Contacto

Guía

Protocolos VPN de código abierto en China y Rusia

·Equipo editorial de Openscore VPN

protocolos · China · Rusia · censura

"¿Qué protocolo VPN es mejor?" tiene dos respuestas diferentes, porque bajo la palabra "VPN" se esconden dos trabajos diferentes. Una de las tareas es mover su tráfico de forma privada y rápida más allá de una red ordinaria. La otra es hacer que ese tráfico atraviese un cortafuegos nacional que intenta activamente identificarlo y eliminarlo. Los protocolos que ganan el primer puesto en su mayoría pierden el segundo.

Todo lo que aparece a continuación es de código abierto, por lo que su diseño es una cuestión de registro público y no una afirmación de marketing. Puede leer el código y las especificaciones usted mismo, y todas las fuentes en las que nos apoyamos están vinculadas al final. Cuando un reclamo es sobre censura, lo fechamos: los firewalls y las herramientas coevolucionan mensualmente, y un protocolo que era “imbloqueable” en enero puede ser detectable en abril.

Los protocolos VPN clásicos de código abierto

Estos son los túneles de uso general. Fueron creados para brindar confidencialidad y rendimiento y, con una excepción parcial, no intentan ocultar el hecho de que son una VPN.

WireGuard es el valor predeterminado moderno. Su criptografía es fija y no negociable: ChaCha20-Poly1305 para cifrado, Curve25519 para intercambio de claves, BLAKE2 para hash, todo envuelto en el protocolo de enlace Noise_IK1-RTT del protocolo Noise, con cada paquete transportado a través de UDP. La eliminación de la negociación de algoritmos elimina los ataques de degradación y mantiene la base de código pequeña, y el procesamiento en el kernel lo hace notablemente más rápido y con menor latencia que OpenVPN en el mismo hardware (las cifras exactas dependen en gran medida de la prueba; la propia página de rendimiento de WireGuard ahora rechaza sus puntos de referencia publicados como “viejos, crujientes y no muy bien realizados”). El costo de ese minimalismo es la visibilidad: un encabezado de tipo de mensaje fijo y un paquete de protocolo de enlace de tamaño fijo hacen que WireGuard sea fácil de tomar huellas digitales, que es exactamente la razón por la que se encuentra entre los primeros protocolos que un censor bloquea.

OpenVPN es el veterano. Utiliza un canal de control TLS y un canal de datos cifrados multiplexados a través de un único puerto TCP o UDP, y hereda cualquier cifrado que proporcione OpenSSL (las configuraciones modernas usan AES-GCM). Es enormemente flexible y puede ocultarse en TCP 443, pero su espacio de usuario, en gran parte una ruta de datos de un solo núcleo, es más lento y se pueden tomar huellas digitales por completo: un estudio revisado por pares en USENIX Security 2022 identificó más del 85 % de los flujos estándar de OpenVPN “con solo falsos positivos insignificantes” utilizando su secuencia de bytes de código de operación más sondeo activo.

IPsec/IKEv2, a través de los demonios de código abierto strongSwan o libreswan, es rápido (el cifrado del plano de datos se ejecuta en el kernel) y realmente bueno para la itinerancia entre redes gracias a MOBIKE, por lo que es una opción móvil común. Pero su intercambio de claves reside en los puertos UDP fijos 500 y 4500 con un protocolo de enlace distintivo, por lo que es trivial tomar huellas dactilares y con frecuencia está protegido por un firewall.

OpenConnect / ocserv (una reimplementación abierta de AnyConnect SSL-VPN de Cisco) es el caso intermedio interesante: establece su canal sobre TCP + HTTP + TLS en el puerto 443 y luego negocia un canal de datos DTLS sobre UDP para mayor velocidad. Debido a que el tráfico de control parece HTTPS normal, pasa a través de los cortafuegos más restrictivos donde OpenVPN e IPsec no lo hacen.

SoftEther (Apache-2.0 desde 2019, de la Universidad de Tsukuba) es un servidor multiprotocolo que habla su propio SSL-VPN, OpenVPN, IPsec/L2TP y más, e incluso puede hacer un túnel a través de ICMP o DNS. Su característica principal es camuflar el tráfico VPN como HTTPS. Tenga en cuenta que la afirmación de que "los cortafuegos de inspección profunda de paquetes no pueden detectarlo" es propia del proyecto, y su gran base de código de espacio de usuario ha tenido un escrutinio criptográfico menos formal que WireGuard o IPsec, así que trátelo como una afirmación del proveedor en lugar de un hecho medido.

La capa de elusión

Cuando el adversario es un cortafuegos nacional, el túnel no es suficiente. Necesita que el tráfico sea indistinguible de algo que el censor no bloqueará. Estos protocolos de código abierto están diseñados exactamente para eso y adoptan tres enfoques amplios.

  • Parece ruido aleatorio.Shadowsocks es un proxy SOCKS5 cifrado cuya carga útil está diseñada para ser un flujo de bytes aleatorio indistinguible. Su edición moderna, Shadowsocks-2022, exige protección de repetición y AEAD moderno con una clave fija precompartida, cerrando los agujeros de sondeo activo y repetición de la versión anterior de AEAD. El problema (ver China, más abajo) es que “parece aleatorio” es ahora en sí mismo una propiedad detectable.

  • Parece un TLS real.Troyano realiza un protocolo de enlace TLS genuino y, en cualquier conexión con formato incorrecto o contraseña incorrecta, envía al visitante de forma transparente a un sitio web real, de modo que una sonda detecta un servidor HTTPS normal. V2Ray/VMess fue el caballo de batalla anterior, pero su encabezado detectable impulsó el ecosistema hacia VLESS + XTLS-REALITY de Xray: REALITY toma prestado un certificado TLS de un sitio real de terceros para que, para un observador, el protocolo de enlace sea una sesión TLS genuina e indistinguible para ese sitio, sin ningún dominio o certificado propio para incluir en la lista negra.

  • Parece HTTP/3 o un navegador.Hysteria2 y TUIC utilizan el estándar QUIC y se hacen pasar por un servidor web HTTP/3, intercambiando un control de congestión amigable con la fuerza bruta por una buena velocidad en enlaces con pérdida; Hysteria agrega una capa de ofuscación opcional "Salamandra". NaiveProxy va más allá y utiliza la propia pila de red de Chromium para hacer que su loro de tráfico sea un navegador Chrome real que habla con un servidor web normal, evitando el sondeo activo escondiéndose detrás de una interfaz de uso común.

Los transportes conectables del Proyecto Tor completan el campo para las redes más difíciles: obfs4 (flujo polimórfico aleatorio), meek (dominio frontal a través de una CDN, ahora debilitado a medida que las principales CDN desactivan el frente) y Snowflake (tráfico que parece una videollamada WebRTC ordinaria, gestionada a través de navegadores voluntarios).

Entonces, ¿cuál es “mejor”?

Para una red ordinaria que no es de confianza, como la Wi-Fi de un hotel o un ISP que no desea que lea su DNS, la respuesta honesta es WireGuard: moderna, rápida, pequeña, con un protocolo de enlace analizado formalmente. OpenVPN sigue siendo una alternativa razonable y más flexible, e IKEv2 es excelente en teléfonos que cambian de red. No hay que pagar ningún impuesto por confusión, así que opte por la velocidad y la calidad de la auditoría.

En el momento en que su adversario es un censor en lugar de un fisgón, la clasificación se invierte. WireGuard, OpenVPN e IPsec son los más fáciles de detectar, y la velocidad bruta no sirve de nada si el flujo disminuye. Allí, la pregunta no es qué túnel es más rápido sino qué disfraz sobrevive, y la respuesta es diferente en Beijing que en Moscú, y diferente este trimestre que el anterior.

China continental: el gran cortafuegos

La censura de China es la más avanzada técnicamente y está documentada en detalle y revisada por pares por el grupo GFW Report. Aquí importan cuatro capacidades, y son la razón por la que fallan los protocolos simples e incluso algunos confusos:

  • Análisis de entropía en tiempo real. Desde 2023, GFW marca el tráfico “totalmente cifrado”, es decir, cualquier cosa que parezca bytes aleatorios, midiendo la fracción de bits establecidos en el primer paquete y bloqueándolo a menos que coincida con una exención, con un daño colateral estimado del 0,6 % (USENIX Security 2023). Esta es la razón estructural por la que los Shadowsocks y VMess simples son detectables: mirar al azar es la clave.

  • Sondeo activo. El firewall no sólo observa; se conecta a servidores sospechosos con sondas preparadas y reproducidas para confirmarlas antes del bloqueo (documentado para Shadowsocks en IMC 2020).

  • Filtrado SNI, que ahora incluye QUIC. Desde el 7 de abril de 2024, GFW descifra los paquetes iniciales QUIC a escala, lee el SNI cifrado y elimina los flujos coincidentes; Los investigadores encontraron una lista de bloqueo de 58,207 dominios y confirmaron que los dominios proxy personalizados de Hysteria y los de los usuarios fueron bloqueados de esta manera (USENIX Security 2025).

  • Detección de TLS en TLS. Un estudio de 2024 demostró que los túneles que ejecutan una sesión TLS interna dentro de una externa (Trojan, VLESS+TLS, NaiveProxy) dejan una huella digital de protocolo de enlace encapsulada detectable que el relleno por sí solo no puede ocultar. Esta es una capacidad de investigación, aún no confirmada implementada a escala, razón por la cual NaiveProxy todavía funciona empíricamente.

El panorama práctico a mediados de 2026: WireGuard, OpenVPN, IPsec y Shadowsocks/VMess simples no son viables sin un contenedor. Lo que sobrevive mejor son las imitaciones de TLS reales y las mascaradas QUIC: VLESS+REALITY, Hysteria2 (con Salamander y un puerto de destino alto) y Shadowsocks-2022 detrás de una capa exterior con aspecto de TLS. Pero sobrevivir no es lo mismo que ser inmune. Los informes de 2025 describen el bloqueo impulsado por el volumen del tráfico y el par (IP, SNI) y la reputación del alojamiento en lugar de la firma del protocolo, por lo que un servidor limpio y ocupado puede bloquearse por IP en cuestión de horas, mientras que uno tranquilo dura semanas. Trate cualquier recomendación de protocolo único para China como perecedera.

Rusia: del bloqueo de servicios al bloqueo de protocolos

El sistema ruso, construido sobre cajas TSPU DPI instaladas en los ISP pero controlados centralmente por Roskomnadzor, tomó un camino diferente. Como documentan OONI y Roskomsvoboda, en 2022 y 2023 pasó de bloquear servicios VPN individuales por IP a tomar huellas digitales y bloquear los protocolos mismos. Human Rights Watch, citando el proyecto DPIdetector, informó en julio de 2025 que las autoridades bloquean “al menos siete de los protocolos VPN más comunes, como Shadowsocks, AmneziaWG y OpenVPN”.

La línea de tiempo aproximada, cada punto vinculado a una fuente fechada a continuación: OpenVPN e IKEv2 fueron tomados de huellas digitales y fueron interrumpidos primero; WireGuard resistió más tiempo, pero se redujo a velocidades inutilizables y luego se bloqueó en muchas redes residenciales y móviles hasta 2024 y 2025; y en una actualización de TSPU de diciembre de 2025, Rusia comenzó a bloquear VLESS, SOCKS5 y L2TP. VLESS fue, en palabras de un analista ruso, “uno de los últimos protocolos que funcionó de manera consistente”, ahora identificado “por signos indirectos”. En 2026 se abrió un segundo frente distinto: la detección de VPN en la capa de aplicaciones, con directrices que impulsan a las aplicaciones rusas populares a detectar y restringir los dispositivos que utilizan VPN, de modo que incluso un protocolo que supere al TSPU puede marcarse dentro de una aplicación.

En los informes rusos aparecen dos vías de escape consistentes, y ninguna de ellas es un protocolo. El tráfico en conexiones comerciales y fijas se filtra de manera mucho menos agresiva que residencial y móvil, y las herramientas que rotan sus configuraciones (las actualizaciones periódicas de AmneziaWG, la REALIDAD detrás de un frente que cambia con frecuencia) duran más que cualquier configuración estática. El superviviente es mantenimiento, no un protocolo mágico.

La comida para llevar honesta

No existe un único “mejor” protocolo de código abierto, y cualquiera que le venda uno para China o Rusia está vendiendo una instantánea como si fuera una ley. Para la privacidad diaria, WireGuard es el valor predeterminado sensato. Para una red censurada, la familia ganadora (una imitación de TLS real como VLESS+REALITY, o una mascarada QUIC/HTTP-3) importa menos que la disciplina operativa que la rodea: volumen de tráfico corriente, frentes rotativos y un respaldo listo para la semana en que cambian las reglas. Es exactamente por eso que, en este sitio, registramos los protocolos de un proveedor como datos fechados y citados en lugar de una insignia. La resistencia a la censura de un protocolo es un objetivo en movimiento, y la única forma honesta de describirla es con una fuente y una fecha.

Fuentes