Linux

La plataforma donde la infraestructura es suya

WireGuard en el kernel convierte a Linux en la plataforma de túnel más rápida con el mismo hardware[1], y nftables hace que el interruptor de corte sea auditado de una forma que ningún otro sistema operativo permite: 51% de los proveedores en esta página ofrecen clientes de código abierto, pero en Linux incluso los cerrados se ejecutan sobre una infraestructura que usted puede inspeccionar[6].

La pila de DNS es la fuga, como siempre

La complejidad del sistema de resolvedores es el fallo recurrente de las VPN en Linux: resolv.conf gestionado por tres subsistemas distintos, un cliente que actualiza solo uno de ellos, y una fuga que usted detecta en la prueba de fugas y no en la interfaz del cliente[6]. Los operadores que manejan systemd-resolved explícitamente (y lo indican en su documentación) son los que ofrecen un soporte real para Linux: la misma señal de documentación que distingue a los serios en cualquier otro contexto[5].

El interruptor de corte con nftables, brevemente

El patrón que conviene conocer incluso si usa un cliente: un conjunto de reglas base que bloquea todo el tráfico saliente excepto el de la interfaz del túnel, el loopback y DHCP, más una regla que permite el tráfico del proceso de la VPN. Aplicado por netfilter, legible por usted, comprobable al arrancar, y sobrevive a fallos de aplicaciones, porque las reglas residen por debajo de cualquier proceso en espacio de usuario. Las clases de ataques locales (TunnelCrack[3], TunnelVision[4]) fracasan en esta capa por diseño: las respuestas de los operadores[5] describen el mismo diseño en sus clientes. Es la única plataforma donde el interruptor de corte recomendado y el equivalente hecho por usted son el mismo artefacto[1][7].

El patrón wg-quick que conviene conocer

Incluso con un cliente del proveedor instalado, la ruta de configuración en texto plano es relevante en Linux: wg-quick consume directamente los archivos .conf del proveedor, los ganchos PostUp/PostDown gestionan los cambios de firewall y DNS, y toda la configuración reside en /etc/wireguard, donde usted puede revisarla. La configuración purista — wg-quick más sus propias reglas nftables — es la disposición de VPN más auditada en el entorno de consumo, y funciona con cualquier proveedor que ofrezca archivos de configuración (los dieciséis aquí listados lo hacen)[1][6]. Los clientes existen por comodidad, no por capacidad.

Cuando Linux no es la respuesta adecuada

Para desbloquear catálogos, una máquina Linux individual tiene el mismo problema de IP no reputada que el centro de autohospedaje: las plataformas de streaming clasifican rangos de centros de datos, y los clientes Linux no reciben un trato especial[4]. Para resistir la censura, sigue dominando la ofuscación (véase el centro para China). Y en cuanto a comodidad, ganan las aplicaciones de escritorio: todo lo descrito aquí requiere editar configuraciones y leer registros, que es exactamente el intercambio. La ventaja de Linux es el control: túnel más rápido, aplicación auditada y pila de código abierto completa de extremo a extremo[1][7] — la plataforma donde «confiar en el cliente» y «verificar el cliente» finalmente son la misma frase.