13 min de lectura
Las VPN se clasifican según cuatro criterios: por finalidad (personal, acceso remoto corporativo, site-to-site, ZTNA en la nube), por protocolo (del obsoleto PPTP a VLESS con Reality), por forma de conexión (aplicación, extensión, router, servidor propio, bot con clave) y por modelo de pago. A una persona corriente en Rusia en 2026 le hace falta una VPN personal en forma de aplicación con un protocolo que camufle el tráfico como HTTPS normal: OpenVPN, WireGuard y L2TP se bloquean en Rusia por protocolo.
Si no quieres meterte en ajustes y prefieres tener directamente esa opción, te aconsejamos BessyConnect: funciona con VLESS con camuflaje Reality. Qué es una VPN en general y cómo funciona lo explicamos en el artículo qué es una VPN en palabras sencillas. Aquí solo hablamos de la clasificación y de la elección.
No hay una clasificación oficial única, pero cualquier VPN se describe con cuatro ejes: finalidad, protocolo, forma de conexión y pago. Por ejemplo, BessyConnect es una VPN personal con VLESS + Reality en forma de aplicación, con periodo de prueba.
| Tipo | Para qué | Ventajas | Inconvenientes | Ejemplo |
|---|---|---|---|---|
| Personal (de consumo) | Proteger el tráfico en una wifi pública, abrir un sitio bloqueado | Se instala en minutos, servidores en distintos países | Confías al servicio tus datos de conexión | Aplicación de la App Store o Google Play |
| Acceso remoto corporativo | Un empleado se conecta desde casa a la red de la oficina | Acceso a los sistemas internos de la empresa | Solo abre los sistemas de trabajo; normalmente no cambia el país para los sitios | Cliente integrado de Windows, Cisco AnyConnect |
| Site-to-site | Unir las redes de dos oficinas | Funciona de forma permanente; el usuario no tiene que hacer nada | La configura el administrador en los routers | Túnel IPsec entre sucursales |
| En la nube (ZTNA) | Acceso a aplicaciones concretas de la empresa sin acceso a toda la red | El acceso se da a un recurso, no a toda la red | Hace falta una plataforma en la nube y una política de acceso | Plataformas corporativas de «confianza cero» |
| Protocolo obsoleto (PPTP, L2TP) | Compatibilidad con equipos antiguos | Integrado en casi cualquier sistema | PPTP no es seguro; ambos son fáciles de detectar por los filtros | Servidores antiguos de oficina |
| Protocolo clásico (OpenVPN, WireGuard, IKEv2) | Túnel rápido y fiable donde no hay filtrado | Criptografía probada, alta velocidad | OpenVPN y WireGuard se bloquean en Rusia desde 2023; IKEv2 no camufla el tráfico | VPN corporativas, servidores propios |
| Protocolo con camuflaje (VLESS + Reality, Trojan, Shadowsocks, Hysteria2) | Funcionamiento estable con bloqueos | El tráfico se parece a HTTPS o HTTP/3 normal | Hace falta un cliente compatible; nadie ofrece garantías | BessyConnect, clientes de Xray |
| Extensión del navegador | Cambiar rápido la dirección en una pestaña | No hace falta instalar un programa | Solo protege el navegador; en el fondo es un proxy | Extensiones de Chrome Web Store |
| VPN en el router | Proteger todos los dispositivos de casa, incluida la tele | Una sola configuración para toda la red | Hace falta un router compatible y tiempo para configurarlo | Keenetic, OpenWrt |
| Servidor propio en un VPS | Control total sobre el servidor | Nadie más que tú tiene el servidor | La administración y los bloqueos corren de tu cuenta | VPS alquilado con Xray |
Por finalidad, las VPN pueden ser personales, corporativas de acceso remoto, entre redes (site-to-site) y en la nube con el modelo de confianza cero. Si buscas una VPN para ti, necesitas el primer tipo. Los otros tres los configura el empleador.
VPN personal. Instalas una aplicación, eliges un país y el tráfico pasa por el servidor del servicio. Su tarea es proteger la conexión y dar acceso a recursos que no están disponibles desde tu red.
Corporativa de acceso remoto. El artículo de ayuda de Microsoft sobre los tipos de conexiones VPN describe precisamente este escenario: el cliente se conecta a un servidor de acceso remoto, que comprueba la autenticidad y transmite los datos entre el cliente y la red privada de la organización. Abre los sistemas internos de la empresa, no los sitios extranjeros.
Site-to-site. El túnel se establece entre los routers de dos oficinas, y los empleados ni siquiera ven la VPN.
ZTNA en la nube. El modelo se describe en la norma NIST SP 800-207 «Zero Trust Architecture» (agosto de 2020): no se confía en un dispositivo o una cuenta solo porque estén en la red de la empresa. La protección pasa del perímetro de la red a los usuarios y a recursos concretos.
Los protocolos se dividen en tres generaciones: obsoletos (PPTP, L2TP), clásicos (OpenVPN, WireGuard, IKEv2/IPsec) y protocolos con camuflaje del tráfico (VLESS + Reality, Trojan, Shadowsocks, Hysteria2). Para la Rusia de 2026, la opción que funciona sigue siendo el tercer grupo.
PPTP se describió en el RFC 2637 en julio de 1999. Apple lo eliminó ya en iOS 10 y macOS Sierra: al actualizar, las conexiones PPTP se borraban de los perfiles, y en su ayuda la empresa escribe que no lo recomienda para comunicaciones seguras. En octubre de 2024, Microsoft declaró PPTP y L2TP obsoletos para futuras versiones de Windows Server y aconsejó SSTP e IKEv2.
L2TP (RFC 2661, agosto de 1999) por sí solo únicamente construye el túnel. El cifrado se lo añade IPsec según el RFC 3193 de noviembre de 2001; de ahí la combinación L2TP/IPsec.
IKEv2/IPsec se estandarizó en el RFC 7296 (octubre de 2014) y funciona a través de los puertos UDP 500 y 4500. La extensión MOBIKE (RFC 4555) permite no cortar el túnel cuando cambia la dirección, por ejemplo, al pasar de wifi a la red móvil.
OpenVPN construye el túnel sobre el SSL/TLS estándar y puede aceptar clientes tanto por TCP como por UDP a través de un mismo puerto.
WireGuard transmite los paquetes por UDP y usa ChaCha20Poly1305 y Curve25519. En el artículo del autor del protocolo para NDSS 2017 se dice que la implementación para Linux ocupa menos de 4000 líneas de código. En la página de limitaciones del proyecto se dice claramente: WireGuard no se ocupa de camuflar el tráfico; eso hay que hacerlo en un nivel superior.
VLESS + Reality. En la documentación de Xray, VLESS se describe como un protocolo de transporte ligero y sin estado: el servidor comprueba cada vez el UUID del cliente. VLESS no tiene cifrado propio (el campo encryption solo admite none); la protección la da una capa externa: TLS o Reality. Reality apareció en Xray-core 1.8.0 (9 de marzo de 2023). Según la descripción de los desarrolladores, elimina la huella TLS del lado del servidor y permite indicar un sitio real ajeno, de modo que no hace falta comprar un dominio propio.
Trojan realiza un auténtico apretón de manos TLS y redirige las solicitudes sin la contraseña correcta a un servidor web normal. Quien lo inspecciona solo ve un sitio. Shadowsocks lo definen sus creadores como un proxy seguro basado en SOCKS5. Hysteria2 está construido sobre un QUIC modificado, se camufla como HTTP/3 y está pensado para redes con pérdidas. AmneziaWG es una bifurcación de WireGuard con paquetes basura antes del apretón de manos y cabeceras aleatorias.
Una comparación detallada de la velocidad y la resistencia de los tres protocolos principales está en el artículo VLESS, OpenVPN o WireGuard: qué protocolo elegir, y los protocolos con camuflaje los analizamos en el artículo Reality, Shadowsocks o Trojan.
El campo «Tipo de VPN» del cliente integrado del sistema solo ofrece protocolos corporativos: IKEv2, L2TP/IPsec, SSTP y PPTP. Ninguno camufla el tráfico. Este campo se rellena con los datos que da el administrador de la empresa; para una VPN personal hace falta una aplicación aparte.
Qué ofrece cada sistema según su documentación oficial:
| Sistema | Tipos integrados | Qué conviene saber |
|---|---|---|
| Windows | «Automático», IKEv2, L2TP, PPTP, SSTP | «Automático» prueba los protocolos del más seguro al menos seguro. SSTP transmite los datos dentro de HTTPS |
| iPhone, iPad, Mac | IKEv2, L2TP sobre IPsec, Cisco IPsec | PPTP se eliminó en iOS 10 y macOS Sierra |
| Android | IKEv2/IPsec: con clave compartida, con certificado RSA, con usuario y contraseña | La plataforma admite estos perfiles en la API a partir del nivel 30 (Android 11) |
Si te han dado la dirección de un servidor, el tipo IKEv2 y una clave, son datos de un servidor corporativo, y eso es lo que se escribe en el campo. Para una VPN personal el campo no hace falta: la aplicación crea su propio perfil, mediante Network Extension en Apple o la plataforma de complementos VPN en Microsoft, y el protocolo puede ser cualquiera, incluido VLESS.
Las VPN llegan de cinco maneras: aplicación, extensión del navegador, router, servidor propio o clave de un bot de Telegram. De la forma depende qué programas entran en el túnel y quién lo arregla cuando hay un bloqueo.
Por modelo de pago, las VPN pueden ser gratuitas (el servicio gana dinero con publicidad o limita la velocidad y el tráfico), freemium con periodo de prueba, por suscripción, corporativas (paga el empleador) y autogestionadas, cuando solo pagas el alquiler del servidor. Las claves gratuitas y las versiones pirateadas de las aplicaciones tienen riesgos evidentes: un propietario desconocido del servidor ve tus conexiones, y un APK modificado puede contener cualquier cosa.
Hace falta una VPN personal en forma de aplicación con un protocolo que se camufle como tráfico normal, de un servicio que actualice por sí mismo los servidores y los protocolos. Los protocolos clásicos los detectan en Rusia los equipos de DPI, como se ve en las publicaciones de 2023–2025.
Lo que se sabe por las publicaciones:
De ahí la conclusión honesta. Un protocolo con camuflaje es hoy la mejor opción, pero ningún tipo de VPN da garantías. No solo importa el protocolo, sino también la rapidez con la que el servicio cambia las direcciones y la configuración cuando se actualizan los filtros.
Un servidor propio solo tiene sentido si estás dispuesto a arreglarlo tú mismo después de cada oleada de bloqueos.
BessyConnect es una VPN personal en forma de aplicación con VLESS con camuflaje Reality, es decir, justo el tipo que recomendamos para Rusia. Para la red, la conexión parece HTTPS normal, y los protocolos y servidores los actualiza el equipo del servicio, no tú.
Descargar la aplicación:
La aplicación no está en la App Store rusa: para instalarla en el iPhone hace falta un Apple ID de otro país. BessyConnect no tiene aplicación para Windows.
El límite, dicho con honestidad. BessyConnect no sustituye a una VPN corporativa ni abre la red de trabajo de una empresa. No te hace anónimo: los sitios siguen viendo tu cuenta y tus cookies. Y no ayuda cuando el internet móvil está limitado por listas blancas y ningún túnel puede llegar a los servidores extranjeros. Por último, como demostró diciembre de 2025, ningún protocolo está protegido para siempre frente a las actualizaciones de los filtros.
Si necesitas una VPN personal con un protocolo con camuflaje, sin configurar a mano claves ni servidores, instala BessyConnect desde la página de descarga y pruébalo durante el periodo de prueba.
¿Qué tipo de VPN es el más seguro? En cuanto a criptografía, los actuales IKEv2/IPsec, OpenVPN, WireGuard y VLESS con Reality son fiables, mientras que Apple no recomienda PPTP para comunicaciones seguras y lo eliminó ya en iOS 10. Para Rusia importa otra cosa: si el túnel es visible para los filtros, y ahí van por delante los protocolos que se camuflan como HTTPS.
¿En qué se diferencia el tipo de VPN del protocolo? El protocolo es la tecnología del túnel: WireGuard, IKEv2, VLESS. El tipo es un concepto más amplio: la finalidad (personal o corporativa), la forma de conexión (aplicación, router, extensión) y el modelo de pago. Un mismo protocolo puede aparecer en tipos distintos.
¿Se puede usar PPTP en 2026? Solo por compatibilidad con equipos antiguos y no para nada importante. Apple eliminó PPTP de iOS 10 y macOS Sierra, y Microsoft declaró en octubre de 2024 PPTP y L2TP obsoletos para futuras versiones de Windows Server.
¿Qué tipo de VPN elegir para el teléfono? Una aplicación de VPN personal de la tienda oficial: protege todo el tráfico del teléfono, no solo el navegador. En Rusia, elige un servicio con un protocolo con camuflaje, por ejemplo VLESS con Reality, y no con WireGuard u OpenVPN a secas.
¿Qué tipo de VPN es BessyConnect? Una VPN personal en forma de aplicación con el protocolo VLESS con camuflaje Reality, más de 100 servidores, sin registros y sin registro obligatorio. Tiene aplicaciones para iPhone, iPad, Mac, Apple TV, Android y Android TV; no hay versión para Windows.
Qué es una fuga de DNS y cómo hacer un dns leak test con la VPN activa. Aprende a comprobar tu VPN y cerrar las fugas. BessyConnect, VPN privada sin fugas. Más
Por qué la «vpn online» es un proxy web y no una VPN: qué ve el propietario de ese servicio, cuándo es admisible y por qué no se pueden introducir contraseñas. Más
Qué hace el kill switch VPN: qué se escapa en los dos segundos tras una caída del túnel, cómo activar el bloqueo en Android y iPhone y una prueba de un minuto. Más
