Un VPN oculta lo que haces. No oculta que estás usando un VPN, y en un número creciente de redes, esa es la parte que te delata: cortafuegos corporativos, wifi de hoteles, redes universitarias y países enteros identifican el tráfico VPN y lo descartan a la vista.
La ofuscación es la contramedida: disfrazar el tráfico VPN con el traje de la navegación web normal. Esto es cómo funciona el truco, dónde lo necesitas, y qué implementaciones aguantan.
Cómo detectan las redes los VPN, para empezar
Los cortafuegos identifican los VPN sin descifrar nada, porque los protocolos VPN tienen formas reconocibles. WireGuard habla UDP con patrones de negociación distintivos; el handshake de OpenVPN lleva bytes identificables; IPsec se anuncia por puerto y número de protocolo. El equipo de inspección profunda de paquetes (DPI) viene con firmas para todos ellos, del mismo modo que un antivirus viene con firmas de malware.
La versión más básica es el bloqueo de puertos y protocolos: una red de hotel que solo permite TCP 80 y 443 mata los protocolos VPN estándar por defecto, sin necesidad de inspección. La versión sofisticada es DPI que reconoce un handshake de WireGuard dentro de puertos permitidos y corta la conexión. Los cortafuegos nacionales combinan ambas cosas, más sondeo activo: conectarse de vuelta a servidores VPN sospechosos para ver cómo responden.
Conocer la detección explica la defensa: si el censor identifica formas, deja de tener esa forma.
Qué hace realmente la ofuscación
Los servidores ofuscados envuelven o transforman el tráfico VPN para que se parezca a lo único que ninguna red puede permitirse bloquear: HTTPS en el puerto 443, el protocolo de cada banco, tienda y página de inicio de sesión de internet. Las implementaciones varían en la técnica (tunelización TLS, modelado de tráfico que enmascara patrones de paquetes, imitación de protocolo) pero convergen en el mismo efecto: para el cortafuegos, tu túnel parece una sesión TLS larga y aburrida con un servidor web.
La versión clásica de hazlo-tú-mismo lleva años existiendo: OpenVPN sobre el puerto TCP 443 ya se parece lo suficiente al tráfico TLS como para pasar filtros casuales. Las implementaciones modernas de los proveedores van más allá, derrotando a DPI capaz de distinguir OpenVPN-sobre-TLS del TLS real, y adaptándose a medida que mejora la detección.
El coste es modesto y real: la ofuscación añade procesamiento y relleno, así que espera velocidades más lentas que una sesión WireGuard sin adornos. En un proveedor de velocidad 5/5, las conexiones ofuscadas siguen haciendo streaming HD sin problemas; la penalización importa sobre todo en los extremos.
Dónde la necesitas de verdad
Los países restrictivos son el caso más comentado: China, Rusia, Irán, Turquía durante sus periodos de represión, y las redes más estrictas del Golfo filtran todos protocolos VPN, y las conexiones normales fallan ahí incluso en las semanas buenas. Instala antes de viajar, activa el modo sigilo, ten un proveedor de reserva.
Los casos del día a día están más cerca de casa. Trabajos y colegios que bloquean VPN en el cortafuegos (una cuestión de política antes que técnica; comprueba la tuya). Redes de hoteles, aerolíneas y cafeterías que solo permiten puertos web. Proveedores de internet en algunos mercados que limitan el tráfico VPN detectado, donde la ofuscación elimina la clasificación que activa la ralentización. En todos estos casos, el interruptor de sigilo convierte un “aquí el VPN no funciona” en “el VPN funciona, un poco más lento”.
Quién no lo necesita: casi todo el mundo, la mayor parte del tiempo. En redes abiertas, la ofuscación es pura sobrecarga. El patrón correcto es WireGuard por defecto, sigilo bajo demanda.
Qué proveedores lo hacen bien
| Proveedor | Ofuscación | Cómo aparece |
|---|---|---|
| NordVPN | Categoría de servidores ofuscados | Basado en OpenVPN, lista dedicada de servidores |
| Proton VPN | Protocolo Stealth | Protocolo propio, en todas las apps de pago y gratuitas |
| Surfshark | Camouflage + NoBorders | Automático con OpenVPN, más modo de red restrictiva |
| Windscribe | Opciones Stealth/WStunnel | Varios envoltorios, control a nivel de configuración |
Los servidores ofuscados de NordVPN son la implementación convencional más estable que seguimos: activa el modo en los ajustes (te cambia a OpenVPN), elige de la lista dedicada, y la conexión sobrevive a redes que matan todo lo demás. Combinado con el servicio de 4,6/5 que hay detrás, es la recomendación por defecto para viajeros a países estrictos. Consigue NordVPN aquí.
Stealth de Proton VPN merece mención especial por estar disponible en el nivel gratuito, lo que lo convierte en la única ofuscación gratuita digna de confianza: los viajeros pueden llevarla como reserva a coste cero. Es el protocolo propio de Proton, diseñado para no ser detectado, y tiene un historial sólido en países difíciles.
Surfshark incluye el modo Camouflage (ofuscación automática al usar OpenVPN) y NoBorders (un modo que activa soluciones para redes restringidas), cubriendo el mismo terreno a precio de valor. Windscribe ofrece a los usuarios más técnicos envoltorios stealth y control a nivel de configuración, en línea con todo lo demás en nuestro análisis de Windscribe.
Mullvad se sitúa aparte: en vez de ofuscación clásica, ha invertido en resistencia al análisis de tráfico (DAITA) y puentes, apuntando a un modelo de amenaza más profundo que la mera evasión de cortafuegos.
Usar bien los modos sigilo
Tres hábitos hacen fiable la ofuscación. Actívala antes de necesitarla: en países estrictos, las webs de los proveedores y las tiendas de apps están bloqueadas, así que el ajuste (y el proveedor de reserva) debe configurarse antes de llegar; esta es la primera lección de cada guía de país que publicamos. Espera cambios de protocolo: los modos sigilo suelen correr sobre OpenVPN o protocolos propios en vez de WireGuard, así que no luches contra la app cuando cambie. Y prueba a través de la red hostil real en vez de asumir: los cortafuegos de hotel varían, y treinta segundos de verificación superan una noche entera depurando la capa equivocada.
Si una conexión sigilosa sigue fallando, sube la escalera: distinto servidor ofuscado, distinta variante de protocolo (TCP 443 específicamente), configuraciones manuales del proveedor, luego el proveedor de reserva. Un fallo total persistente suele significar sondeo activo o un cortafuegos inusualmente capaz, terreno de Tor con puentes.
La carrera armamentística de la detección, contada con honestidad
La ofuscación es un objetivo móvil, y fingir lo contrario genera expectativas equivocadas. Los proveedores de DPI estudian las implementaciones stealth populares; los cortafuegos nacionales añaden sondeo activo y clasificación de tráfico con aprendizaje automático; y una técnica que pasaba en todas partes en primavera puede tener problemas en algún sitio en otoño. Los proveedores responden a la par, rotando técnicas e infraestructura, por lo que la capacidad se concentra entre las empresas con presupuestos de ingeniería reales y por lo que nuestras recomendaciones pesan más el historial que la lista de funciones.
La lectura práctica para usuarios: la redundancia gana a la lealtad. El kit de dos proveedores (uno principal con ofuscación fuerte más el Stealth gratuito de Proton como reserva) existe porque ninguna implementación única gana cada semana en todas partes, y el coste de la segunda opción es cero. En cortafuegos meramente corporativos o de hotel, nada de este drama aplica; esas listas de bloqueo se actualizan una vez al año como mucho, y cualquier modo sigilo actual pasa sin problemas.
Una vez configurado, revísalo poco: las configuraciones stealth envejecen bien, y el único disparador de mantenimiento es una red que de repente se resiste, tu señal para actualizar la app antes de cambiar nada más.
¿Quieres comparar todos los VPN uno al lado del otro? Consulta nuestra tabla comparativa completa con puntuaciones en 18 criterios.
La ofuscación es la diferencia entre un VPN que funciona en casa y uno que funciona en todas partes. Los servidores ofuscados de NordVPN son la implementación convencional más fiable, Stealth de Proton es la mejor gratuita y la reserva natural, y Surfshark cubre el ángulo económico. Usa WireGuard normal en redes amigables, cambia a sigilo en las hostiles, y configura todo antes de subir al avión; los túneles invisibles no se pueden descargar desde dentro del cortafuegos.
Sigue leyendo: Double VPN y multi-hop explicados: cuándo dos túneles superan a uno y Mejor VPN en 2026.