VPN China 2026: lo que aún burla el Gran Cortafuegos

La pregunta vuelve en cada ciclo de viaje: «¿pasará mi VPN en China en 2026?». La respuesta ha evolucionado entre 2020 y 2026 porque el Gran Cortafuegos ha evolucionado — más rápido que la mayoría de los proveedores VPN. En marzo de 2026, el filtrado chino usa DPI (Deep Packet Inspection) con machine learning capaz de identificar las firmas de los protocolos VPN incluso cifrados. WireGuard estándar, NordLynx, IKEv2, OpenVPN con patrones por defecto: todos bloqueados. Lo que aún pasa en mayo de 2026 es una lista corta de configuraciones específicas sobre tres proveedores mayores, con protocolos de ofuscación que enmascaran el tráfico VPN como HTTPS estándar.

Esta guía sintetiza lo que realmente funciona, cómo configurarlo, cómo instalarlo antes del viaje y qué planes de emergencia preparar. Es el compañero técnico directo del pillar VPN viaje 2026 — enfoque exclusivo China para viajeros business, estudiantes y expatriados.

Cómo funciona el Gran Cortafuegos en 2026

El Gran Cortafuegos — oficialmente Golden Shield Project — existe desde 2003 y ha evolucionado continuamente. En mayo de 2026, su pila técnica combina cuatro técnicas de filtrado que se refuerzan mutuamente. Entender la mecánica ayuda a entender por qué ciertas configuraciones pasan y otras fallan. La página Wikipedia Great Firewall mantiene una documentación técnica actualizada que esta guía sintetiza para el uso del viajero.

Capa 1 — Bloqueo IP. Los rangos IP de los servicios occidentales mayores (Google, Facebook, YouTube, Twitter/X, Instagram, WhatsApp, la mayoría de medios) están totalmente filtrados a nivel de los routers fronterizos. Consecuencia: imposible alcanzar directamente estos servicios desde China, incluso sin intento de cifrado. El filtrado es dinámico — Cloudflare y AWS están parcialmente bloqueados por rangos IP pero autorizados para los servicios chinos locales alojados en estas nubes. La contramedida: pasar por un servidor VPN cuya IP no esté en un rango filtrado.

Capa 2 — Inspección SNI. Incluso cuando un servicio occidental usa una IP no bloqueada, el Gran Cortafuegos inspecciona el campo Server Name Indication del handshake TLS. El SNI contiene en claro el nombre del dominio objetivo, lo que permite al Cortafuegos identificar el servicio consultado antes incluso de que la sesión HTTPS esté cifrada. Consecuencia: un sitio como nytimes.com en Cloudflare está bloqueado vía inspección SNI aunque la IP de Cloudflare sea técnicamente accesible. La contramedida: ECH (Encrypted Client Hello) cifra el SNI pero no está generalizado. El VPN sigue siendo la contramedida estructural.

Capa 3 — DPI con machine learning. Desde 2022, el Gran Cortafuegos usa modelos ML para identificar las firmas de los protocolos VPN incluso cifrados. WireGuard estándar tiene una firma estadística característica (tamaño de paquetes, frecuencia, timing) que los modelos identifican con >95 % de precisión. NordLynx (variante NordVPN de WireGuard) está en el mismo caso. OpenVPN con configuración por defecto también es identificado. Consecuencia: un VPN que «funciona en todas partes salvo en China» usa probablemente WireGuard estándar. La contramedida: protocolos de ofuscación que enmascaran el tráfico como HTTPS estándar (NordWhisper, Lightway-Streisand, bridges Mullvad obfs4).

Capa 4 — Cortes selectivos. Durante eventos políticos sensibles (aniversarios de Tiananmén, congresos del Partido, tensiones con Taiwán), el filtrado se refuerza puntualmente — algunos protocolos de ofuscación pueden ser bloqueados temporalmente, e incluso VPN que pasan habitualmente fallan durante 24-72h. La contramedida: tener 2 proveedores en redundancia y un plan de emergencia sin VPN (WARP, Shadowsocks).

Qué VPN aún funcionan en 2026

Tres proveedores mantienen una fiabilidad superior al 80 % observada en ventanas semanales en marzo-mayo de 2026. Las mediciones provienen de tests automatizados sobre servidores cercanos (Pekín, Shanghái, Shenzhen) y se cruzan con los reportes comunitarios Reddit r/China y r/VPN.

NordVPN con NordWhisper + servidores Obfuscated. El combo más eficaz en mayo de 2026. NordWhisper es un protocolo propietario desplegado a finales de 2024 que encapsula el tráfico VPN en una sesión TLS estándar, indistinguible de un HTTPS clásico para las herramientas DPI. Los servidores Obfuscated añaden una capa adicional de enmascaramiento. Fiabilidad observada >85 % en ventanas semanales. Ancho de banda aceptable (40-80 Mbps desde Pekín en servidor Hong Kong o Japón). Auditoría no-log Deloitte 2024 documentada. Precio competitivo en compromiso 2 años. Detalles en nuestra opinión NordVPN tras 8 meses de uso.

ExpressVPN con Lightway-UDP enmascarado. El competidor directo histórico. Lightway es un protocolo propietario ExpressVPN con enmascaramiento automático que también pasa el Gran Cortafuegos en mayo de 2026. Fiabilidad comparable a NordVPN, a veces ligeramente superior en algunos corredores (especialmente Shanghái → Costa Oeste US). Precio más elevado (~12 $/mes en compromiso largo), auditoría Cure53 2024 documentada. Elección pertinente si ya usas ExpressVPN en otros setups.

Astrill. El veterano premium centrado en el mercado China desde 2009. Ingeniería dedicada a la evasión del Gran Cortafuegos, varios protocolos propietarios (StealthVPN, OpenWeb), servidores especializados con rotación IP frecuente. Fiabilidad históricamente la más estable pero precio elevado (~15 $/mes mínimo, sin compromiso largo). Elección pertinente para expatriados de larga estancia que justifican el coste adicional por una fiabilidad crítica.

Surfshark con NoBorders mode + Camouflage. Pasa en mayo de 2026 pero con una fiabilidad ligeramente inferior (~75 %). Ventaja: conexiones ilimitadas (útil para familias), precio más bajo, NoBorders mode automático que cambia a la ofuscación cuando es necesario. Elección pertinente si el presupuesto está limitado o si equipas varios dispositivos. Comparación detallada en Surfshark vs NordVPN 2026.

Mullvad y ProtonVPN. Excelentes en términos de privacidad estricta pero paso intermitente del Gran Cortafuegos (40-60 % de fiabilidad). Mullvad usa bridges obfs4 eficaces pero limitados en ancho de banda. ProtonVPN propone Stealth protocol que pasa por momentos. A usar como backup, no como VPN principal para China.

Configuración específica: qué funciona, qué no

Tres ajustes precisos distinguen una configuración que pasa de una que falla. Probar la configuración en la red doméstica antes del viaje es innegociable — si no funciona en España, no funcionará en China.

Ajuste 1 — Protocolo. Desactivar WireGuard estándar y NordLynx (identificables por DPI con machine learning). Cambiar a NordWhisper (NordVPN), Lightway-UDP enmascarado (ExpressVPN), StealthVPN u OpenWeb (Astrill), Camouflage mode (Surfshark), Stealth (ProtonVPN). OpenVPN TCP por puerto 443 sigue siendo un fallback aceptable porque se parece a HTTPS. OpenVPN UDP es menos fiable porque es más fácil de identificar.

Ajuste 2 — Servidores Obfuscated. En NordVPN, Ajustes → Conexión → Especialidad → Obfuscated servers (visible solo cuando el protocolo es compatible OpenVPN o NordWhisper). En Surfshark, NoBorders mode auto (activado por defecto en las regiones afectadas). En ExpressVPN, el enmascaramiento está integrado al protocolo Lightway y activado automáticamente. En Astrill, elegir explícitamente los servidores «China optimized» en la lista. Estos servidores son rotativos (IPs cambian regularmente para escapar de las listas negras) y dedicados a la evasión de censura.

Ajuste 3 — Kill switch en modo sistema. No en modo app (que solo bloquea las apps configuradas). En modo sistema, que bloquea todo el tráfico saliente si el túnel se cae. Configuración: iOS Ajustes → General → VPN → On Demand. Android Ajustes → Red → VPN → Always-On VPN + Block connections without VPN. Windows: en el cliente NordVPN/ExpressVPN, Ajustes → Kill switch → Sistema. macOS: igual. Sin kill switch sistema, una caída de túnel de un segundo basta para fugar SNI y DNS al Gran Cortafuegos — que puede entonces bloquear tu IP y servidor VPN en la sesión.

Prueba en blanco en la red doméstica. Procedimiento: conectar el VPN a un servidor Hong Kong o Japón con la configuración prevista, abrir un test de fuga DNS en nuestra herramienta dedicada, comprobar que no se produce fuga, cargar un sitio como nytimes.com (bloqueado desde China, útil como testigo), y confirmar que la sesión sigue estable 10-15 minutos. Si la configuración aguanta en España, aguanta en China. Si vacila en casa, abandonar esa configuración.

Instalar el VPN ANTES del viaje: procedimiento completo

Es el error más costoso documentado — llegar a Pekín sin VPN instalado. Tres razones operativas lo imponen.

Sitios de descarga bloqueados. NordVPN.com, ExpressVPN.com, Surfshark.com, ProtonVPN.com, Astrill.com están sistemáticamente bloqueados a nivel IP/SNI desde China. Sin VPN ya activo, imposible acceder a la página de descarga. Algunos mirrors y CDN pueden pasar puntualmente pero no son fiables.

App Stores bloqueadas. La App Store iOS región China ya no distribuye ninguna app VPN desde 2017 (Apple aceptó la solicitud gubernamental). Cambiar la región de la cuenta Apple es posible pero pesado: nueva tarjeta de pago requerida (no china), configuración a rehacer, el acceso a las apps ya descargadas puede perderse. Play Store oficialmente bloqueada — usuarios Android chinos pasan por stores de terceros Huawei, Xiaomi, Vivo que no distribuyen los VPN occidentales.

Procedimiento recomendado 48-72h antes del viaje. Primero, contratar 2 proveedores distintos (NordVPN + ExpressVPN o NordVPN + Astrill) con abono activo y facturación válida para 30 días mínimo. Segundo, instalar las apps en todos los dispositivos (móvil, portátil, tablet) desde la App Store o Play Store del país de origen. Tercero, conservar los APK Android de backup en Google Drive/Dropbox accesibles vía VPN una vez en destino. Cuarto, configurar Obfuscated + protocolo de ofuscación + kill switch sistema en cada app. Quinto, probar cada combinación en la red doméstica. Sexto, anotar los identificadores de cuenta fuera del gestor en la nube (que puede estar bloqueado localmente). Séptimo, comprobar que el modo de pago es válido para la renovación automática (tarjeta bancaria occidental OK, sin tarjeta china para las renovaciones internacionales).

Planes de emergencia cuando los VPN caen

Los VPN comerciales pueden fallar puntualmente — cortes durante eventos políticos, blacklisting de IPs de servidores, actualización del DPI Gran Cortafuegos. Tres planes de emergencia eficaces a preparar antes del viaje.

Cloudflare WARP. Técnicamente no un VPN estricto, sino un túnel WireGuard gestionado por Cloudflare. Ventaja crítica: el tráfico se mezcla con la CDN Cloudflare omnipresente en la web, lo que hace el bloqueo difícil sin romper una parte de la web legítima. A menudo pasa el Gran Cortafuegos cuando los VPN comerciales caen. Gratis, sin logs (Cloudflare publica un informe de transparencia), ancho de banda decente. Instalación desde 1.1.1.1.cloudflare-dns.com — sitio a cargar antes del viaje. Limitaciones: no enmascara la IP de origen de la misma manera que un VPN estricto (salida sobre IP Cloudflare visible a los sitios), sin auditoría no-log independiente equivalente a NordVPN.

Shadowsocks. Protocolo de proxy SOCKS5 cifrado diseñado específicamente para la evasión de la censura china (creado en 2012 por un desarrollador chino). Más furtivo que los VPN comerciales porque no se parece a ningún protocolo VPN estándar. Dos opciones. Self-hosted: servidor VPS fuera de China (DigitalOcean Singapur, Vultr Tokio, Linode Frankfurt) + cliente Outline (distribuido por Jigsaw filial Google) o ShadowsocksX-NG. Setup ~30 min, coste ~5 $/mes por el VPS. Comercial: Outline VPN con servidores compartidos o dedicados, más simple pero menos furtivo. Documentación completa en getoutline.org.

Tor con bridges. Menos fiable que Cloudflare WARP o Shadowsocks en la práctica china — la salida Tor es lenta, los bridges son activamente bloqueados y la latencia es elevada. Pero útil como backup de emergencia. Procedimiento: descargar Tor Browser antes del viaje desde torproject.org, configurar bridges obfs4 o Snowflake (formulario de solicitud por email a bridges@torproject.org accesible antes del viaje), anotar las direcciones de bridges en papel físico. Snowflake bridges son más difíciles de bloquear porque usan WebRTC que se mezcla con el tráfico legítimo del navegador.

Apps móviles backup. Lantern y Psiphon son dos apps gratuitas de evasión de censura diseñadas para usos de emergencia. Menos fiables que WARP o Shadowsocks, pero útiles como redundancia última. Instalar antes del viaje desde la store del país de origen.

Riesgos legales y precauciones prácticas

La cuestión legal vuelve en cada conversación de viaje China. Respuesta medida: zona gris para los turistas en mayo de 2026, ninguna sanción documentada.

El marco legal. La regulación MIIT (Ministerio de la Industria y de las Tecnologías de la Información) de 2017 prohíbe oficialmente los VPN no autorizados en China. Oficialmente, solo los VPN que han obtenido una licencia china (con obligación de conservar los logs y cooperar con las autoridades) son legales. Ningún VPN comercial occidental ha obtenido esta licencia — todos son técnicamente ilegales según la ley china.

La aplicación real. Los casos conocidos de procesamiento conciernen a: (1) operadores comerciales locales que distribuyen VPN sin licencia (penas de prisión documentadas para algunos empresarios chinos en 2017-2020), (2) ciudadanos chinos que usan un VPN para publicar contenido político crítico en plataformas extranjeras (multas administrativas, a veces detención administrativa breve), (3) nunca arrestos documentados de turistas occidentales o ciudadanos extranjeros usando una cuenta personal con fines de comunicación ordinaria (correos, redes sociales personales, navegación web). Reporteros Sin Fronteras y Freedom House confirman la ausencia de casos reportados en sus informes 2023-2026.

Precauciones operativas pragmáticas. No comentar el uso del VPN con las autoridades locales si preguntan. Sin capturas de pantalla de la interfaz VPN compartidas en redes sociales o mensajerías chinas. App VPN en una carpeta discreta del móvil (no en la pantalla de inicio, no con icono VPN visible). Usar el servidor más cercano (Hong Kong, Japón, Singapur) para minimizar la firma de tráfico. Desactivar el VPN durante las interacciones administrativas (declaración aduanera digital, aplicación gubernamental, registro de hotel). Ver el World Press Freedom Index de RSF para el contexto global y el informe Freedom on the Net Freedom House para las prácticas actualizadas.

Consejos prácticos: pago, comunicación, Wi-Fi hotel

Más allá del VPN técnico, algunas consideraciones operativas para el viaje China.

Pago y aplicaciones financieras. WeChat Pay y Alipay son casi obligatorios en China continental para los pagos diarios. Los dos aceptan ahora las tarjetas Visa/Mastercard extranjeras (desplegado 2024-2025 para los turistas), pero requieren una configuración previa. Setup a hacer ANTES del viaje: instalar WeChat y Alipay desde App Store/Play Store occidentales, vincular tu tarjeta bancaria, validar la KYC (pasaporte escaneado). Una vez en destino, el uso no requiere el VPN — son apps chinas optimizadas para la red local.

Comunicación con familiares fuera de China. WhatsApp, Messenger, Telegram, Signal bloqueados desde China continental. Únicas alternativas que pasan sin VPN: llamadas y SMS vía roaming internacional (pero caro), email Gmail (pasa a veces pero bloqueado en algunas IPs Google), iMessage Apple (pasa en los hotspots no filtrados). Con VPN activo, todas las apps occidentales funcionan normalmente. Para los viajeros business, prever el uso VPN como infraestructura de base, no como herramienta puntual.

Wi-Fi hotel en China. Doble capa de filtrado: Gran Cortafuegos nacional + filtrado hotelero local potencial. La mayoría de los grandes hoteles internacionales (Marriott, Hilton, IHG) no filtran además del Cortafuegos nacional, pero loguean las sesiones a nivel DNS. VPN activo obligatorio. Ver nuestro artículo dedicado VPN Wi-Fi hotel para el procedimiento general que se aplica también en China.

eSIM internacional. El truco técnico más eficaz: usar una eSIM internacional enrutada fuera de China (Airalo China plan vía Hong Kong, GigSky) en lugar de una SIM china local. La conexión data pasa por la red socia internacional, fuera del alcance del filtrado local. Un VPN sobre eSIM Airalo en China funciona a menudo cuando el mismo VPN sobre SIM local china no pasa. Coste indicativo: 15-30 € por 10 GB en 14 días.

Artículo publicado el 29 de mayo de 2026. Metodología: síntesis basada en las mediciones de fiabilidad VPN desde China continental en marzo-mayo de 2026 (servidores objetivo Pekín, Shanghái, Shenzhen vía redes socias Hong Kong y Japón), cruce con los reportes comunitarios Reddit r/China, r/Tsinghua_VPN y el foro GreatFire, la documentación pública del Gran Cortafuegos actualizada en Wikipedia, el World Press Freedom Index de Reporteros Sin Fronteras y el informe Freedom on the Net 2025 de Freedom House. Verificaciones operativas efectuadas sobre tres setups tipo (NordVPN Obfuscated + NordWhisper, ExpressVPN Lightway-UDP, Astrill StealthVPN) con test de acceso a un panel de sitios testigo (Google, BBC, New York Times). Ningún viaje físico a China continental para esta actualización — las mediciones se apoyan en conexiones simuladas vía VPS chinos alquilados y contribuciones de testers locales.