Cómo funciona HopFox VPN

Esta página describe solo lo que funciona hoy. Cuando algo cambia, el cambio aparece aquí y en las noticias.

El protocolo: VLESS Reality

HopFox VPN se conecta con VLESS sobre el puerto TCP 443, envuelto en Reality, usando el motor de código abierto Xray-core (versión 26.3.27 en los servidores y en cada app).

El puerto 443 es el del HTTPS, y Reality hace que la conexión parezca exactamente una sesión TLS 1.3 con un sitio web público conocido: el saludo es real, el certificado pertenece a ese sitio y no hay nada en los primeros paquetes que diga «VPN». Los equipos de filtrado que reconocen y ralentizan los protocolos VPN convencionales ven tráfico web normal. Solo un cliente que conoce la clave del servidor obtiene un túnel; cualquier otro que se conecte a la misma dirección es redirigido de forma transparente al sitio real y ve una página normal.

Por qué lo elegimos:

• Indistinguible del HTTPS. No hay un saludo propio que identificar ni un puerto específico de VPN. Es la propiedad que más nos importa, porque decide si la app funciona en la red en la que te encuentres.
• Sin certificados en los que confiar. Reality toma prestada la identidad TLS de un sitio real, así que no hay nada que instalar ni aprobar en el teléfono, y nada que pueda revocarse.
• Rápido. Con XTLS Vision, los datos de las aplicaciones que ya van cifrados con TLS no se cifran una segunda vez, así que el túnel añade muy poca sobrecarga. La latencia es la misma que con una conexión directa al servidor.
• Código abierto y revisado por muchos ojos. Xray-core se desarrolla de forma abierta; usamos la última versión y no modificamos el protocolo.

Automatic es la opción por defecto: la app elige entre los dos para cada red. Reality es el indicado cuando la red es hostil. Desde la versión 0.5.0 hay una segunda opción, descrita más abajo.

El segundo protocolo: AmneziaWG

AmneziaWG es WireGuard con ofuscación: el mismo túnel UDP rápido, pero el saludo inicial lleva relleno y va precedido de paquetes basura, así que los equipos de filtrado no lo reconocen como WireGuard. Funciona en el puerto UDP 443 en todas las ubicaciones, junto a Reality, con el motor de código abierto amneziawg-go tanto en los servidores como en las apps.

Cuándo elegirlo: en una red buena suele ser más rápido y dar menos latencia que un túnel TCP, y mantiene la conexión mientras el teléfono cambia entre Wi-Fi y datos móviles. Cuándo quedarse en Reality: cuando el UDP está bloqueado o limitado, algo habitual en redes corporativas y en algunas móviles; Reality va por TCP y pasa por HTTPS. La opción está en cada app, en Settings, Protocol. Automatic, la opción por defecto, siempre conecta primero con Reality, así que en una red filtrada no se envía nada por UDP. Si Reality no pasa en una red, la app prueba AmneziaWG una vez y recuerda durante una semana qué protocolo funciona allí.

En las apps

En Android la app registra una interfaz VPN del sistema, así que cada app del teléfono pasa por el túnel, DNS incluido. En Windows y Linux un pequeño servicio auxiliar crea el adaptador del túnel, y por él pasa todo el equipo; en Mac, Reality funciona como proxy del sistema y AmneziaWG como un túnel real. Dentro de cada app una copia de Xray-core o de amneziawg-go abre la conexión. La propia conversación de la app con el panel y la comprobación de tu IP visible van directas.

La latencia se mide en tu dispositivo, no se adivina por nuestra parte: la app abre una conexión a cada ubicación y la cronometra. La opción Automatic es simplemente la ubicación con el número más bajo en ese momento. La lista no se reordena mientras la miras; se actualiza una vez por hora y cuando lo pides.

En los servidores

• Servidores propios, Debian 13, siempre actualizados. Dos procesos en cada uno: Xray-core en el puerto TCP 443 y amneziawg-go en el puerto UDP 443.
• El registro está limitado a avisos y va a la memoria, no al disco. Nada sobre los usuarios se escribe en el almacenamiento de un servidor.
• Un pequeño agente en cada servidor habla con nuestro panel: qué cuentas están permitidas, cuántas están en línea, cuánto tráfico ha pasado. Ese es todo el modelo de datos.
• El panel conoce tu número de cuenta, tu plan, el número de dispositivos y la hora de las conexiones. No sabe lo que haces dentro del túnel.

Cuentas sin identidad

En el primer inicio, la app genera una clave en tu dispositivo y pide al panel un número de cuenta. Ese número es la cuenta. Sin correo, sin número de teléfono, sin contraseña: no hay nada que filtrar ni nada que restablecer. Si quieres la misma cuenta en un segundo dispositivo, escribes allí el número. Si borras la cuenta, el panel cierra el número y todos los dispositivos vinculados pierden el acceso de inmediato.

Lo que aún no existe

• App para iPhone: en desarrollo.

Actualizado el 26 de octubre de 2026.