Un túnel cifrado, dos protocolos
Windows y Android admiten WireGuard y OpenVPN. En Windows, WireGuardNT usa UDP, Curve25519 y ChaCha20-Poly1305; OpenVPN 3 Core con DCO usa UDP/IPv4 en el puerto 1194.
En Android, WireGuard usa UDP/51820 y OpenVPN usa UDP/1194. Las extensiones del navegador brindan protección solo para el navegador y no se describen como un túnel del sistema.
Fuentes y referencias
Kill switch
En Windows, el kill switch basado en WFP bloquea el tráfico antes de la conexión y mantiene el bloqueo después de un fallo hasta que te desconectas explícitamente. En Android, depende de las opciones del sistema «VPN siempre activa» y «Bloquear conexiones sin VPN».
En Chrome, el kill switch bloquea las nuevas solicitudes web hasta que se verifica la conexión, con las excepciones necesarias para la API y los sitios excluidos. El comportamiento exacto de las demás extensiones se documentará en sus fichas oficiales.
DNS y IPv6
Las aplicaciones nativas dirigen por el túnel los servidores DNS proporcionados por la configuración. Con OpenVPN, Windows también bloquea el DNS sobre IPv4 fuera del túnel en los puertos 53 y 853; DNS-over-HTTPS en el puerto 443 no queda cubierto por este filtro específico si el kill switch está desactivado.
Windows y Android utilizan una configuración de doble pila cuando está validada; de lo contrario, IPv6 queda bloqueado mientras el túnel está activo. El transporte hasta el servidor VPN sigue realizándose actualmente por IPv4.
WebRTC y navegadores
Chrome aplica disable_non_proxied_udp de forma predeterminada para limitar la derivación de WebRTC. Esta configuración global puede afectar algunas llamadas y no cubre páginas privilegiadas ni el comportamiento de otras extensiones.
Una dirección local que aparece entre los candidatos de ICE no prueba, por sí sola, que el tráfico llegó a Internet fuera de la ruta prevista. Las pruebas deben observar la red y la configuración efectiva.
Hasta 5 dispositivos
La cuenta puede registrar hasta 5 dispositivos. El nombre del dispositivo, una clave pública o un certificado, su dirección VPN interna y el servidor asignado se utilizan para configurar y revocar el acceso.
Las claves privadas permanecen en el dispositivo. Eliminar o revocar un dispositivo inutiliza sus credenciales y libera una plaza.