VPN tunneling es la técnica de envolver tu tráfico de internet en un sobre cifrado ("túnel") entre tu dispositivo y un servidor VPN. La red exterior ve solo el sobre cifrado, no sus contenidos.
La metáfora
Imagínate tu tráfico normal de internet como postales — cualquiera por la ruta puede leerlas. Un túnel VPN es como meter esas postales dentro de sobres acorazados sellados antes de salir de tu casa. Para cualquiera observando la red, solo los sobres acorazados son visibles. Los contenidos están sellados y ruteados a un destino específico (el servidor VPN) antes de ser desenvueltos y enviados a sus destinos reales.
La metáfora de un "túnel" captura la idea de que el tráfico original está oculto durante el tránsito. No hay túnel físico, pero el envoltorio cifrado hace que el tráfico sea efectivamente invisible a cualquiera fuera del túnel.
Cómo funciona de verdad
Tres cosas pasan cuando te conectas a un VPN:
- Tu dispositivo negocia claves de sesión con el servidor VPN usando un protocolo de intercambio de claves (Diffie-Hellman o equivalente).
- Cada paquete que sale de tu dispositivo se envuelve en una capa externa que está cifrada usando esas claves de sesión y direccionada al servidor VPN.
- El servidor VPN recibe el paquete envuelto, lo descifra y reenvía el paquete interior a donde estaba originalmente destinado.
Los protocolos que implementan esto (WireGuard, OpenVPN, IKEv2/IPsec) difieren en su criptografía y formatos de paquete, pero el concepto core es el mismo.
Qué protege, qué no
Protege:
- Los contenidos de tu tráfico de observadores en tu red local e ISP.
- Los destinos de tu tráfico de los mismos observadores.
- Tu dirección IP real de las webs que visitas.
No protege:
- Lo que pasa en la salida del túnel (el proveedor VPN ve tus destinos).
- Lo que pasa en los endpoints (tu dispositivo, el servidor de destino).
- Identificación a nivel de aplicación (cuentas logueadas, cookies, fingerprints).
Protocolos de tunneling
Los protocolos principales en uso hoy:
- WireGuard — moderno, rápido, simple.
- OpenVPN — más antiguo, más configurable, más lento.
- IKEv2/IPsec — diseño conjunto Microsoft + Cisco, común en iOS.