Fexyn
Fexyn
All posts

Cómo evadir censura de internet en 2026

Fexyn Team··21 min read

Freedom House publicó su reporte 2025 en octubre. La libertad de internet declinó por el 15º año consecutivo. 57 de 72 países encuestados habían arrestado personas por expresión en línea, un récord. China obtuvo 9 de 100, empatado con Myanmar por la peor calificación de libertad de internet del planeta.

Estas no son estadísticas abstractas. Se traducen directamente en sitios web bloqueados, mensajes interceptados y personas yendo a prisión por correr software VPN.

Si necesitas evadir censura de internet en 2026, el protocolo que tu VPN usa es lo único que importa. No el nombre de la marca. No el conteo de servidores. No el texto de marketing en la landing page. El protocolo determina si tu tráfico pasa o es señalado, estrangulado y dropeado a nivel de ISP antes de salir del país. (Qué es resistencia a censura cubre el concepto subyacente; este post es la evaluación concreta protocolo por protocolo.)

Este artículo ranquea cada protocolo que importa por su efectividad real contra inspección profunda de paquetes a nivel estatal. Probamos contra infraestructura de censura real, no simulaciones de laboratorio. Algo de lo que sigue contradirá lo que has leído en otra parte.

La infraestructura de censura en 2026

Los gobiernos haciendo esto no están improvisando. Están corriendo sistemas construidos a propósito con equipos de ingeniería reales y presupuestos reales.

El Gran Cortafuegos de China sigue siendo el aparato de censura más avanzado jamás construido. Combina DPI pasiva con clasificación con IA/ML y sondeo activo. Cuando el GFW sospecha que una conexión podría ser un proxy, no solo la bloquea. Conecta al servidor mismo, envía cargas útiles diseñadas y trata de provocar una respuesta específica al protocolo. Si el servidor responde de una manera que un servidor web normal no haría, la IP entra a la lista negra. Este sistema de sondeo activo corre desde decenas de miles de IP de origen y puede golpear un servidor señalado dentro de un segundo de la conexión sospechosa original.

El GFW también hace algo que ningún otro sistema de censura ha replicado a escala: identifica las propias implementaciones TLS. Tu VPN podría usar TLS 1.3, pero si el ClientHello que tu cliente genera no coincide con ningún fingerprint conocido de navegador, la conexión muere. El GFW mantiene una base de datos actualizada de fingerprints TLS de navegadores y mata cualquier cosa que no coincida.

El TSPU de Rusia (Sistemas Técnicos para Contrarrestar Amenazas) se sienta dentro de cada ISP licenciado en Rusia. Es hardware obligatorio. Para febrero de 2026, Rusia había bloqueado 469 servicios VPN. El presupuesto de TSPU para 2025 a 2027 es aproximadamente 600 millones de USD, con 2.27 mil millones de rublos específicamente asignados para filtrado de tráfico con IA. Ese dinero compra modelos de clasificación, datos de entrenamiento y el personal de ingeniería para mantener el sistema actual.

TSPU no es tan sofisticado como el GFW. No hace sondeo activo a nivel del GFW. Pero no necesita, porque la mayoría de los protocolos VPN son trivialmente identificables a través de análisis pasivo solo. WireGuard, OpenVPN y Shadowsocks todos caen ante TSPU dentro de segundos.

Irán corre un sistema de filtrado multi-capa construido sobre importaciones de tecnología DPI china. Durante el "apagón sigiloso" de junio de 2025, Irán no cortó el internet. Ese enfoque generó demasiada atención internacional durante las protestas de Mahsa Amini de 2022. En lugar de eso, las autoridades bloquearon selectivamente protocolos VPN y proxy mientras dejaban funcional la navegación HTTPS normal. Este es el nuevo libreto de censura: bloqueo dirigido y específico al protocolo que es invisible para observadores casuales y difícil para que los periodistas documenten.

Myanmar fue más allá que cualquier otro país. El uso de VPN conlleva una sentencia de tres años de prisión. Los soldados conducen revisiones aleatorias en la calle de los teléfonos de los civiles, buscando aplicaciones VPN. La aplicación es física, no solo técnica.

Lo que dejó de funcionar

Si tu VPN corre uno de estos protocolos y estás en un país censurado, no funciona. Punto.

OpenVPN es identificado en menos de 30 segundos por cada sistema DPI principal. Un paper de USENIX Security 2022 demostró 85% de precisión de identificación con cero falsos positivos contra tráfico real de ISP. Los investigadores probaron 41 configuraciones distintas de ofuscación e identificaron 34 de ellas. El framing del canal de control, la estructura del byte de opcode, el timing del handshake TLS son todas firmas identificables. Obfsproxy y envoltorios similares compran semanas como mucho antes de que los clasificadores se adapten.

OpenVPN está bien para privacidad en redes sin restricciones. Para evasión de censura, está muerto. Ha estado muerto por años.

WireGuard está bloqueado con casi 100% de precisión en China y Rusia. La razón es estructural: cada handshake de WireGuard es exactamente 148 bytes con un patrón de cabecera fijo. Un solo condicional en la regla DPI lo atrapa. No se necesita aprendizaje automático. Tráfico UDP, puerto 51820, primeros cuatro bytes 0x01 0x00 0x00 0x00, longitud de paquete 148. Listo.

AmneziaWG 2.0 agrega padding aleatorio y paquetes basura, lo cual ayuda contra fingerprinting ingenuo. No ayuda contra el análisis estadístico de distribuciones de tamaño de paquete. Los protocolos basados en UDP que no coinciden con ninguna aplicación legítima conocida son sospechosos por defecto en entornos fuertemente censurados.

Túneles SSH han sido identificados desde al menos 2020. El handshake SSH empieza con un intercambio de versión en texto plano (SSH-2.0-OpenSSH_9.6), que es tan sigiloso como anunciar tus intenciones por un altavoz.

Proxies HTTP/SOCKS básicos no sobreviven al primer contacto con cualquier sistema DPI desplegado después de 2018.

Shadowsocks (versiones pre-2022) sufría de una falla de diseño que permitía ataques de replay. Los sistemas DPI grababan handshakes encriptados y los reproducían al servidor. La respuesta del servidor (o la falta de ella) confirmaba que estaba corriendo Shadowsocks. China explotó esto a escala empezando en 2020.

Protocolos ranqueados por resistencia DPI

Ranqueamos estos por tasas de éxito medidas contra los tres sistemas de censura más difíciles: GFW de China, TSPU de Rusia e infraestructura de filtrado de Irán. La tasa de éxito significa el porcentaje de intentos de conexión que establecen un túnel funcional y pasan tráfico.

1. VLESS Reality con Vision flow

Tasa de éxito: 98% en la red CN2 de China. Tasa de detección sub-5% en todos los sistemas DPI probados.

VLESS Reality con Vision flow (xtls-rprx-vision) es el mejor protocolo anti-censura disponible en 2026. Nada más se acerca contra DPI avanzado.

La razón es arquitectónica. Reality no trata de ofuscar tráfico VPN. No agrega padding ni inyecta ruido. En lugar de eso, hace que las conexiones VPN produzcan handshakes TLS que son byte por byte idénticos a las conexiones a un sitio web real. Cuando conectas a un servidor VLESS Reality, la negociación TLS que tu cliente realiza es indistinguible de una conexión genuina a, digamos, www.microsoft.com. El sistema DPI ve un handshake TLS 1.3 normal con un SNI normal, suites de cifrado normales y una cadena de certificado que pertenece a un sitio web real.

Esto funciona porque Reality usa el certificado real del objetivo de camuflaje durante el handshake TLS, luego realiza un intercambio de claves autenticado oculto dentro de la sesión TLS. El sistema DPI necesitaría hacer MitM en la conexión para detectarla, lo cual rompe TLS por completo y es impráctico a escala nacional.

El Vision flow (xtls-rprx-vision) agregado a finales de 2023 elimina la señal de detección TLS-en-TLS que el análisis de tráfico de otra manera produciría. Combinado, Reality+Vision produce un flujo que es estadísticamente indistinguible de una sesión real de navegador al host de camuflaje.

La tasa de falla del 2% en CN2 es mayormente relacionada al timing. Durante periodos conocidos de represión (alrededor de sesiones del Congreso del Partido, aniversario de Tiananmen), el GFW temporalmente aprieta heurísticas y puede bloquear conexiones a IP con volúmenes de tráfico inusualmente altos, sin importar el protocolo. Eso es reputación de IP, no detección de protocolo.

2. Hysteria 2

Tasa de éxito: variable. Latencia 110-150 ms en entornos probados. Parcialmente bloqueado en China.

Hysteria 2 toma un enfoque distinto. Está construido sobre QUIC (basado en UDP, como WireGuard) pero agrega dos funciones diseñadas para redes hostiles. El control de congestión "Brutal" ignora las señales de pérdida de paquetes y mantiene el ancho de banda incluso cuando la red está activamente interfiriendo con la conexión. La ofuscación "Salamander" modifica las cabeceras QUIC para resistir fingerprinting.

El protocolo es rápido. En redes donde funciona, Hysteria 2 a menudo supera a VLESS Reality en throughput porque el control de congestión Brutal no se retira cuando detecta pérdida. Esto es útil en entornos donde el censor está estrangulando en lugar de bloqueando del todo.

El problema es que QUIC mismo está cada vez más bajo escrutinio. El GFW de China ha estado experimentando con bloquear todo tráfico QUIC no estándar, y las conexiones de Hysteria 2 han sido atrapadas en esas barridas. El protocolo funciona bien en Rusia e Irán hoy. Su viabilidad a largo plazo en China es incierta. Estar basado en UDP es una desventaja en países donde el censor puede simplemente dropear todo tráfico UDP que no coincida con servicios conocidos.

3. Trojan-GFW

Tasa de éxito: declinando. 90% de tasa de detección en Rusia para agosto de 2025.

Trojan toma el enfoque "se ve como HTTPS real", similar en espíritu a VLESS Reality pero con una implementación más débil. El servidor Trojan corre un servidor web real (típicamente Nginx) detrás de TLS. El tráfico Trojan va al manejador de proxy; el tráfico no-Trojan recibe el sitio web real. Desde afuera, el servidor genuinamente está corriendo un sitio web.

La debilidad fatal es el sondeo activo. Cuando el GFW o TSPU conecta a un servidor sospechoso de ser Trojan y le envía tráfico no-Trojan, el servidor responde con una página web. Eso se espera. Pero el comportamiento del servidor en casos extremos (manejo de conexiones, respuestas de error, patrones de timeout) difiere sutilmente de un despliegue genuino de Nginx. Estas diferencias son consistentes lo suficiente que el TSPU de Rusia detectaba 90% de los servidores Trojan para mediados de 2025.

Trojan fue un buen protocolo en 2021. Está mostrando su edad. Si lo estás corriendo y aún funciona para ti, genial. No configures nueva infraestructura sobre él.

4. TUIC v5

Tasa de éxito: datos limitados. Latencia medida 140-180 ms en China.

TUIC multiplexa flujos QUIC y agrega su propia capa de autenticación. Es más nuevo que Hysteria 2 y ha visto menos despliegue. Los números de latencia son aceptables pero no notables. Como Hysteria 2, hereda la vulnerabilidad de QUIC al filtrado UDP general. La base de usuarios más pequeña significa menos pruebas contra sistemas DPI de producción y menos certeza sobre tasas de detección.

Potencialmente viable, pero no suficientemente probado en batalla para recomendar como protocolo primario.

5. Shadowsocks 2022 (AEAD-2022)

Tasa de éxito: 76% en China. Declinando.

La revisión 2022 de Shadowsocks arregló la vulnerabilidad de ataque de replay y agregó encriptación AEAD apropiada con derivación de clave por sesión. Esto era necesario y atrasado.

Pero Shadowsocks aún tiene el problema de entropía. El flujo encriptado tiene entropía uniformemente alta desde el primer byte. Las conexiones HTTPS normales tienen elementos estructurados (handshake, cadenas de certificado, framing HTTP) que producen patrones de entropía reconocibles. Los clasificadores ML entrenados en características de tráfico pueden distinguir Shadowsocks de HTTPS con 85%+ de precisión usando solo análisis de tamaño de paquete y entropía.

Shadowsocks 2022 es mejor que sus predecesores. Aún está peleando con una mano atada a la espalda comparado con protocolos que producen tráfico indistinguible de HTTPS legítimo.

6. Protocolos propietarios de VPN comerciales

NordVPN lanzó NordWhisper en enero de 2025, describiéndolo como "tecnología de túnel web" que disfraza el tráfico como HTTPS. Diseñado para restricciones de Wi-Fi y firewalls corporativos. ProtonVPN ofrece Stealth, que envuelve WireGuard en una capa de ofuscación.

Ambos son código cerrado. Ninguno ha sido probado contra el GFW o TSPU por investigadores independientes. NordWhisper fue diseñado para Wi-Fi de hotel y redes corporativas, no DPI a nivel estatal. Ese es un modelo de amenazas totalmente distinto. ProtonVPN Stealth envolviendo WireGuard no cambia el problema fundamental de que los patrones de tráfico del protocolo subyacente se filtran a través de las capas de ofuscación con el tiempo.

Los protocolos de código cerrado no pueden ser auditados por la comunidad de investigación de evasión de censura. Cuando un equipo en la Universidad de Michigan o en la Open Technology Fund prueba herramientas anti-censura, prueban implementaciones de código abierto. NordWhisper y Stealth no obtienen ese escrutinio. Estás confiando en afirmaciones de marketing sin verificación independiente.

7. Tor con transportes pluggable

Tor aún funciona vía bridges obfs4 y Snowflake. Es lento. Espera latencia de 200-500 ms y throughput medido en kilobytes por segundo, no megabytes. Para acceder a un sitio web bloqueado específico o enviar un mensaje, Tor con bridges es viable. Para cualquier cosa que se parezca al uso normal de internet (video, descargas grandes, comunicación en tiempo real), no es práctico.

La fortaleza de Tor es el diseño de la red (el enrutamiento de cebolla provee anonimato que ninguna VPN puede igualar), no la capa de transporte. Si tu modelo de amenazas requiere anonimato del propio proveedor de VPN, Tor es la única opción. Si tu modelo de amenazas es "acceder al internet abierto desde una red censurada", existen herramientas más rápidas.

Por qué un protocolo no es suficiente

Aquí está la parte que la mayoría de los proveedores de VPN no quieren hablar: los sistemas de censura se adaptan.

VLESS Reality tiene una tasa de éxito de 98% en CN2 hoy. Ese número era más alto hace un año y probablemente será más bajo dentro de un año. El equipo del GFW lee los mismos papers de investigación que nosotros. Asisten a las mismas conferencias. Saben cómo funciona Reality. Están trabajando en métodos de detección.

Cuando un solo protocolo falla, una VPN de un solo protocolo se convierte en un ladrillo. Estás desconectado sin respaldo. Esto le pasa a usuarios de VPN solo-WireGuard en China cada día.

La arquitectura correcta es rotación de protocolo. Tu cliente debería intentar el protocolo más rápido primero. Si falla o se bloquea, debería caer automáticamente a un protocolo más resistente sin intervención manual. El usuario no debería necesitar saber qué es VLESS o qué significa DPI. Presiona conectar y el software descubre qué funciona en su red.

Fexyn corre tres protocolos con rotación automática: Bolt (WireGuard) para velocidad en redes sin restricciones, Stealth (VLESS Reality con Vision flow) para redes censuradas, y Secure (OpenVPN) como respaldo de compatibilidad. El motor de rotación clasifica fallas en tiempo real. Si WireGuard se bloquea, el siguiente intento va a través de VLESS Reality+Vision sobre TLS 1.3. Si Stealth falla (raro, pero pasa durante represiones agresivas), OpenVPN sobre TCP puerto 443 es el último recurso.

Dos estrategias se entregan por defecto. SpeedFirst intenta WireGuard, luego VLESS Reality+Vision, luego OpenVPN. StealthFirst invierte el orden, empezando con Reality+Vision para usuarios que saben que están en redes hostiles. El kill switch permanece activo a través del ciclo entero de rotación. Tu IP real nunca se filtra durante el cambio de protocolo.

Ningún protocolo único funcionará en todas partes para siempre. La carrera armamentista de censura lo garantiza. Lo que funciona es tener múltiples protocolos y cambiar entre ellos más rápido de lo que el censor puede adaptarse.

Consejo práctico por país

Lo que sigue se basa en reportes de campo de usuarios y operadores, no pruebas de laboratorio. Las condiciones cambian. Lo que funciona en marzo puede no funcionar en junio. Trata esto como punto de partida, no evangelio.

China

Usa VLESS Reality con Vision flow. Esto no es una sugerencia. Es el único protocolo con tasas de éxito confiables contra el GFW en 2026. Conecta a servidores fuera de China continental; de la flota de Fexyn, Chipre es el más cercano geográficamente y Frankfurt o Ashburn son alternativas si Chipre está congestionado.

Espera degradación durante periodos políticamente sensibles. Las tasas de éxito de conexión caen durante sesiones legislativas anuales, fechas de aniversario y cualquier periodo de inquietud doméstica. Tener un servidor de respaldo en un país distinto en un rango IP distinto ayuda.

Hysteria 2 (no entregado por Fexyn; relevante para auto-alojadores) funciona intermitentemente y no es lo suficientemente confiable para ser una elección primaria.

No uses WireGuard, OpenVPN o Shadowsocks como tu protocolo primario. Están bloqueados.

Rusia

VLESS Reality funciona hoy. TSPU es el adversario primario, y no hace sondeo activo al nivel del GFW. El camuflaje de Reality aguanta bien contra DPI pasivo y clasificadores ML.

El riesgo en Rusia es el ritmo de desarrollo de TSPU. El presupuesto de IA de 2.27 mil millones de rublos está comprando mejoras reales de capacidad. TSPU pasó de luchar con Shadowsocks en 2023 a bloquear 469 servicios VPN para principios de 2026. El sistema está mejorando rápido.

La elección de servidor importa. Usa IP que no hayan sido señaladas. Las IP de hosting compartido (donde tu servidor VPN comparte una IP con sitios web legítimos) son más difíciles para que TSPU las bloquee sin daño colateral. Las IP dedicadas de servidor VPN en proveedores de nube bien conocidos (AWS, DigitalOcean, Vultr) son bloqueadas más agresivamente porque bloquearlas causa menos daño colateral.

Irán

VLESS Reality con Vision flow es la clase de protocolo que sobrevive. La tecnología DPI de Irán es menos sofisticada que la de China o Rusia, pero el gobierno compensa con apagones totales periódicos y estrangulamiento agresivo. Durante el apagón sigiloso de junio de 2025, solo los protocolos que se veían exactamente como HTTPS normal sobrevivieron.

Los ISP iraníes a veces estrangulan todo el tráfico encriptado a velocidades inutilizables en lugar de bloquearlo del todo. Para usuarios viendo estrangulamiento en lugar de bloqueo total, cambiar la ubicación del servidor (Chipre, Frankfurt, Helsinki, Ashburn) a menudo ayuda más que cambiar de protocolo.

Myanmar, Turkmenistán, Corea del Norte

Estos países combinan censura técnica con aplicación física. Myanmar entrega sentencias de tres años de prisión por uso de VPN. Turkmenistán fuerza a los ciudadanos a jurar no usar VPN. Corea del Norte envía gente a campos de trabajo.

El consejo de evasión técnica es secundario a la seguridad personal. Si estás en uno de estos países y necesitas acceder a contenido bloqueado, el protocolo técnico apenas importa comparado con la seguridad operacional alrededor de cómo obtienes, instalas y usas el software. No instales apps VPN en un dispositivo que pudiera ser inspeccionado en un punto de control. No discutas herramientas de evasión en canales de comunicación monitoreados. El protocolo es la parte fácil. No ser atrapado es la parte difícil.

Los riesgos legales son reales

Evadir censura es ilegal en muchos países. Las penas varían ampliamente.

País Pena por uso de VPN
China Hasta 5 años de prisión (rara vez aplicado contra individuos; la aplicación apunta a vendedores y operadores de VPN)
Rusia Multas hasta 500.000 rublos para empresas anunciando VPN; el uso individual está en una zona gris legal pero la aplicación está aumentando
Irán Hasta 2 años de prisión y 4.000 USD de multa
EAU Multas hasta 540.000 USD y prisión por usar VPN para actividad ilegal
Myanmar Hasta 3 años de prisión
Corea del Norte Campos de trabajo
Turkmenistán Multas y prisión; los ciudadanos han sido forzados a jurar sobre el Corán no usar VPN

No somos abogados. Esta tabla no es asesoría legal. Las leyes cambian. Los patrones de aplicación cambian. Investiga la situación legal actual en tu país específico antes de usar cualquier herramienta de evasión.

La realidad práctica es que en la mayoría de estos países, millones de personas usan VPN diariamente y la aplicación contra usuarios individuales es selectiva en lugar de universal. China tiene cientos de millones de usuarios de VPN y procesa un puñado por año, típicamente en conexión con otros cargos. Rusia primariamente apunta a proveedores de VPN y anunciantes, no a usuarios finales. Pero "aplicación selectiva" también significa que la aplicación puede ser dirigida a cualquiera que el gobierno decida apuntar, por cualquier razón.

Guías específicas por país

Cada uno de los países arriba tiene su propio modelo de amenazas, regulador y protocolo recomendado. Las guías por país más profundas cubren los detalles a nivel de operadora:

Las guías específicas de app cubren las plataformas que los censores apuntan más:

Para el panorama transversal entre países, el mapa global de censura es una visualización interactiva de los mismos 50+ mercados — filtra por VoIP-bloqueado, DPI-desplegado, o VPN-restringido para ver los patrones de un vistazo.

Qué viene después

La carrera armamentista de censura continuará. Siempre lo ha hecho. Los gobiernos gastan más dinero en DPI. Los diseñadores de protocolos encuentran nuevas formas de hacer que el tráfico VPN sea indistinguible del tráfico legítimo. El ciclo se repite.

Tres tendencias darán forma a los próximos dos años.

Primero, el ClientHello encriptado (ECH) está rodando a través de los principales navegadores. ECH encripta el campo SNI en los handshakes TLS, que actualmente filtra a qué sitio web te estás conectando. La adopción amplia de ECH haría la censura basada en TLS mucho más difícil, porque el censor ya no puede ver el nombre de dominio en el handshake. También cambiaría el cálculo de camuflaje para protocolos como VLESS Reality, que actualmente dependen de que el censor pueda ver (y confiar) en el SNI.

Segundo, la clasificación de tráfico con IA está mejorando. La inversión de Rusia en filtrado basado en ML no es única. Cada país con un programa DPI está experimentando con clasificadores de redes neuronales que detectan tráfico VPN basado en patrones conductuales en lugar de firmas de protocolo. Estos clasificadores producen más falsos positivos que la detección basada en firmas, lo que limita qué tan agresivamente pueden ser desplegados. Pero la precisión está mejorando año tras año.

Tercero, el daño colateral es la principal restricción para los censores. Bloquear un rango IP que aloja tanto servidores VPN como negocios legítimos tiene costos económicos. Los diseñadores de protocolos explotan esto haciendo que el tráfico VPN se vea idéntico al tráfico que el censor no se puede dar el lujo de bloquear. VLESS Reality imitando a microsoft.com funciona porque China no va a bloquear microsoft.com. Si lo hicieran, la mitad del software empresarial en el país se rompería.

Los protocolos que sobrevivirán serán los que eleven el costo de detección por encima del costo que el censor está dispuesto a pagar. Eso ha sido cierto desde que se desplegó el primer firewall, y será cierto en 2030.

Fexyn entrega VLESS Reality con Vision flow, WireGuard y OpenVPN con rotación automática de protocolo. Si estás en un país censurado, la estrategia de rotación StealthFirst empieza con Reality+Vision y cae automáticamente. El marco de caso de uso está en VPN para periodistas y VPN para activistas; para una comparación cara a cara con un competidor enfocado en privacidad que no entrega Reality, ve Fexyn vs Mullvad. Descarga Fexyn y pruébalo en tu red. Los tres protocolos están incluidos en cada plan. La rotación de protocolo maneja el resto.

Cómo evadir censura de internet en 2026 | Fexyn VPN