Tor sobre VPN: lo que decide realmente el orden de la cadena
Pocas preguntas reaparecen con tanta constancia como la del orden: ¿debería un VPN colocarse delante de la red Tor, detrás de ella o no estar en absoluto? La respuesta honesta para la mayoría es la última. Tor Browser por sí solo es la configuración que sus desarrolladores construyen y prueban, y las preguntas frecuentes del Tor Project advierten que combinar ambos "puede reducir el anonimato o romper las protecciones de Tor si no se configura correctamente." Las ventajas y desventajas de cada orden de la cadena siguen mereciendo un repaso, porque un pequeño número de situaciones justifica de verdad un VPN antes de Tor.
Lo predeterminado: Tor solo, sin nada delante
Conectado directamente, tu ISP puede ver que estás llegando a la red Tor, porque los relés guardián son públicos, pero no qué sitios visitas. Para el modelo de amenazas habitual es suficiente. La visión general de Tor de Privacy Guides sugiere añadir un VPN delante solo en situaciones concretas, entre ellas cuando "tu modelo de amenazas incluye al propio ISP como adversario." De lo contrario, un VPN añade un tercero que sabe quién eres, lo que cambia el ejercicio en lugar de mejorarlo. Ninguna documentación de los proyectos respalda la afirmación frecuente de que Tor necesita un VPN para ser seguro.VPN antes de Tor: lo que compra y lo que cuesta
En la cadena usuario–VPN–Tor–internet, el extremo del VPN pasa a ser la parte que ve tu dirección IP real y sabe que te estás conectando a Tor, mientras que el interior del túnel permanece cifrado. Lo que compras es otra etiqueta en los registros de tu ISP: Privacy Guides señala que "conectarse a un VPN es casi siempre menos sospechoso, porque los proveedores comerciales de VPN los usan consumidores corrientes." Un VPN delante también elimina la necesidad de bridges, ya que llegar al extremo del VPN es en sí el modo de pasar una red que censura. Los costes se trasladan al proveedor: el anonimato descansa ahora en su disciplina de registro, su jurisdicción y su honradez, y Privacy Guides advierte que el túnel aún puede ser identificado por huella de tráfico, así que el uso de Tor no queda garantizado como inadvertido. La documentación de Whonix describe exactamente esta cadena en su guía para conectar un VPN antes de Tor.Tor antes de VPN: el orden a evitar
Encauzar el tráfico de Tor hacia un VPN después está ampliamente desaconsejado. Tor rota circuitos con frecuencia y reparte la actividad entre muchas salidas distintas; un servidor VPN fijo tras la salida concentra todo en un solo operador que ve lo que de otro modo quedaría repartido. Privacy Guides lo dice sin rodeos: "Desaconsejamos enérgicamente combinar Tor con un VPN de cualquier otra manera," porque una salida permanente implica "eliminar esa ventaja y dañar drásticamente tu anonimato." La configuración sobrevive comercialmente sobre todo porque una dirección de salida estable esquiva los bloqueos de nodos de salida por parte de los sitios, lo que beneficia a la reputación del proveedor, no al usuario."En general, no recomendamos usar un VPN con Tor a menos que seas un usuario avanzado que sabe cómo configurar ambos de forma que no comprometa tu privacidad." — Preguntas frecuentes del Tor Project
Dónde encajan Tails y Whonix
Los sistemas dedicados al anonimato mantienen la misma postura. Tails afirma que "es un supuesto fundamental de Tails forzar todo el tráfico saliente hacia redes de anonimato como Tor," y su documentación explica por qué un VPN no es sustituto: los VPN "no son redes de anonimato" — sus administradores pueden ver ambos extremos de una conexión, y un atacante que observe "los pocos servidores del VPN" puede correlacionar lo que el diseño de Tor separa deliberadamente. Whonix es más permisivo: admite túneles y publica la cadena VPN-antes-de-Tor como una configuración opcional con contrapartidas, no como una mejora de privacidad. Comparamos cómo abordan exactamente estas preguntas los dos sistemas en nuestra comparación de Tails y Whonix.Los casos límite donde el VPN gana su sitio
- Un ISP que registra o marca las conexiones Tor: un VPN oculta qué protocolo usas, aunque no puede garantizar que el túnel mismo pase inadvertido.
- Redes censuradas donde obtener o mantener bridges operativos es el cuello de botella: alcanzar un extremo VPN comercial suele ser más fácil que mantener vivos puentes individuales.
- Redes compartidas o gestionadas donde el hecho observable de "usar Tor" es en sí mismo el riesgo.