Qué es un interruptor de emergencia en una VPN (y qué no cubre)

Qué hace realmente un interruptor de emergencia en una VPN

Un interruptor de emergencia no es magia. Es una función, a veces integrada en la aplicación de una VPN, a veces parte del sistema operativo o del firewall, que impide que su dispositivo envíe datos por internet si el túnel cifrado hacia el servidor de la VPN se interrumpe. Su función es sencilla: evitar la exposición accidental de su dirección IP real y su ubicación cuando falla la conexión. Sin él, su tráfico podría salir a través de la conexión habitual de su ISP en el momento en que la VPN se desconecte, exponiendo potencialmente su identidad, ubicación o actividad.

Pero esta es la realidad: un interruptor de emergencia no lo hace anónimo. No cifra sus datos más allá de lo que ya hace la VPN. No detiene scripts de seguimiento, anuncios ni malware. Es un sistema de seguridad, no un escudo de privacidad. Si su entorno de amenazas incluye a alguien que monitorea su red, como un ISP, un empleador o un gobierno, entonces un interruptor de emergencia funcional reduce el riesgo de exposición durante desconexiones breves. Pero si depende de él como su única defensa, está pasando por alto el panorama general.

Existen dos formas principales en que funcionan los interruptores de emergencia: mediante reglas de firewall o mediante la manipulación de tablas de enrutamiento. El método basado en firewall bloquea activamente el tráfico utilizando filtros de paquetes a nivel del sistema. El método de enrutamiento elimina o modifica la ruta predeterminada para que ningún tráfico pueda salir excepto a través de la interfaz de la VPN. Ambos métodos tienen ventajas y desventajas en términos de fiabilidad, velocidad y compatibilidad.

Cómo funcionan los interruptores de emergencia: firewall frente a enrutamiento

Los interruptores de emergencia basados en firewall, como los utilizados por IVPN [2], dependen del firewall integrado del sistema operativo (como pf en macOS, nftables o iptables en Linux, o el Firewall de Windows) para bloquear todo tráfico que no sea de la VPN. Cuando se activa el interruptor de emergencia, el firewall se configura para permitir tráfico únicamente a través del túnel cifrado (por ejemplo, la interfaz tun0). Si el túnel se cae, las reglas del firewall permanecen activas, bloqueando todo lo demás. Este método es generalmente más fiable porque no depende de que la pila de enrutamiento permanezca intacta: si las reglas se aplican correctamente, el tráfico simplemente no puede salir.

Los interruptores de emergencia basados en enrutamiento, por otro lado, funcionan modificando la tabla de enrutamiento del sistema. Eliminan la puerta de enlace predeterminada (la ruta que indica al dispositivo hacia dónde enviar el tráfico cuando no existe una ruta específica) y la reemplazan con una ruta que apunta únicamente al servidor de la VPN. Si la conexión se interrumpe, la ruta predeterminada no se restaura, por lo que el sistema no tiene adónde enviar el tráfico. Este método es más rápido de implementar en software, pero puede ser frágil. Un proceso en segundo plano o un administrador de red podría anular los cambios de enrutamiento, especialmente en entornos móviles o con múltiples redes.

Ninguno de los métodos es infalible. Las reglas de firewall pueden evitarse por errores de configuración o elevación de privilegios. Los cambios de enrutamiento pueden revertirse por administradores de red como NetworkManager en Linux o herramientas de reconexión automática. Y ambos pueden fallar en silencio, lo que significa que usted cree estar protegido cuando no lo está. Por eso es importante probarlo.

Bloquear todo el tráfico frente a solo el tráfico de la VPN

Algunos interruptores de emergencia son lo suficientemente "inteligentes" como para bloquear solo el tráfico que no pasa por la VPN, mientras que otros cortan todo el acceso a internet. La diferencia parece menor, pero tiene implicaciones reales.

Un bloqueo parcial permite el tráfico de red local (como impresión o compartir archivos) mientras bloquea los paquetes dirigidos a internet que no están enrutados a través del túnel. Esto es conveniente si trabaja desde casa y necesita acceso a unidades compartidas o dispositivos inteligentes. Pero aumenta la superficie de ataque. Si su red local está comprometida, un atacante podría interceptar tráfico o usar su dispositivo como punto de acceso.

Un bloqueo total desactiva toda la actividad de red cuando se cae la VPN: ni internet ni red local. Esto es más seguro, especialmente en entornos con Wi-Fi público donde los dispositivos maliciosos son comunes. Pero también es más disruptivo. Si la VPN se desconecta durante unos segundos, toda su conexión se interrumpe y debe volver a conectarse manualmente.

La mayoría de las VPN comerciales usan bloqueo total por defecto, pero no todas. Algunas aplicaciones permiten elegir. Si su objetivo es la privacidad, elija el bloqueo total. La comodidad nunca debería superar el riesgo de exposición cuando está en juego su IP real.

Qué no cubren los interruptores de emergencia: IPv6, DNS y WebRTC

Incluso un interruptor de emergencia perfectamente implementado no puede protegerlo de todo. Tres vectores principales de fuga a menudo quedan sin abordar: IPv6, DNS y WebRTC.

Las fugas de IPv6 ocurren cuando su ISP le asigna una dirección IPv6, pero su VPN solo enruta tráfico IPv4. Si el interruptor de emergencia no tiene en cuenta IPv6, su dispositivo podría seguir comunicándose por IPv6 fuera del túnel. Dado que la adopción de IPv6 está creciendo, este es un riesgo real. Según Wikipedia, IPv6 utiliza direcciones de 128 bits y fue diseñado para reemplazar a IPv4 debido al agotamiento de direcciones [3]. Muchos interruptores de emergencia aún se centran solo en IPv4, dejando expuesto el tráfico IPv6.

Las fugas de DNS ocurren cuando su sistema envía consultas DNS (que traducen nombres de dominio como google.com en direcciones IP) fuera del túnel cifrado. Esto puede revelar su historial de navegación incluso si el resto de su tráfico está cifrado. Un buen interruptor de emergencia debería bloquear todo tráfico DNS que no esté enrutado a través de la VPN, pero no todos lo hacen. Algunas aplicaciones dependen de la configuración DNS del sistema operativo, que puede ser anulada por administradores de red o software malicioso.

Las fugas de WebRTC son específicas del navegador. WebRTC (Comunicación en Tiempo Real en la Web) es un protocolo que permite a los navegadores establecer conexiones directas entre pares, para videollamadas, intercambio de archivos, etc. Pero también puede exponer su dirección IP real, incluso cuando está usando una VPN. Esto no es un fallo del interruptor de emergencia; es un fallo del navegador. El interruptor de emergencia opera a nivel del sistema, pero WebRTC opera dentro del entorno aislado del navegador. Para detener las fugas de WebRTC, necesita extensiones o configuraciones del navegador que desactiven o bloqueen la función, como desactivar media.peerconnection.enabled en Firefox.

Ninguno de estos problemas se resuelve solo con un interruptor de emergencia. Necesita defensas en capas: desactive IPv6 si su VPN no lo admite, use una VPN con protección contra fugas de DNS y refuerce la seguridad de su navegador.

Cómo probar su interruptor de emergencia

No confíe en el marketing. Pruébelo usted mismo.

Comience visitando una herramienta de prueba de fugas como nuestro comprobador de fugas. Esta herramienta verifica fugas de IPv4, IPv6, DNS y WebRTC. Ejecútela mientras está conectado a su VPN para confirmar que todo está oculto. Luego, simule una desconexión.

Así es cómo:

1. Conéctese a su VPN.
2. Abra la prueba de fugas en una pestaña del navegador.
3. Desconecte manualmente la VPN (no cierre la aplicación, desconéctela).
4. Actualice la página.

Si aparece su IP real, el interruptor de emergencia ha fallado. Si la página no carga en absoluto, el interruptor de emergencia está funcionando. Pero eso no es suficiente.

A continuación, pruebe el comportamiento de reconexión. Después de desconectarse, vuelva a conectar la VPN. ¿La prueba de fugas sigue mostrando su IP real? Algunos interruptores de emergencia no restauran correctamente las reglas del firewall o las tablas de enrutamiento después de una reconexión, dejándolo expuesto incluso cuando la aplicación indica que está protegido.

Además, pruebe el comportamiento en segundo plano. Deje la VPN conectada durante la noche. Use un script o herramienta para monitorear su IP a intervalos. Un interruptor de emergencia debe permanecer activo incluso después de que el sistema entre en suspensión, cambie de Wi-Fi o se actualice la aplicación.

Finalmente, pruébelo en múltiples redes: casa, punto de acceso móvil, Wi-Fi público. Los administradores de red se comportan de manera diferente en cada entorno, y su interruptor de emergencia podría no sobrevivir a la transición.

Por qué "sin registros" no es suficiente

Un interruptor de emergencia protege contra caídas de conexión. Pero no lo protege del proveedor de la VPN en sí. Si la empresa guarda registros —marcas de tiempo de conexión, direcciones IP, uso de ancho de banda— entonces su privacidad depende de su honestidad y seguridad.

"Sin registros" es una afirmación, no un hecho. Hasta que se audite o se compruebe en un tribunal, trátelo como marketing. Algunos proveedores, como Mullvad y IVPN, han pasado auditorías independientes o enfrentado desafíos legales sin entregar datos de usuarios [2]. Otros hacen la afirmación pero no ofrecen pruebas.

Incluso con un interruptor de emergencia perfecto, está confiando al proveedor su tráfico. Si están comprometidos, citados judicialmente o actúan de forma maliciosa, sus datos aún podrían exponerse. Por eso importa la jurisdicción. Un proveedor ubicado en un país de los Cinco Ojos podría estar legalmente obligado a cooperar con solicitudes de vigilancia. Verifique dónde está constituida la empresa, qué leyes se aplican y si han publicado informes de transparencia.

Y recuerde: un interruptor de emergencia no detiene malware, phishing ni ingeniería social. No oculta su comportamiento ante los sitios web. Es una pieza de una estrategia de privacidad más amplia, no el todo.