El proveedor de hosting como censor: el bloqueo de VPN se traslada al arrendador

Qué ocurrió el 4 de agosto

Más de veinte servicios VPN populares dejaron de funcionar a la vez para los usuarios rusos. Entre los afectados se mencionaron Amnezia, Paper VPN, VPN Legend y GaMMa VPN. El objetivo no fueron protocolos ni aplicaciones: a las listas negras fueron direcciones IP y subredes enteras de grandes proveedores de hosting, donde se alojaban los servidores de muchos servicios a la vez. Leonid Volkov lo calificó como el mayor ataque contra herramientas de elusión registrado hasta ahora. Roskomnadzor no hizo comentarios.

Qué se propone

Junto con la ola de bloqueos se discute un esquema que cambia la mecánica misma de las restricciones. El centro de monitoreo de la red pública de comunicaciones mantiene una lista de excepciones: direcciones que nunca se bloquean, VPN corporativas y canales tecnológicos de empresas. En lugar de una lista estática se propone un monitoreo continuo.

• Si en el plazo de una semana se detecta infraestructura VPN en una dirección de la lista blanca, el proveedor recibe un requerimiento y dispone de 24 horas para responder.
• Si no acredita un propósito tecnológico legítimo, la dirección se elimina de la lista de excepciones y pierde su protección frente al bloqueo.
• El número de formas admitidas para verificar la identidad del cliente se reduce de diez a tres: sistema estatal de identidad, biometría o pasaporte.
• A un cliente plenamente identificado se le pedirá primero subsanar la infracción. A un cliente conocido solo por un número de teléfono o una tarjeta bancaria se le puede cortar el servicio en 30 minutos.

En julio de 2026 el registro de proveedores de hosting reunía 584 empresas; el registro existe desde febrero de 2024. El sector advierte de falsos positivos: las direcciones IPv4 cambian de dueño con regularidad y un historial sucio viaja con la dirección hasta su siguiente inquilino.

Por qué esto pesa más que otro bloqueo de protocolo

Hasta ahora la pelea ocurría en el cable: los sistemas de filtrado intentaban reconocer el tráfico VPN por la forma de sus paquetes y los servicios respondían con ofuscación. Es una carrera que el lado defensor puede jugar. El nuevo esquema mueve la aplicación del cable al arrendador: del tráfico al contrato.

La diferencia es de fondo. La inspección profunda de paquetes es cara, se equivoca y va siempre un paso por detrás de los nuevos disfraces. El proveedor de hosting, en cambio, es una palanca barata: una persona jurídica concreta en un registro, con algo que perder. Cuando el hosting debe responder, bajo amenaza de sanción, por todo lo que corre en cada una de sus direcciones IP, la calidad del disfraz del tráfico deja de decidir nada. No lo detectan a usted: lo desalojan. Contra un desalojo no sirven ni las cabeceras cifradas ni la imitación de un HTTPS corriente.

Una observación de campo: la decisión se toma por dirección

El 15 de agosto lo vivimos de forma directa. Uno de nuestros nodos dejó por completo de pasar tráfico; visto desde fuera parecía un bloqueo de protocolo a nivel del hosting. En ese mismo servidor cambiamos una sola cosa, la dirección IP: mismo hardware, mismo proveedor, mismo protocolo, misma configuración. El nodo volvió a funcionar de inmediato.

La conclusión práctica es simple: la restricción estaba atada a una dirección concreta, no a la red del proveedor ni al tipo de tráfico. Es exactamente el cuadro que presupone el nuevo esquema: el sujeto del bloqueo pasa a ser la dirección y quien responde por ella.

Qué ayuda de verdad en esta lógica

• Repartir entre hostings y sistemas autónomos sin relación entre sí, no entre países. Tres servidores con un mismo proveedor en tres países mueren por una sola entrada en la lista. La geografía no es diversidad.
• Poder cambiar de dirección rápido. Si un nodo recibe una dirección nueva en minutos en vez de mudarse durante una semana, el desalojo deja de ser una catástrofe.
• Conmutación automática en la aplicación. Nadie debería enterarse de un bloqueo por un Conectando… eterno: la app tiene que llevarlo sola a un nodo que funcione.
• La ofuscación del protocolo sigue haciendo falta, pero como defensa frente a otro ataque: el reconocimiento del tráfico. Son dos capas distintas y ambas deben funcionar.

Cómo lo afronta HamikVPN

Mantenemos servidores propios en distintas ubicaciones y con distintos proveedores; no es reventa de acceso a un único hosting. El tráfico va por AmneziaWG con ofuscación. La aplicación recibe una lista ordenada de nodos y, cuando el principal falla, pasa al usuario al siguiente que funcione por sí sola.

Una advertencia honesta: nadie puede garantizar que nunca lo bloquearán, y quien ofrece esa garantía lo está engañando. Pero cuando el punto de presión se desplaza al arrendador, no gana quien tiene el protocolo más ingenioso, sino quien tiene las direcciones repartidas y sabe mudarse rápido. Así construimos el servicio, y lo del 15 de agosto demostró que funciona.