Evita que bloqueen la dirección IP de tu servidor

En algunas redes, la IP de un servidor VPN se bloquea a las pocas horas de usarla. Con unos simples ajustes, tu servidor será mucho más difícil de bloquear. Empieza asignando una segunda dirección IP para el tráfico saliente: así también sabrás cómo detecta la red a tu servidor.

Cómo detecta una red un servidor VPN

Una red puede identificar la conexión en sí: el patrón de su tráfico o la respuesta del servidor ante un sondeo. Cloak Mode apenas deja rastro reconocible. Tu servidor ya lo admite y cada usuario puede activarlo directamente en su aplicación.

O bien analizando hacia dónde va el tráfico. Algunos países utilizan sistemas de reputación: cuando muchos usuarios acceden a bancos locales, webs del gobierno y otros sitios nacionales desde la misma IP extranjera, esa dirección puede catalogarse como VPN o proxy y añadirse a una lista de bloqueo.

O simplemente porque alguien la revela. Una clave de acceso no está cifrada y cualquiera que tenga una puede ver la dirección del servidor. Comparte tus claves solo con quien sea imprescindible.

Usa una IP para conectar y otra para salir

Asigna a tu servidor dos direcciones IP públicas, cada una con una función:

La IP de conexión es la dirección a la que se conectan las aplicaciones de tus usuarios. Es la que aparece en sus claves de acceso.
La IP de salida es la dirección desde la que sale el tráfico del servidor hacia los sitios web. Es la única que estos ven.

Los sitios web solo pueden reportar la dirección que ven. Si una IP se bloquea o marca, será la IP de salida, por lo que tus usuarios podrán seguir conectándose mediante la otra. Incluso puedes cambiar una IP de salida bloqueada sin enviar claves nuevas a nadie, ya que ninguna clave la contiene.

VpnHood! SERVER no tiene una opción de configuración para la IP de salida. Accede a los sitios web como cualquier otro programa del sistema, por lo que el sistema operativo decide desde qué dirección sale ese tráfico. Tú defines la IP de salida en el sistema operativo y la IP de conexión en VpnHood.

Añadir una segunda dirección IP

Solicita una dirección IPv4 adicional a tu proveedor de alojamiento y agrégala al equipo siguiendo sus instrucciones. Fuera de Docker, puedes dejarle esta tarea al servidor: añadirá automáticamente la dirección en la que está configurado para escuchar.

Mantén la dirección principal del equipo como la IP de salida y usa la nueva como IP de conexión. El sistema operativo ya envía su tráfico a través de la dirección principal, por lo que habrá menos cambios que hacer; además, si tus usuarios ya no pueden acceder a la dirección principal, esta aún podrá cumplir con esta función.

Configurar la IP de salida

Este comando muestra la dirección desde la cual el equipo envía su tráfico: la que aparece después de src.

ip route get 1.1.1.1

El resultado, con 198.51.100.20 como la IP de salida

1.1.1.1 via 198.51.100.1 dev eth0 src 198.51.100.20 uid 0
    cache

Si muestra la dirección nueva en lugar de la principal, el equipo está configurado al revés. La solución más sencilla es intercambiar los roles: usa la dirección mostrada como IP de salida y la otra como IP de conexión.

En Docker, el servidor comparte la red del host, por lo que se aplican los ajustes del host.

En servicios en la nube donde el equipo solo tiene direcciones privadas (como AWS, Google Cloud, Azure u Oracle Cloud), cada IP pública está asignada a una de ellas. Utiliza las direcciones privadas en el equipo y allí donde escuche el servidor, y la IP pública de conexión dondequiera que se incluya una dirección en las claves.

Hacer que el servidor use la IP de conexión

Configura VpnHood! SERVER para que solo escuche en la IP de conexión y para que solo incluya esa dirección en las claves de acceso. Así, la IP de salida no responderá como servidor VPN, ni siquiera ante un escaneo.

Configura ambas manualmente: si no lo haces, el servidor detectará su dirección a partir del tráfico saliente (tanto en servidores administrados como independientes), por lo que tomaría la IP de salida. Consulta Configurar las direcciones IP de tu servidor para ver cómo hacerlo.

Las claves que hayas distribuido antes contienen la dirección antigua. Mantén el servidor escuchando en ella durante unos días para que las aplicaciones obtengan la clave nueva automáticamente y luego elimínala: hasta que no lo hagas, la IP de salida seguirá respondiendo como servidor VPN.

Comprobar el resultado

Conéctate desde un dispositivo y consulta tu dirección IP en cualquier sitio web que la muestre. Deberías ver la IP de salida.

Si la IP de conexión sigue accesible a partir de entonces, la red detectaba tu servidor por el destino de su tráfico. Si sigue bloqueada en cuestión de horas, la red está reconociendo la conexión en sí: pide a tus usuarios que activen Cloak Mode y asigna un nombre de dominio al servidor.

Conéctate mediante un nombre de dominio

De forma predeterminada, el servidor presenta un certificado autofirmado con un nombre ficticio. Asígnale un nombre de dominio de tu propiedad con un certificado de una entidad de certificación como Let's Encrypt, y la conexión parecerá una visita a un sitio web común.

Un dominio también ayuda si la IP de conexión llega a bloquearse. Las claves incluirán el dominio y las aplicaciones lo consultarán al conectarse, lo que te permite cambiar el servidor a una nueva dirección, apuntar el dominio hacia ella y mantener activas todas las claves sin interrupciones.

En Conectarse mediante un nombre de dominio se explica cómo hacerlo, tanto en un servidor administrado como en uno independiente.

Coloca el servidor detrás de un proxy inverso

Si tu configuración lo permite, también puedes colocar el servidor detrás de un proxy inverso o una CDN como Cloudflare, de modo que tus usuarios se conecten al proxy en lugar de a la dirección IP de tu servidor. La disponibilidad y el rendimiento dependen del país y de la red.

Mantén los sitios locales de tus usuarios fuera del servidor

Pide a tus usuarios que activen Excluir mi país en su aplicación. Así, los sitios web de su propio país, como bancos y servicios gubernamentales, se conectarán directamente sin pasar por tu servidor, evitando que se genere el patrón que delata a una dirección extranjera.