Vamos a empezar por donde no empieza casi ninguna guía, porque es lo que de verdad te va a ahorrar el disgusto: en 2026, una VPN ya no es un plan fiable para China. Puede funcionar, y de hecho a veces funciona muy bien, pero no puedes construir el viaje sobre ella.
Esto no siempre fue así. Durante años bastaba con instalar una de las VPN de siempre y listo. Lo que ha cambiado es que en abril de 2026 China dio el mayor golpe a las VPN de su historia: los tres operadores del país —China Mobile, China Unicom y China Telecom— empezaron a bloquear al instante cualquier IP con firma de VPN, sin margen. Shadowsocks, V2Ray, Trojan: caídos. Y con ellos, buena parte de las marcas comerciales más conocidas.
Por eso la escena típica de este año es la siguiente: llegas al hotel, abres la VPN que te recomendaron, y no conecta. Te sientes estafado. No lo estás: la recomendación era buena hace dos años.
En esta guía tienes por qué falla, qué sigue funcionando y, sobre todo, cómo montar un plan por capas para no quedarte incomunicado.
Por qué tu VPN ha dejado de funcionar
Para elegir bien hay que entender cómo bloquea el Gran Cortafuegos, porque no usa un solo método sino cuatro, y cada uno tumba un tipo de solución distinto.
1. Envenenamiento de DNS
Cuando tu móvil pregunta “¿dónde está google.com?”, el cortafuegos se adelanta y responde una dirección falsa. Ni siquiera necesita mirar lo que envías: le basta con contestar antes que el servidor legítimo. Es el método más barato y el primero que te encuentras.
2. Bloqueo por reputación de IP
Los rangos de direcciones de las VPN comerciales son públicos y conocidos. En cuanto un proveedor se hace popular, sus servidores acaban en una lista negra y dejan de responder.
Aquí está una de las claves del asunto: cuanto más recomendada esté una VPN, antes deja de funcionar en China. El éxito comercial es exactamente lo que la delata.
3. Inspección profunda de paquetes (DPI)
Este es el que más sorprende. Aunque tu tráfico vaya cifrado y nadie pueda leer su contenido, los protocolos de VPN tienen un saludo inicial reconocible: OpenVPN y WireGuard “se presentan” de una forma característica.
El cortafuegos no necesita entender lo que dices. Le basta con reconocer la forma en la que saludas. Por eso el cifrado no protege de nada aquí: lo que delata no es el contenido, es la silueta.
4. Sondeo activo
El más sofisticado. Cuando el sistema detecta una conexión sospechosa, se conecta él mismo a ese servidor para ver cómo se comporta. Si responde como un proxy, quema la IP.
Es la razón por la que también caen los montajes caseros que se comparten en foros: en cuanto los usan unas cuantas personas, el cortafuegos los prueba y los tira.
Y entonces, ¿por qué te la recomendaron?
Casi siempre por una combinación de estas cuatro razones, y ninguna es mala fe:
- “Mejor VPN para China” es una de las búsquedas más rentables que existen en marketing de afiliación. Muchas listas están ordenadas por comisión, no por pruebas.
- Muchas pruebas se hacen desde fuera de China, que es como probar un paraguas en un día soleado.
- La recomendación puede ser vieja. Lo que era verdad en 2023 no lo es en 2026.
- El bloqueo es dinámico. Se endurece alrededor de fechas políticas señaladas y varía según la ciudad, el operador y hasta la hora del día. Dos personas en el mismo hotel pueden tener experiencias opuestas.
La eSIM de roaming: la solución que no es una VPN
Esta es la parte que cambia el viaje, y llama la atención lo poco que se cuenta.
Una eSIM de datos en roaming —de las que se compran para tener internet en el extranjero— funciona en China sin VPN. Y no es un truco ni una rendija que vayan a tapar: es cómo ha funcionado siempre el roaming.
Por qué funciona
Cuando aterrizas con una eSIM extranjera, la antena china solo te da cobertura de radio. Te identifica como visitante y, siguiendo las normas internacionales de roaming, envía tus datos de vuelta a la red de origen de tu operador —en Singapur, Hong Kong, Reino Unido, donde sea—. Tus datos salen a internet allí, no en China.
O sea que la censura no es que la esquives: es que no llegas a pasar por ella. El cortafuegos filtra lo que cruza la frontera china por las rutas públicas de internet, y tu tráfico nunca toma ese camino.
Y de ahí viene la propiedad más valiosa: no depende de ningún protocolo. Da igual que mañana bloqueen WireGuard, OpenVPN o lo siguiente que salga. No hay nada que detectar, porque no hay ningún túnel que esconder.
Lo que hay que tener en cuenta
- Los datos son limitados y no salen baratos. Es una solución de viaje, no de mudanza.
- Comparte la conexión por wifi con el portátil. Es lo que convierte la eSIM en la conexión de todo tu equipaje electrónico, no solo del móvil.
- Deja también la SIM normal en roaming como plan C. Funciona por el mismo motivo, aunque cueste bastante más.
- No todas las eSIM se enrutan igual. La mayoría de las de viaje sí salen fuera, pero alguna se conecta a la red local: si el vendedor anuncia “VPN incluida”, suele ser la señal de que su tráfico sí pasa por China.
Qué VPN siguen funcionando (y con qué protocolo)
Dicho todo lo anterior, una VPN sigue siendo útil: para el portátil, para trabajar y para cuando se te acaben los datos de la eSIM. Solo hay que elegirla por el criterio correcto.
Y el criterio correcto no es la marca, es el protocolo. Después de abril de 2026, lo único que aguanta con cierta regularidad es la ofuscación sobre TLS: hacer que el tráfico no parezca una VPN, sino una visita normal y corriente a una web.
| VPN | Protocolo que aguanta | ¿Hay que activarlo a mano? | Situación a mediados de 2026 |
| Astrill | StealthVPN | Sí: se elige en la aplicación | La más citada por residentes; sobrevivió a la purga de abril |
| ExpressVPN | Lightway | No: la ofuscación se activa sola al detectar el bloqueo | Sobrevivió a la purga; ofuscación sobre TLS |
| NordVPN | NordWhisper | Sí, y en cada dispositivo por separado | Irregular. Su app de móvil está bloqueada dentro de China: la propia NordVPN manda montar IKEv2 a mano |
| Surfshark | Ofuscación | Sí | Irregular |
| Proton VPN | Stealth | Sí | Contradictorio: hay informes de 2026 que lo dan por bloqueado y otros que lo dan por funcionando en el puerto 443. Stealth está incluido en el plan gratuito |
| PIA · CyberGhost | — | — | Fallo generalizado desde abril de 2026 |
Tres advertencias sobre esta tabla, y van en serio:
- Caduca. Es una foto de mediados de 2026. La misma lista dentro de seis meses puede estar del revés, y por eso conviene no depender de una sola opción.
- La ofuscación casi siempre hay que activarla, y en la mayoría de casos no se activa sola aunque todo lo demás falle. Si instalas la VPN y la dejas en automático, va a elegir el protocolo rápido —el que el cortafuegos reconoce— y no vas a conectar. Entra en los ajustes y selecciona el modo ofuscado o sigiloso antes de viajar, y hazlo en cada aparato: es un ajuste por dispositivo, no de tu cuenta. Lo vemos en detalle en el capítulo siguiente.
- Prueba desde casa que conecta con ese protocolo concreto. Dentro de China ya no puedes descargar nada ni pedir soporte con comodidad.
El caso especial: tu propio servidor
Hay una opción que casi nunca aparece en las listas y que, curiosamente, es de las más sólidas: conectarte a una máquina tuya. Un servidor pequeño alquilado fuera de China, o incluso el NAS de tu casa a través de una red privada tipo Tailscale.
Funciona por un motivo elegante: esa IP no tiene mala reputación porque no la usa nadie más que tú. No está en ninguna lista negra, no la ha denunciado ningún competidor y no genera el volumen de tráfico que enciende las alarmas. Además, este tipo de redes recurren a retransmitir por el puerto 443 cuando les bloquean el tráfico directo, con lo que el resultado se parece a una conexión HTTPS cualquiera.
No es para todo el mundo —hay que montarlo antes de salir—, pero si tienes un NAS o te manejas con un servidor, es la opción más estable que vas a encontrar.
Que el túnel aguante es una cosa; que la app arranque, otra
Aquí hay un escalón que ninguna lista comprueba y que se lleva por delante a mucha gente que había hecho los deberes.
Cuando alguien dice “esta VPN funciona en China”, casi siempre se refiere al túnel: que el protocolo esquiva la inspección. Pero antes de eso hay un paso previo. La aplicación tiene que arrancar, identificarte contra los servidores de tu proveedor y descargarse la lista de servidores disponibles. Si el cortafuegos bloquea ese trámite, nunca llegas siquiera a elegir protocolo.
Cómo se distingue un problema del otro
Es fácil, y ahorra horas de pelea:
- Si cambias de país y el comportamiento cambia —Japón no va, Singapur sí—, el problema es del servidor o del protocolo.
- Si eliges Hong Kong, Singapur, Japón, el que sea, y en todos se queda igual, colgado en «Conectando», el problema no es el servidor. Es que la app no está hablando con nadie.
En el segundo caso, cambiar el protocolo dentro de la aplicación no puede arreglarlo. Estás tocando ajustes de una app que no consigue salir de China.
El caso de NordVPN, contado por NordVPN
Esto no es una impresión de foro: está en su propia documentación de soporte. «La aplicación de NordVPN para Android está completamente bloqueada en China», con un artículo gemelo para iOS.
Y su solución oficial es renunciar a su propia app: montar a mano una conexión IKEv2/IPsec con un cliente de terceros como strongSwan, apuntando a nombres de servidor concretos que ellos facilitan, con la MTU en 1280 y bloqueando el tráfico IPv6 que no vaya por el túnel.
El detalle con el que casi todo el mundo tropieza: en esa configuración manual, el usuario y la contraseña NO son los de tu cuenta. Son unas «credenciales de servicio» distintas, que hay que sacar del panel de la web, en la sección de configuración manual.
Y ese panel también está bloqueado desde dentro de China. Cópialas antes de volar o te quedarás con la solución oficial delante y sin poder usarla.
El otro extremo: ofuscación automática
Frente a eso, ExpressVPN no documenta nada parecido. Sus páginas de soporte tratan China como un sitio donde «a veces tarda más en conectar», y afirman que sus apps de Windows, Mac y Android siguen funcionando dentro. Su única salvedad de aplicación es antigua y no es suya: Apple retiró en 2017 las apps de VPN de la App Store china, así que en iPhone necesitas una cuenta de App Store con dirección de facturación fuera de China.
Pero la diferencia práctica de verdad es otra: su ofuscación se activa sola cuando detecta que alguien está interfiriendo, y disfraza el tráfico de HTTPS normal sin que tú toques nada.
NordWhisper no hace eso. La propia NordVPN advierte de que no se selecciona automáticamente: hay que elegirlo a mano. No entra al rescate cuando los demás fallan.
La trampa que casi nadie ve venir: el ajuste es por dispositivo
Y de ahí sale el error más silencioso de todos.
El protocolo es un ajuste de cada aplicación, en cada aparato. Si lo dejaste configurado en el portátil, tu móvil no se ha enterado de nada: sigue con el protocolo rápido de fábrica, que es justo el que el cortafuegos reconoce y tumba.
El resultado es de lo más desconcertante: el portátil te funciona, el móvil no conecta con ningún servidor, y como en tu cabeza «ya lo tenías configurado», acabas culpando a la cobertura, al hotel o al proveedor.
La más recomendada para China es también la única sin auditar
Hay un dato que no aparece en casi ninguna comparativa, y la razón es sencilla: el enlace de afiliación de la VPN más recomendada para China paga muy bien.
Merece la pena mirarlo, porque una VPN es, por definición, una empresa por la que pasa absolutamente todo lo que haces en internet. Fiarse de ella no es un detalle secundario.
| VPN | Auditorías independientes | Qué guarda | ¿Puedes probarla sin arriesgar dinero? |
| ExpressVPN | Sí: auditorías repetidas de KPMG sobre su arquitectura en RAM | No-logs auditado | Sí: 30 días de devolución |
| NordVPN | Sí: seis verificaciones de Deloitte (norma ISAE 3000) | No-logs auditado | Sí: 30 días de devolución |
| Proton VPN | Sí: auditorías públicas y aplicaciones de código abierto | No-logs auditado | Sí: plan gratuito permanente, con Stealth incluido |
| Astrill | No: ninguna | Mientras estás conectado: hora, IP, dispositivo y versión. Al desconectar: los últimos 20 registros de conexión | No: ni prueba gratuita ni reembolso |
Qué guarda Astrill, según Astrill
Está en su propia política de privacidad. Mientras estás conectado retiene la hora de conexión, tu dirección IP, el tipo de dispositivo y la versión de la aplicación. Y al desconectarte conserva los últimos veinte registros de conexión: hora, duración, país, dispositivo y versión.
Lo justifican por motivos razonables —limitar las conexiones simultáneas por cuenta y poder dar soporte— y conviene ser justo: no es registro de tu tráfico, nadie está guardando qué webs visitas. Pero tampoco es la política de «no guardamos nada» que mucha gente da por hecha al pagar una VPN premium. Y, sobre todo, nunca ha pasado una auditoría independiente.
Y qué han demostrado las otras
NordVPN ha sometido su política de no-registros a seis verificaciones independientes de Deloitte bajo la norma ISAE 3000, la última a finales de 2025 — y esa última incluyó expresamente la configuración de los servidores ofuscados, que son justo los que se usan en países con censura.
ExpressVPN ha pasado auditorías repetidas de KPMG sobre su arquitectura de servidores solo en memoria RAM, que se borran en cada reinicio.
Para ser ecuánimes, las dos tienen su mancha, y las dos son conocidas y viejas: ExpressVPN pertenece a Kape Technologies, antes Crossrider, con un pasado de adware; y a NordVPN le comprometieron en 2018 un servidor en Finlandia porque el centro de datos subcontratado tenía un panel de administración sin contraseña — se filtró una clave TLS ya caducada, y no hubo credenciales ni registros de actividad porque no había ninguno que robar.
La diferencia no es que unas sean impolutas y otra no. Es que dos se han sometido a que alguien de fuera lo compruebe y la tercera no.
El precio, y la única forma honesta de elegir
Astrill ronda los 15 $ al mes en plan anual —unos 180 $ al año—, con un suplemento aparte si quieres su enrutado preferente en Asia. ExpressVPN y NordVPN se mueven entre 4 y 8 $ al mes en sus planes largos.
Pero el número que de verdad decide es otro:
- ExpressVPN y NordVPN: 30 días de devolución.
- Proton VPN: plan gratuito permanente, con Stealth incluido.
- Astrill: ni prueba gratuita ni reembolso. Pagas a ciegas.
Y esto importa más de lo que parece, porque ninguna reseña puede decirte si una VPN va a funcionar en tu edificio, con tu operadora, esta semana. Ya lo hemos visto: el bloqueo cambia según la ciudad, la red y la fecha. La única prueba que vale es la tuya.
De ahí sale la regla de compra: entre dos VPN con parecidas posibilidades, empieza siempre por la que puedas probar sin arriesgar dinero, y pruébala de verdad dentro del plazo de devolución. Deja para el final la que te obliga a pagar por adelantado sin poder comprobar nada.
Y como Proton tiene plan gratuito con Stealth, tienes una segunda vía a coste cero: instálala aunque no vayas a usarla como principal. La redundancia que recomendábamos antes, aquí, no cuesta nada.
Por qué el wifi del hotel es el peor sitio para conectarte
Este merece capítulo propio porque desconcierta a mucha gente: la misma VPN que te funciona con datos del móvil no conecta desde la habitación del hotel. No estás haciendo nada mal, y no es cosa de tu configuración.
Al wifi de un hotel chino se le acumulan tres filtros, no uno:
- El nacional, el mismo que afecta a todo el país.
- El del propio hotel. Los routers de gama profesional que montan las cadenas hacen su propia inspección de tráfico y descartan lo que identifican como VPN.
- El bloqueo de puertos. Muchas redes de hotel cortan el tráfico UDP directamente, y ahí caen de golpe los dos protocolos más habituales: OpenVPN por el puerto 1194 y WireGuard por el 51820. Añade a eso que suelen estrangular el ancho de banda del tráfico cifrado, y ya tienes la escena completa.
Lo curioso es que las cadenas internacionales no son mejores en esto: suelen tener más ancho de banda, pero también los equipos más capaces de identificar y tumbar una VPN.
Qué hacer
- Tira de los datos del móvil y comparte la conexión. Si llevas eSIM de roaming, tu móvil es una conexión limpia que no pasa por ninguno de los tres filtros. Convertirlo en punto de acceso resuelve el portátil en diez segundos.
- Si tienes que usar el wifi, fuerza el modo ofuscado sobre TCP en el puerto 443. Es el que menos llama la atención, porque es el mismo que usa cualquier web.
- Prueba antes de necesitarlo. No descubras que el wifi del hotel te corta la VPN media hora antes de una reunión.
El plan que sí funciona: por capas
Después de todo lo anterior, la conclusión no es “usa esta VPN”. Es no dependas de una sola cosa. Este es el plan que aguanta:
| Opción | Fiabilidad en 2026 | A favor | En contra |
| eSIM de datos en roaming | Alta | Sale por una red de fuera de China; no depende de ningún protocolo | Datos limitados y más caros que una SIM local |
| VPN comercial con ofuscación | Media e irregular | Funciona en el portátil y con wifi | Puede caer de un día para otro; el wifi del hotel la corta más |
| Roaming con tu SIM de siempre | Alta | No hay que instalar nada | Caro |
| Servidor propio (VPS o NAS por Tailscale) | Alta mientras nadie lo detecte | Nadie más usa esa IP: no tiene mala reputación | Hay que montarlo antes de viajar |
| SIM china local | Nula para lo occidental | Barata y con muchos datos | Está dentro del cortafuegos: es justo lo que quieres evitar |
El orden recomendado
- eSIM de datos en roaming. Tu conexión principal. Es la que no depende de ningún protocolo y la que menos te va a fallar.
- Una VPN con ofuscación, instalada, configurada y probada desde casa. Para el portátil y para cuando se acaben los datos.
- Tu SIM de siempre en roaming, como red de seguridad. Cara, pero funciona por el mismo motivo que la eSIM.
- Un servidor propio, si tienes NAS o te manejas con esto. La opción más estable de todas, y la que nadie va a bloquear porque nadie sabe que existe.
La lista de antes de volar
Esto se hace en casa, no en el aeropuerto de destino:
- Comprar e instalar el perfil de la eSIM, y comprobar que activa.
- Instalar la VPN, crear la cuenta y pagarla, y dejar seleccionado el protocolo ofuscado.
- Probar que conecta con ese protocolo concreto, no con el que venga por defecto.
- Repetir las dos cosas anteriores en cada dispositivo: móvil, portátil y tableta van por separado. Que funcione en uno no dice nada de los demás.
- Copiar y guardar las credenciales de configuración manual de tu VPN (no sirven las de tu cuenta). Si la app deja de arrancar dentro, es lo único que te permite montarla a mano — y el panel donde se consultan también está bloqueado allí.
- Descargar mapas sin conexión de las ciudades que vayas a ver.
- Dejar instaladas las apps chinas que sí vas a necesitar (pagos, taxis, traducción).
Y una expectativa realista
Ninguna de estas opciones te va a dar la experiencia de internet a la que estás acostumbrado. Habrá ratos lentos, cortes y aplicaciones que se queden pensando. La diferencia entre un viaje cómodo y uno frustrante no está en acertar con la herramienta perfecta, sino en llevar dos caminos distintos para que cuando uno falle —y va a fallar— el otro te saque del apuro.
¿Es legal usar una VPN en China?
La pregunta sale siempre, y la respuesta honesta es: está en una zona gris, y esa zona se ha estrechado.
Formalmente, en China solo son legales las VPN autorizadas por el Estado, que son las que usan las empresas para sus comunicaciones internas. Las comerciales que instalamos los demás no están autorizadas, aunque durante años se hayan usado con total normalidad, incluidas las oficinas de multinacionales.
En la práctica, y esto es lo que importa para un viajero:
- Las multas y actuaciones se han dirigido históricamente a quien vende o distribuye VPN, no a quien las usa de forma puntual.
- Un turista usando una VPN para mirar Instagram no es el objetivo de nada de esto, y no hay constancia de problemas serios para visitantes extranjeros por ese motivo.
- Dicho eso, el ambiente sí se ha endurecido: en marzo de 2026 se conocieron multas a particulares —del orden de 200 yuanes, unos 24 euros— por acceder a redes sociales extranjeras con VPN.
Y una última cosa que conviene tener presente: el cortafuegos no es solo un incordio para el turista. Es una pieza central de cómo funciona internet para 1.400 millones de personas, con un ecosistema propio —WeChat, Alipay, Baidu, Douyin— que no es una copia del occidental, sino algo distinto y en muchos aspectos más avanzado. Viajar allí con la idea de “esquivarlo” para seguir usando lo de siempre es legítimo, pero te pierdes la mitad de lo interesante.