Pasarela VPN privada para 25 dispositivos

La pasarela, instalada en un router doméstico en Valencia, da servicio a veinticinco teléfonos y portátiles. Ya han pasado por ella 2,3 terabytes de tráfico. Las personas en Rusia llaman a sus familiares, trabajan y usan internet como están acostumbradas. Aun así, la máquina está casi ociosa y podría atender el doble de personas sin cambiar el equipo.

En una suscripción comercial la dirección es compartida por miles de suscriptores, y los bancos y sistemas de pago reconocen y rechazan esa dirección. Además, todo el tráfico pasa por una empresa ajena que decide por sí misma qué hacer con él. La pasarela personal está en casa de su propietario, que da acceso solo a su gente.

En la pasarela funcionan cinco canales independientes sobre dos motores distintos. Cada uno se hace pasar por un tipo de tráfico normal: uno parece una visita al sitio de NVIDIA, otro una consulta de un servidor a los repositorios de Debian, otro una descarga desde python.org. Si un método deja de funcionar, quedan cuatro, y a la persona le basta con cambiar de línea en la aplicación.

Los métodos de bloqueo cambian cada pocos meses, y lo que funcionaba en primavera puede dejar de funcionar en otoño. Por eso Xray y sing-box funcionan en la pasarela en paralelo e independientemente. Si los sistemas de filtrado aprenden a reconocer un motor, el otro seguirá funcionando y las personas al otro lado conservarán la conexión.

El canal VLESS con Reality suplanta el handshake de un sitio real y entrega su certificado auténtico. Desde fuera, esa conexión es indistinguible de una visita normal a ese sitio. En la pasarela es uno de los cinco canales independientes, cada uno de los cuales imita un tipo de tráfico habitual, de modo que el bloqueo de un método no corte la conexión.

Hysteria2 ofrece un canal rápido sobre UDP y aguanta bien las videollamadas con mala conexión. ShadowTLS y AnyTLS ocultan la huella de la conexión de dos maneras distintas. AnyTLS rompe a propósito el ritmo de los tamaños de paquete, por el que se puede reconocer un túnel sea cual sea el protocolo interior. Juntos amplían el conjunto de vías de reserva para comunicarse con los familiares.

La primera versión funcionaba en un ordenador de placa única del tamaño de un paquete de cigarrillos, con 512 megabytes de memoria. El puerto de red funcionaba mediante un adaptador que reducía el gigabit doméstico a cien megabits. Cuando aumentó la carga, la pasarela se trasladó a un ordenador de oficina compacto con dieciséis gigabytes de memoria y un puerto gigabit completo.

La pasarela se trasladó de una máquina a otra sin interrumpir el servicio: 0 días de inactividad. Las claves y los ajustes se transfirieron tal cual, así que para las personas conectadas nada cambió. Ninguno de los veinticinco usuarios tuvo que actualizar su configuración y ninguno notó el cambio completo de equipo.

El propietario entra en el panel de control web desde el navegador, sin línea de comandos. Allí hay una lista de personas, cada una con su perfil, su tráfico y su enlace de suscripción. Un dispositivo nuevo se añade en dos clics, el acceso se revoca con un solo gesto y eso no afecta al resto de usuarios. La carga de la pasarela también se ve en el panel.

Solo necesita una aplicación en el móvil y un enlace de suscripción. La aplicación carga sola la lista de canales y cambia entre ellos. Cuando se añadieron dos protocolos nuevos a la pasarela, nadie tuvo que reenviar nada: la suscripción se actualizó sola. Si un canal deja de pasar, basta con cambiar de línea en la aplicación.

El equipo cuesta 55 € a precio de coste, el montaje y la configuración llave en mano cuestan 190 €, en total 245 € en un solo pago. El mantenimiento técnico es opcional, por 15 € al mes. No hay cuota mensual por el servidor, el gasto se reduce a la electricidad. Una vez aprobado el presupuesto, el precio no subirá.

Veinticinco dispositivos en un servicio comercial a cinco euros al mes cuestan mil quinientos euros al año, y así cada año. Una pasarela propia cuesta 245 euros una sola vez y después solo se paga la electricidad. Además, el equipo sigue siendo del propietario y puede atender a el doble de personas.

El internet doméstico casi siempre da una dirección cambiante. Un servicio en segundo plano vigila el cambio y reescribe por sí mismo el registro del dominio en Cloudflare, que se usa como DNS. Las personas se conectan por un nombre fijo y no saben que detrás cambian los números. La sincronización se hace según un horario, sin intervención del propietario y las 24 horas.

El control remoto está cerrado: solo se entra con clave, por un puerto no estándar y no se puede acceder como superusuario. El panel está oculto tras una dirección imposible de adivinar. El equipo tiene Debian sin entorno gráfico, para que el dispositivo que da a internet tenga lo mínimo necesario. Los ajustes se guardan en una copia de seguridad por si falla el soporte.