VPN y proxies

VPN e IP pública

Estado › Por dónde sale el tráfico, el menú Wi-Fi y kilobat ip muestran la interfaz que usa la ruta predeterminada y si es una VPN, a partir de las rutas de este Mac y las VPN que macOS indica como conectadas. Una VPN conectada mientras la ruta predeterminada sigue en el Wi-Fi, como Tailscale sin nodo de salida, aparece como Parcial: solo algunos destinos pasan por ella. Activa Ajustes › Red › Consultar IP pública para ver también la dirección que ven las webs, que se pide a Cloudflare con cada cambio de red y cada 30 minutos, junto con el país en el que está registrada según los datos de DB-IP que incluye Kilobat. Está desactivado de forma predeterminada, porque Cloudflare ve esa solicitud; kilobat ip --public la consulta una vez. El país de registro no es donde estás tú ni donde está un servidor, y ni ese país ni una VPN demuestran que una conexión sea privada o anónima. Ajustes › Barra de menús › VPN añade Activada, Parcial o Desactivada (con el código de país si la consulta está activada) junto al murciélago, y el Historial registra cuándo se activó o desactivó una VPN y cuándo cambió la IP pública.

Proxies y VPN

Kilobat funciona junto a apps de proxy (Clash Verge, ClashX, mihomo, Mihomo Party, FlClash, Surge, sing-box, Stash, V2Ray, Xray, Shadowsocks) y VPN. Solo las lee; nunca enruta tráfico ni cambia sus ajustes.

• El tráfico cuenta para la app correcta. A una app que envía a través de un proxy local se le asigna su propio tráfico, y el núcleo del proxy o el túnel VPN que lo reenvía aparece como «Lleva tráfico de otras apps» en lugar de contarse dos veces.
• Qué ruta tomó cada app. Con una API compatible con Clash (Clash Verge, ClashX, mihomo, Mihomo Party, FlClash, clash_api de sing-box), la fila de una app muestra el nodo por el que pasó, como «vía HK-01 · 2 directas», y su descripción emergente enumera cada host, nodo y regla. Kilobat lee la dirección de la API y el secreto de la propia configuración de la app, y nunca muestra el secreto.
• Problemas, en «Por dónde sale el tráfico» de Estado:
  • un proxy del sistema que apunta a una app que no está abierta, lo que deja sin conexión a todos los navegadores;
  • DNS o IPv6 que se saltan la VPN;
  • un proxy y una VPN que captan tráfico a la vez;
  • modo global;
  • bloqueos que no ven las apps detrás de un proxy del sistema. Los filtros de macOS nunca ven las conexiones a 127.0.0.1, así que activa el modo TUN del proxy o bloquea la app en las reglas del proxy.
• ¿Por qué no se conecta? añade una capa «App de proxy» con el modo del proxy y lo rápido que responden sus nodos actuales, e indica cuándo el problema es un nodo caído.

En la terminal: kilobat proxy, kilobat proxy routes --app Telegram, kilobat proxy test y kilobat vpn. Para un núcleo que Kilobat no encuentra por sí solo, pasa --controller 127.0.0.1:9090 --secret …. Los agentes obtienen lo mismo con get_proxy_status, test_proxy_nodes y check_vpn.

Interruptor de emergencia de la VPN

Con Pro y el filtro de red activado, activa Interruptor de emergencia de la VPN en Ajustes › Red. Si tu VPN se cae, Kilobat bloquea las conexiones nuevas hasta que vuelva, para que mientras tanto no salga nada por la Wi-Fi de la cafetería o el hotel. La ventana emergente y el panel de control muestran Bloqueado: la VPN está caída, el murciélago de la barra de menús lleva un candado y una notificación ofrece Permitir durante 5 minutos.

• Se activa en cuanto tu VPN está conectada. El interruptor de emergencia espera hasta que tu VPN haya llevado todo el tráfico una vez desde que arrancó el Mac, así que activarlo sin VPN nunca te deja sin conexión. Desde entonces y hasta que reinicies, bloquea cada vez que la VPN se cae, en cualquier red, porque es justo al conectarte a una red nueva cuando las apps filtrarían datos. Una VPN parcial que solo lleva algunos destinos cuenta como caída.
• Lo que sigue conectándose: tu app de VPN, sus procesos auxiliares y su extensión de red (WireGuard, Tailscale, Mullvad, NordVPN, Proton VPN, ExpressVPN, Surfshark, Cisco Secure Client, GlobalProtect, OpenVPN Connect, Tunnelblick y otras, además de cualquier app de VPN para la que macOS tenga una configuración), los servicios de red de Apple (DNS, DHCP, comprobaciones de certificados, la ventana de inicio de sesión de la red, las VPN integradas), Kilobat y la red local, salvo que lo desactives. Todo lo demás espera, sean cuales sean sus reglas o su perfil, Sin restricciones incluido.
• La salida. Permitir durante 5 minutos en el aviso, la notificación o el menú contextual de la barra de menús deja pasar todo, para una página de inicio de sesión de la red o una comprobación rápida, y vuelve a bloquear si la VPN sigue caída. Desactivar está al lado, y también en Ajustes.

Lo que no puede hacer: el filtro solo ve las conexiones nuevas, así que las que ya estaban abiertas cuando se cayó la VPN siguen, aunque la mayoría muere con el túnel que usaba. Las consultas DNS siguen saliendo para que la VPN pueda encontrar su servidor. Si Kilobat se cierra, el filtro conserva el último estado que recibió y sigue bloqueando cuando desaparece la interfaz del túnel de la VPN; abre Kilobat para permitir el tráfico o desactivarlo. En la terminal: kilobat settings kill-switch on, y kilobat vpn o kilobat conditions muestran su estado; los agentes lo leen en check_vpn y get_conditions, y set_kill_switch te pregunta antes.

Prueba de fugas de la VPN

Con tu VPN activada, haz clic en Buscar fugas en Estado › Por dónde sale el tráfico o en Ajustes › Red. En unos diez segundos, Kilobat comprueba tres vías por las que el tráfico puede saltarse una VPN e indica si cada una pasa o falla, con el ajuste que lo corrige, nombrado como lo nombra tu app de VPN cuando Kilobat lo sabe (Mullvad, NordVPN, Proton VPN, ExpressVPN, Tailscale, WireGuard; para Cisco, GlobalProtect y otras VPN de trabajo, qué pedir a TI).

• DNS. Los resolutores que usa macOS para las consultas normales y la ruta a cada uno: uno al que se llega por Wi-Fi o Ethernet en lugar de por el túnel filtra cada nombre que buscas. Kilobat también busca unos nombres inventados a través de bash.ws, que informa de los resolutores que preguntaron; uno que no es de tu VPN ni de un servicio DNS público como Cloudflare o Google probablemente es el de tu proveedor de internet.
• IPv6. Una VPN que solo lleva IPv4 mientras el Mac tiene una ruta IPv6 por Wi-Fi envía tu dirección real a los sitios IPv6. Kilobat pide tu dirección IPv6 a api6.ipify.org para mostrar lo que ven, e indica el ajuste de la VPN o cómo desactivar IPv6 para la red (Ajustes del Sistema › Red › Wi-Fi › Detalles › TCP/IP › Configurar IPv6 › Solo enlace local).
• UDP y WebRTC. El WebRTC de un navegador envía UDP desde todas las interfaces de red. Kilobat envía una solicitud STUN (al servidor de Google o de Cloudflare) por la VPN y otra directamente por Wi-Fi o Ethernet: si la segunda recibe respuesta, o la primera vuelve desde una dirección distinta de la salida de la VPN, una página puede averiguar tu dirección real. La solución es el interruptor de emergencia o la opción de bloqueo de la VPN. Kilobat no puede ejecutar el WebRTC de un navegador, así que también explica cómo evitar que los navegadores compartan direcciones locales: Safari las oculta; Firefox con media.peerconnection.enabled desactivado; Brave con su política de gestión de IP de WebRTC; Chrome con la extensión WebRTC Network Limiter de Google.

La prueba de fugas es gratuita. No cambia nada, y los servicios a los que consulta ven tu dirección como cualquier sitio web. Un resultado correcto vale para este Mac en ese momento, no para todas las apps. En la terminal: kilobat vpn leaks (sale con 1 cuando algo se filtra, --json para scripts); los agentes usan check_vpn_leaks.