Cómo saber si una IP es una VPN, un proxy o una salida de Tor

Saber si detrás de una IP hay un abonado doméstico real, un servidor alquilado, una VPN comercial o un nodo de salida de Tor es información decisiva para la prevención del fraude, la investigación de abusos y las restricciones de licencia. Ninguna señal basta por sí sola, pero varias juntas dibujan un cuadro claro.

Las señales que delatan

• ASN y propietario de la red: la señal individual más potente. Si la dirección pertenece al sistema autónomo de un hosting o de una nube, detrás no hay un usuario final normal, sino una máquina.
• Tipo de asignación: los registros de los RIR suelen indicar directamente si es un bloque de centro de datos o de acceso de banda ancha.
• Nombre de DNS inverso: palabras como vpn, exit, proxy, tor o node, o la nomenclatura estándar de un hosting, son pistas fuertes.
• Directorio de Tor: la red Tor publica abiertamente sus nodos de salida; es la única categoría verificable con certeza.
• Puertos de proxy abiertos: un servicio sin autenticación en 1080, 3128 u 8080 indica un proxy abierto en uso indebido.
• Incoherencias geográficas: desajustes fuertes entre la zona horaria, el idioma y los hábitos de la cuenta y la ubicación de la IP.
• Historial en listas negras: la misma dirección aparece una y otra vez en reportes de escaneo, fuerza bruta o spam.

Categorías y dificultad de detección

Los proxies de centro de datos y las VPN comerciales se detectan con gran fiabilidad por el ASN. Tor es prácticamente inequívoco gracias a la lista pública de salidas. La categoría difícil son los proxies residenciales y móviles: usan conexiones de clientes reales, así que el ASN muestra un ISP corriente. Ahí no sirve mirar una petición aislada, sino patrones de comportamiento, como una cuenta que aparece en minutos desde muchas direcciones de abonado distintas.

Cuidado con los falsos positivos

• VPN corporativas: empleados legítimos salen a internet por el centro de datos de su empresa.
• Relés de privacidad: los servicios de relé de las grandes plataformas colocan a usuarios corrientes tras direcciones de servidor.
• CGNAT: en las operadoras móviles miles de abonados comparten una dirección; la mala conducta de uno afecta a todos.
• Navegadores en la nube y bots de previsualización: las vistas previas de enlaces de mensajería y correo salen de un centro de datos.

La política correcta: graduar, no bloquear

Detectar una VPN o un centro de datos no prueba por sí solo un abuso: hay motivos legítimos de privacidad. En la práctica, lo que mejor funciona es la fricción graduada: verificación adicional al iniciar sesión, retraso de acciones de riesgo como las retiradas de fondos, límites a la creación de cuentas de prueba. Reserve el bloqueo duro para pruebas sólidas y repetidas, como una dirección de centro de datos que está escaneando activamente.

Evaluación rápida con IP-DB

IP-DB.com muestra en una sola consulta el ASN, el propietario de la red, el rango de asignación, el registro DNS inverso y las coincidencias en listas negras. Esos cuatro datos suelen bastar para distinguir una conexión doméstica de infraestructura alquilada. Si una dirección concreta es VPN, proxy o Tor, y cuánto riesgo tiene, lo muestra en un paso la puntuación de fraude IP. Para revisiones más amplias, las mismas comprobaciones se ejecutan desde la consulta masiva o por API.