Una red puede bloquear una VPN en cuanto reconoce su tráfico. Esta página muestra qué delata un túnel, cómo lo cambian el Modo Camuflaje y Bloquear QUIC, y qué no pueden ocultar.
Cómo detecta una red una VPN
El cifrado oculta lo que hay dentro de un túnel, no el túnel en sí. Un filtro de red con inspección profunda de paquetes (DPI) no puede leer el tráfico de tus usuarios, pero sí ver su forma: los paquetes que van y vienen por una sola conexión larga no se parecen en nada a las solicitudes separadas de un navegador. Eso basta para reconocer el túnel y bloquearlo.
Una red también puede sondear un servidor del que sospecha: se conecta a él y ve cómo responde.
Modo Camuflaje: tu servidor parece un servidor web
Las aplicaciones se conectan a tu servidor por TLS, como los navegadores a un sitio web, y todo lo que no sea una aplicación VpnHood recibe el rechazo de un servidor web. En Modo Camuflaje, además, cada conexión que abre un dispositivo tiene su propia conexión con tu servidor. Así, para una red que lo observa, el tráfico conserva la forma de lo que tus usuarios hacen cada día:
Navegación web. Una página abre varias conexiones a la vez. Cada una envía una solicitud pequeña, trae una respuesta mayor y termina, y después no se mueve nada mientras el usuario lee.
Descargas. Un archivo llega por una sola conexión que sigue activa hasta terminar, con muchos más datos de entrada que de salida.
Nada de esto es simulado: es la navegación real de tus usuarios y son sus descargas reales, transportadas conexión a conexión. Sin Modo Camuflaje, el mismo tráfico pasa por un único túnel largo.
Bloquear QUIC: cómo hace que el tráfico VPN sea más difícil de detectar
El Modo Camuflaje necesita una conexión TCP que terminar en el dispositivo. Muchos sitios web y aplicaciones de vídeo usan QUIC en su lugar, que funciona sobre UDP, así que en Modo Camuflaje su tráfico sigue yendo como paquetes, por un único túnel largo que un filtro de red puede reconocer y bloquear.
Con Bloquear QUIC activado, la aplicación descarta ese tráfico en el dispositivo, antes de que entre en el túnel. La mayoría de los navegadores y las aplicaciones de streaming cambian entonces a TCP, que el Modo Camuflaje sí puede transportar, pero una aplicación que solo funciona con QUIC se queda sin conexión. El ajuste está desactivado de forma predeterminada y la aplicación solo lo muestra en Modo Camuflaje. Un servidor que no transporta QUIC lo activa para sus usuarios. Se trata del QUIC de las propias aplicaciones de tus usuarios, no del que aparece en el ajuste de protocolo de la aplicación.
Lo que el Modo Camuflaje no puede ocultar
El Modo Camuflaje es un parecido, no una garantía. El UDP sigue viajando como paquetes, y también el QUIC si Bloquear QUIC no está activado, y un servidor nuevo tiene un certificado autofirmado, a diferencia de un sitio web. Evita que bloqueen la dirección IP de tu servidor explica cómo cerrar estas brechas. El Modo Camuflaje, además, oculta qué es el tráfico, no adónde va: una red aún puede ver que el tráfico de un dispositivo va a una sola dirección y bloquearla.
