que esté en medio ve datos codificados que van a una sola dirección.
3. El servidor lo reenvía. En el servidor de la VPN tu tráfico se descifra y se reenvía a su destino real. El sitio web ve una solicitud procedente de la dirección IP del servidor de la VPN.
4. Las respuestas vuelven por el mismo camino. El sitio web responde al servidor de la VPN, que cifra la respuesta y la envía por el túnel hasta ti.

El nombre «red privada virtual» viene del mundo empresarial, donde la misma tecnología permite a los empleados acceder desde casa a los sistemas internos de su empresa como si estuvieran en la oficina. Las VPN para consumidores reutilizan la idea, pero en lugar de conectarte a la red de una oficina, te conectan a internet abierto a través del servidor de otra persona.

¿Qué oculta una VPN y a quién?

Oculta los sitios que visitas a la red local y a tu proveedor de internet, y oculta tu dirección IP real a los sitios que visitas. No oculta nada a la propia empresa de la VPN, y poco a los sitios en los que inicias sesión.

La última fila es la que más importa. En palabras de la EFF, «aunque una VPN oculte tus datos de navegación al proveedor de internet, el proveedor de la VPN lo ve todo». Por eso lo más importante de cualquier VPN es quién la gestiona, dónde y qué pruebas hay de que no guarda registros. También es la razón por la que este sitio compara proveedores según sus auditorías y su trayectoria, y no según sus funciones: consulta la tabla comparativa y nuestra guía para comprobar una promesa de no registros.

HTTPS, el candado de la barra de direcciones de tu navegador, ya cifra el contenido de la mayoría de las páginas web entre tú y el sitio, uses o no una VPN. La guía para consumidores de la FTC dice que «la mayoría de los sitios web usan cifrado para proteger tu información» y que «debido al uso generalizado del cifrado, conectarse a través de una red Wi-Fi pública suele ser seguro», según sus consejos sobre Wi-Fi pública². Lo que HTTPS no oculta a la red es a qué sitios te conectas. Una VPN sí lo oculta.

¿Cómo funciona el cifrado de una VPN?

Los protocolos VPN modernos usan el mismo tipo de criptografía pública, bien estudiada, que los sitios web seguros y las apps de mensajería: un intercambio de claves para acordar claves secretas y, después, un cifrado simétrico rápido para el tráfico en sí, con una verificación en cada paquete para detectar manipulaciones.

WireGuard, el protocolo que la mayoría de los proveedores usa ahora por defecto, fija sus opciones en lugar de negociarlas: su whitepaper⁴ describe Curve25519 para el intercambio de claves y ChaCha20Poly1305 para cifrar y autenticar los paquetes, transportados por UDP. OpenVPN usa TLS, la misma familia de protocolos que protege HTTPS. Cualquiera de los dos es lo bastante sólido como para que nadie sensato ataque el cifrado; los puntos débiles realistas son el software que lo rodea, el servidor y la empresa que lo gestiona.

No necesitas entender las matemáticas. Lo que debes comprobar es que el proveedor use un protocolo estándar (WireGuard, OpenVPN, IKEv2 o un protocolo propio que haya sido publicado y auditado de forma independiente) y no algo secreto. La Agencia de Seguridad Nacional de EE. UU. y la CISA, en su guía de 2021 sobre cómo seleccionar y reforzar VPN³ para organizaciones, orientaron a los compradores hacia productos basados en estándares en lugar de propietarios.

¿Qué son las direcciones IP y el DNS, y por qué importan?

Tu dirección IP es el número que internet usa para devolverte los datos, y revela quién es tu proveedor de internet y, aproximadamente, dónde estás. El DNS es la búsqueda que convierte un nombre como example.com en una dirección IP. Una VPN debe encargarse de ambos; si no, hay fugas.

Cuando un sitio web ve la dirección IP del servidor VPN, no puede saber de qué hogar o teléfono procede la solicitud, y su suposición sobre tu ubicación pasa a ser la del servidor. Así es como una VPN te permite aparecer en otra ciudad o país.

El DNS es el problema más silencioso. Cada vez que abres un sitio, tu dispositivo pregunta primero a un servidor DNS dónde encontrarlo. Si esas consultas van a tu proveedor de internet en lugar de pasar por el túnel (una «fuga de DNS»), tu proveedor sigue obteniendo una lista de los sitios que visitas. Las apps de VPN de buena reputación envían el DNS por el túnel a los resolutores del propio proveedor. Si configuras una VPN manualmente, por ejemplo en un router, conviene comprobarlo.

¿Qué son un kill switch y el túnel dividido (split tunneling)?

Un kill switch bloquea tu conexión a internet si la VPN se cae, para que nada salga sin protección. El split tunneling hace lo contrario: te permite elegir apps o sitios que no pasan por la VPN.

• Kill switch. Las conexiones VPN se caen por motivos corrientes: un teléfono que pasa de Wi-Fi a datos móviles, un portátil que sale de la suspensión, un servidor que se reinicia. Sin kill switch, tu dispositivo sigue en silencio por tu conexión normal. Con uno, el tráfico se detiene hasta que el túnel vuelve. Si usas una VPN por privacidad y no por comodidad, actívalo.
• Split tunneling. Algunas cosas funcionan mal a través de una VPN: apps bancarias que marcan las direcciones IP extranjeras, impresoras y dispositivos domóticos inteligentes de tu propia red, videollamadas en las que cada milisegundo cuenta. El split tunneling envía eso directamente mientras todo lo demás pasa por el túnel. Es cómodo, pero también significa que esas apps no están protegidas.
• Multi-hop. Algunos proveedores pueden enrutarte por dos servidores, a menudo en países distintos, de modo que ningún servidor ve a la vez tu IP real y tu destino. Es más lento y resulta útil sobre todo si te preocupa que vigilen un servidor concreto.
• Ofuscación. Las redes de algunos lugares de trabajo, centros educativos y países bloquean las VPN. Los modos de ofuscación disfrazan el tráfico VPN como tráfico web normal. Cada proveedor tiene su propio nombre para esta función.

¿Qué no puede hacer una VPN?

Una VPN no te hace anónimo, no impide el rastreo mediante cookies, inicios de sesión o huellas digitales del navegador, y no te protege del phishing, las estafas ni el malware. Cambia quién puede ver tus conexiones, no lo que tú entregas.

• No es anonimato. La EFF es tajante: «Una VPN no es una herramienta de anonimato». El proveedor conoce tu dirección IP real y, normalmente, tus datos de pago. Si quieres un anonimato más sólido, la EFF dice que «Tor es una mejor solución que una VPN».
• No impide la mayor parte del rastreo. La misma guía de la EFF¹ señala que «hay muchas otras formas en que las empresas pueden rastrearte, como el GPS, las cookies web, los píxeles de seguimiento o la huella digital del navegador». Si has iniciado sesión en Google, Facebook o Amazon, saben que eres tú sea cual sea tu dirección IP. Un navegador o una extensión que bloquee rastreadores hace más por esto que una VPN.
• No frena las estafas. La FTC advierte de que los estafadores «crean sitios web falsos y los cifran para que creas que son seguros cuando no lo son». Una página de phishing funciona igual de bien a través de una VPN.
• No sustituye la seguridad básica. Las actualizaciones de software, un gestor de contraseñas, contraseñas únicas y la autenticación en dos pasos te protegen de muchos más ataques de los que enfrentan las personas normales.
• No te pone fuera del alcance de la ley. La EFF señala que «según la jurisdicción, un gobierno puede exigir esos datos o emitir una citación para obtenerlos» y que los proveedores «también pueden estar sujetos a presiones de gobiernos o de las fuerzas del orden para entregar información».

¿Cuál es la diferencia entre una VPN de trabajo y una VPN de consumo?

Una VPN de trabajo te conecta a la red privada de tu empleador para que uses sistemas internos; una VPN de consumo te conecta hacia fuera, a la internet pública, a través de los servidores del proveedor. Usan una tecnología parecida con fines opuestos.

La CISA dice que los servidores VPN de acceso remoto «permiten a los usuarios externos acceder mediante un túnel a redes protegidas», en su alerta sobre la guía de la NSA y la CISA³. Cuando la VPN de tu empleador está activa, la red de tu empleador normalmente puede ver tu tráfico igual que lo haría tu proveedor de internet, así que no la consideres privada. Una VPN de consumo como Proton VPN, Mullvad o NordVPN es un producto aparte que pagas (o usas con un plan gratuito) para que tu navegación no sea visible para tu propia red ni para tu proveedor.

¿Derecho legal?

En la mayoría de los países, incluido EE. UU., usar una VPN es legal. Algunos gobiernos las restringen o prohíben, y todo lo que es ilegal sin VPN sigue siendo ilegal con ella. Nada de lo aquí expuesto es asesoramiento legal.

La EFF aconseja mantenerse al tanto de «las políticas de países específicos sobre las VPN (como las prohibiciones de VPN)» si viajas o vives en un lugar con censura de internet. Por otro lado, muchos servicios de streaming prohíben en sus términos de servicio usar una VPN para acceder al catálogo de otro país y bloquean activamente los servidores VPN; es una cuestión contractual y no penal, pero puede acarrear la suspensión de la cuenta. Nuestra guía de VPN para streaming explica qué significa eso en la práctica, y la de VPN para torrents explica por qué una VPN no cambia la ley de derechos de autor.

¿Qué no hace una VPN?

Mucha gente no la necesita. Merece la pena si usas con frecuencia redes en las que no confías, no quieres que tu proveedor de internet vea qué sitios visitas o quieres que los sitios vean otra ubicación. No es una herramienta general para «estar seguro en internet».

Nuestra respuesta completa, con las situaciones en las que ayuda y en las que no, está en ¿Necesito una VPN?. Si la duda es el costo, lee VPN gratis vs. de pago y nuestra lista de VPN gratis que valen la pena.

¿Cómo elijo una VPN?

Elige primero la empresa y después las funciones. Busca una auditoría independiente de no registros, con nombre y que puedas leer, un propietario y una jurisdicción claros, una trayectoria que puedas comprobar, un protocolo estándar y condiciones de reembolso que entiendas.

• Pregunta cómo gana dinero. La EFF sugiere preguntar: "Si la VPN no vende su servicio, ¿cómo mantiene a flote su negocio?". Las VPN gratis sin un negocio visible son las más arriesgadas.
• Lee la política de privacidad. La EFF advierte de que «una empresa de VPN podría registrar tus datos si no lo descarta de forma específica en su política de privacidad».
• Busca pruebas, no eslóganes. Auditorías de empresas con nombre, redadas policiales o casos judiciales en los que no se encontró nada y una gestión honesta de las brechas. Nuestro resumen de VPN sin registros clasifica a los proveedores justo por eso.
• Comprueba el precio real. Los precios destacados suelen exigir un plan de uno o dos años pagado por adelantado y se renuevan a un precio mayor. Consulta las VPN fiables más baratas.

Si estás eligiendo entre los grandes nombres, nuestras comparativas directas repasan proveedor por proveedor: NordVPN vs ExpressVPN, NordVPN vs Surfshark, Proton VPN vs NordVPN y Mullvad vs Proton VPN.