Enrutado VPN custom en Contabo: bypass DPI Irán / China 2026

Divulgación de afiliados - Este artículo contiene enlaces de afiliación (Contabo, NordVPN). Si contratas un VPS o una suscripción a través de nuestros enlaces, recibimos una comisión sin coste adicional para ti. No influye en el contenido: describimos cada setup a partir de la documentación de su proyecto, incluso cuando un producto afiliado no encaja con tu caso.

Has seguido nuestra guía WireGuard self-host en Contabo, todo funciona desde Madrid o Barcelona, y luego te vas dos semanas a Shanghái o Teherán. Sorpresa: el túnel se conecta 3 segundos, después silencio. Sin timeout limpio, sólo paquetes perdidos. Bienvenido al mundo de la Deep Packet Inspection (DPI), donde los firewalls nacionales identifican WireGuard al byte.

Esta guía explica por qué WireGuard sin obfuscación se cae con el GFW (Gran Cortafuegos de China) o SmartFilter (Irán), y compara 3 setups sobre VPS Contabo para atravesar: V2Ray + WebSocket + TLS, Cloak como frontend y Shadowsocks 2022. Ninguno es mágico - cada uno tiene un coste en latencia, ancho de banda y complejidad - pero uno de los tres casi siempre funciona según el país.

Cómo funciona la Deep Packet Inspection

Un firewall clásico filtra por IP origen/destino y puerto. El DPI va más allá: inspecciona el contenido del paquete, identifica el protocolo independientemente del puerto y aplica reglas. Los tres censores notorios en 2026:

• GFW (China continental) - El más sofisticado. Combina signature matching (patrones de handshake), análisis de entropía (un paquete cifrado tiene una entropía específica), active probing (el firewall abre una conexión saliente hacia tu servidor para probar su comportamiento) y machine learning sobre el timing entre paquetes. Referencia académica: Hoang et al., "How Great is the Great Firewall?" (USENIX Security 2021) y los datos en vivo de GFW Report.
• SmartFilter (Irán, TCI) - Menos sofisticado que el GFW pero agresivo. Bloquea por firmas conocidas (OpenVPN, WireGuard, IKEv2) y limita los flujos TLS sospechosos hacia IPs no autorizadas. Durante las protestas (sept 2022, nov 2024) pasa a un modo "internet casi cerrado" con whitelist de IPs domésticas.
• TSPU (Rusia, Roskomnadzor) - Desplegado desde 2021, en aumento. Bloquea progresivamente Tor, OpenVPN, WireGuard. Más laxo con flujos TLS hacia Cloudflare, pero eso cambia cada mes.

El handshake inicial de WireGuard es distintamente identificable: 148 bytes, estructura fija (mensaje tipo 1), sin padding. Un DPI moderno puede identificarlo. Por eso WireGuard sin ofuscar funciona en todas partes… excepto donde realmente lo necesitas.

El objetivo de los tres setups siguientes: hacer que el tráfico VPN sea indistinguible de un tráfico HTTPS legítimo hacia un dominio aparentemente residencial. Si el firewall no puede diferenciar tu flujo de una sesión Cloudflare CDN, no puede bloquearlo sin daños colaterales.

Setup 1 - V2Ray + WebSocket + TLS (Trojan-Go) en Contabo

Es nuestro default pick para China. El tráfico parece un visitante navegando un sitio WordPress por HTTPS. El GFW puede detectar WebSocket con análisis temporal de largo plazo, pero la combinación TLS 1.3 + SNI real + reverse proxy (Caddy) lo hace muy difícil de filtrar sin daños colaterales.

Requisitos previos:

• Un VPS Contabo Cloud VPS 4 (5,50 €/mes) - datacenter Singapur o Tokio para una latencia hacia China más baja que desde un datacenter europeo. Si aún no tienes VPS, consulta la oferta Contabo Cloud VPS 4 24 meses.
• Un dominio real que controles (ej. cdn.tudominio.com) apuntando a la IP del VPS. Sin dominio = sin TLS = sin bypass.
• Cloudflare como proxy DNS (orange cloud), opcional pero recomendado para enmascarar la IP origen.

Instalación (Ubuntu 24.04 LTS, como root):

# 1. Caddy como reverse proxy + cert Let's Encrypt automático
apt update && apt install -y debian-keyring debian-archive-keyring apt-transport-https
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' | gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' | tee /etc/apt/sources.list.d/caddy-stable.list
apt update && apt install -y caddy

# 2. V2Ray
bash <(curl -L https://raw.githubusercontent.com/v2fly/fhs-install-v2ray/master/install-release.sh)

Configuración /usr/local/etc/v2ray/config.json:

{
  "inbounds": [{
    "port": 10000,
    "listen": "127.0.0.1",
    "protocol": "vmess",
    "settings": {
      "clients": [{ "id": "UUID-GENERADO-CON-uuidgen", "alterId": 0 }]
    },
    "streamSettings": {
      "network": "ws",
      "wsSettings": { "path": "/cdn-static/v3/assets" }
    }
  }],
  "outbounds": [{ "protocol": "freedom" }]
}

Configuración Caddy /etc/caddy/Caddyfile:

cdn.tudominio.com {
  root * /var/www/html
  file_server
  handle /cdn-static/v3/assets {
    reverse_proxy 127.0.0.1:10000
  }
}

Coloca una página HTML estática real en /var/www/html/index.html (un blog de cocina, un portfolio falso - da igual, debe parecer legítimo cuando el GFW haga probing a tu dominio). Activa:

systemctl enable --now caddy v2ray

En el cliente (V2RayN en Windows, V2Box en iOS, v2rayNG en Android), configura un servidor VMess WS+TLS apuntando a cdn.tudominio.com:443, path /cdn-static/v3/assets, mismo UUID. Prueba: abre el cliente en China, el tráfico debe fluir sin caídas.

Overhead esperado desde China vía un VPS Singapur: envolver WireGuard en V2Ray/TLS añade latencia y reduce el caudal vs WireGuard puro - aceptable para navegar, mediocre para streaming HD. Mide tu propia ruta para cifras exactas.

Setup 2 - Cloak (frontend para WireGuard / OpenVPN)

Cloak es un wrapper TLS más simple que V2Ray, que se pone delante de un túnel existente (WireGuard, OpenVPN, Shadowsocks). Para quien ya tiene un setup WireGuard funcionando y sólo quiere añadir una capa de ofuscación: es el camino más rápido.

Ventajas:

• Configuración en 15 minutos, sin gestión compleja de dominio/TLS (cert ACME automático integrado).
• Funciona bien en Irán y Turquía donde el DPI es menos agresivo que el GFW.
• Huella CPU baja para un wrapper TLS.

Desventajas:

• El GFW puede detectar Cloak con análisis conductual (patrones temporales específicos). Una conexión que funciona al principio puede ser bloqueada después en China continental.
• Menos mantenido activamente que V2Ray (último commit mayor en 2023). No está muerto, pero evolución lenta.

Instalación servidor:

wget https://github.com/cbeuw/Cloak/releases/download/v2.7.0/ck-server-linux-amd64-v2.7.0
chmod +x ck-server-linux-amd64-v2.7.0 && mv $_ /usr/local/bin/ck-server
ck-server -k  # genera keypair

Crea /etc/cloak/ckserver.json:

{
  "ProxyBook": {
    "wireguard": ["udp", "127.0.0.1:51820"]
  },
  "BindAddr": [":443"],
  "BypassUID": ["UID-GENERADO"],
  "RedirAddr": "www.bing.com",
  "PrivateKey": "TU-CLAVE-PRIVADA"
}

RedirAddr es crucial: si el firewall hace probing a tu servidor sin un handshake Cloak válido, es redirigido a www.bing.com (camuflaje). Elige un dominio popular no bloqueado en el país objetivo (evita Google en China).

Arranca:

systemctl enable --now ck-server

En el cliente, la app ck-client (binario disponible Linux/macOS/Win/Android) toma la misma config más la PublicKey correspondiente. El túnel WireGuard se establece luego encima de Cloak - desde la app WireGuard, tu endpoint apunta a 127.0.0.1:puerto-cloak-local en vez de a la IP del VPS.

Setup 3 - Shadowsocks 2022 (chacha20-ietf-poly1305)

Shadowsocks es el ancestro de las herramientas anti-censura (creado por "clowwindy" en China en 2012). La versión 2022 (spec oficial) corrige varias debilidades criptográficas de la v1 y sigue siendo recomendada por usuarios chinos por su ratio simplicidad/rendimiento.

Caso de uso ideal:

• Irán, Turquía, EAU - pasa casi siempre.
• China continental como backup cuando V2Ray tiene un mal día.
• Quieres un setup ligero (binario de 5 MB, config de 10 líneas).

Límites honestos:

• Sin plugin TLS (v2ray-plugin), Shadowsocks 2022 sigue siendo detectable por el GFW mediante análisis estadístico de entropía. Lo recomendamos con v2ray-plugin activo.
• Si buscas un setup "set and forget" que sobreviva a las actualizaciones del GFW: elige V2Ray.

Instalación:

apt install -y shadowsocks-libev v2ray-plugin

Configuración /etc/shadowsocks-libev/config.json:

{
  "server": "0.0.0.0",
  "server_port": 8443,
  "password": "PASSWORD-FUERTE-32-CHARS",
  "method": "chacha20-ietf-poly1305",
  "plugin": "v2ray-plugin",
  "plugin_opts": "server;tls;host=cdn.tudominio.com;path=/api/v2"
}

systemctl enable --now shadowsocks-libev

En el cliente: Outline (Google Jigsaw) o Shadowrocket (iOS) soportan SS 2022 + v2ray-plugin de forma nativa. Importa la URI ss://... generada y ya estás conectado.

Qué setup para qué país

Tabla orientativa, deducida del diseño de cada protocolo y de informes públicos, no de pruebas internas. Las valoraciones cambian rápido - cruza siempre con GFW Report antes de viajar.

Para viajes profesionales a China, planea siempre un backup: V2Ray principal + Shadowsocks 2022 secundario en dos VPS distintos (idealmente en datacenters distintos). Si uno cae, el otro aguanta.

Overhead de rendimiento

Cada capa de ofuscación añade latencia y CPU y reduce el caudal vs WireGuard puro. La tabla de abajo muestra el compromiso relativo - lanza iperf3 desde tu propio cliente para cifras exactas:

Conclusión pragmática: espera una pérdida clara de caudal máximo vs WireGuard puro. Es normal - cada capa TLS + WS añade overhead, y la doble encapsulación (Cloak) duplica las cabeceras. Para navegación y videollamadas 720p, todos sirven. Para 4K, hará falta un VPS más potente (VPS M o Cloud VPS 4).

Cuándo es más simple un VPN comercial ofuscado

Honestidad editorial: si vas a China dos semanas y no te apetece debuggear Caddy a medianoche desde un hotel, un VPN comercial con servidores ofuscados es más rentable en tiempo. Nuestra referencia en esa categoría: NordVPN con sus obfuscated servers.

A favor:

• Apps móviles nativas, kill switch automático, soporte chat 24/7.
• Ofuscación activable en 2 clics (ajustes avanzados → obfuscated servers).
• Funciona a menudo en China, sin garantía: el bloqueo evoluciona y el proveedor tiene que actualizar sus servidores continuamente.

En contra:

• Compartes IP con otros usuarios (malo para Stripe/Cloudflare fuera de China).
• Precio que se duplica al renovar (ver nuestro análisis de coste a 5 años).
• En Irán durante un apagón casi total, ninguna VPN está garantizada, comercial o self-host.

La combinación NordVPN para viajes puntuales + Contabo self-host para la vida diaria es el mejor compromiso para la mayoría de nómadas digitales que se mueven por Asia o Oriente Medio.

Para profundizar

• Self-host VPN en Contabo: guía WireGuard completa 2026
• WireGuard vs OpenVPN en VPS: benchmarks reales 2026
• Contabo vs Hetzner vs OVH: VPS Europa para VPN self-host 2026

Fuentes académicas y técnicas:

• Hoang, Niaki, Dalek, Cable, Gill, Polychronakis, "How Great is the Great Firewall? Measuring China's DNS Censorship", USENIX Security 2021
• Especificación Shadowsocks 2022 (SIP022)
• Documentación oficial V2Fly
• GFW Report - datos de bloqueo en vivo
• Repositorio Cloak en GitHub

Artículo publicado el 2026-06-02, basado en la documentación pública de cada proyecto y en informes públicos. Las técnicas anti-DPI evolucionan constantemente: lo que funciona hoy puede caer en 6 meses. Si detectas un cambio de comportamiento del GFW o SmartFilter, escríbenos a contact@vpnsmith.com - actualizamos.

Aviso legal: self-hostear un VPN es legal en la UE, EE.UU. y Canadá. En China, Irán, Rusia y EAU el uso de túneles no autorizados es ilegal localmente (sanciones variables, de la multa a la cárcel). VPNSmith publica este contenido con fines educativos; tú eres el único responsable de tu uso.