---
title: "Cerrar máquinas virtuales y escritorio remoto como ruta"
description: "Una VM o un escritorio remoto hacia un PC sin filtrar es un ordenador limpio dentro del tuyo. Los candados de instalación y de red que cierran ese entorno."
url: https://tkot.com/journal/cerrar-maquinas-virtuales-y-escritorio-remoto/
canonical: https://tkot.com/journal/cerrar-maquinas-virtuales-y-escritorio-remoto/
author: "Arya Stark"
published: 2026-06-09
updated: 2026-06-09
category: "Loopholes"
tags: ["máquina virtual", "escritorio remoto", "emulador", "puertas laterales", "bloquear porno"]
lang: es
---

# Cerrar máquinas virtuales y escritorio remoto como ruta

> **TL;DR** Una máquina virtual, un emulador o un escritorio remoto hacia un ordenador sin filtrar es un entorno limpio que no hereda los filtros del anfitrión. Ciérralo impidiendo que el software se instale (una cuenta sin administrador lo hace), fijando el DNS del anfitrión para que una VM que use su red siga filtrada, bloqueando las categorías de escritorio remoto, y apoyándote en la capa de pantalla del anfitrión, que ve la ventana de la VM como cualquier otra. La detección en pantalla de TKO'T juzga la ventana renderizada de la VM igualmente.

Una máquina virtual es un segundo ordenador entero corriendo en una ventana del primero, con su propio sistema operativo, su propio navegador y, lo crucial, ninguno de los filtros que montaste en el anfitrión. Un escritorio remoto es la misma idea por cable: estás mirando una máquina sin filtrar que está en otro sitio, dibujada en tu pantalla. Las dos le dan a una persona cuidadosa un entorno limpio donde el bloqueo del anfitrión nunca entró. Suena avanzado, y los pasos están a una búsqueda de distancia, así que es una ruta real que vale la pena cerrar. La buena noticia es que el anfitrión sigue controlando dos cosas de las que la VM no puede escapar, qué se instala y qué se renderiza en la pantalla física, que es donde aguanta [TKO'T](/#download), gratis. Defensa pura, nombrando la ruta solo para cerrarla.

## Por qué una VM nace limpia

Una VM o un emulador corre un sistema operativo aparte que no sabe nada de las restricciones del anfitrión, el mismo problema de independencia que [una cuenta de usuario nueva](/journal/cerrar-cuentas-de-invitado-y-multiusuario/) llevado al extremo: sistema fresco, navegador fresco, ningún filtro heredado. Un escritorio remoto es peor en un sentido, porque la máquina sin filtrar ni siquiera es tuya: es un PC alquilado o remoto que tú solo estás viendo. Los filtros de red del anfitrión pueden cubrir la VM o no, según cómo se conecte, y el software dentro de la VM es invisible para la mayoría de los bloqueadores del anfitrión. Así que la pelea se mueve a los dos cuellos de botella que el anfitrión sí controla.

## Los dos cuellos de botella que el anfitrión conserva

**Qué se instala.** Una VM, un emulador o un cliente de escritorio remoto tiene que instalarse para correr, y una cuenta estándar sin administrador en el anfitrión no puede instalar ese software sin la contraseña de administrador guardada en otras manos. Es el cierre más limpio: sin software de VM, no hay VM. En Windows, [la frontera de la cuenta estándar](https://learn.microsoft.com/es-es/windows/security/identity-protection/access-control/local-accounts) hace el trabajo, la misma de [la fortaleza de la BIOS y los ajustes de administrador](/journal/bloquear-la-bios-el-firmware-y-los-ajustes-de-administrador/); en un Mac, la misma cuenta diaria sin administrador. Bloquea también por DNS las categorías de escritorio remoto y PC en la nube, para que una máquina remota basada en navegador no sea alcanzable.

**Qué se renderiza en la pantalla.** Lo que corra dentro de la VM o llegue en streaming desde la máquina remota tiene que mostrarse igualmente en tu monitor físico, y [una capa de pantalla en el dispositivo](/journal/deteccion-en-pantalla-que-cierra-la-ventana-al-instante/) en el anfitrión juzga esa ventana como cualquier otra y la cierra cuando se renderiza contenido explícito. La VM no puede esconderle su salida a la pantalla del anfitrión, porque el anfitrión es quien dibuja los píxeles. Es la misma razón por la que la capa de pantalla vence a [los proxys y los túneles](/journal/bloquear-vpn-y-proxys-que-saltan-filtros/): la ruta cambia, el resultado renderizado no puede.

**Y fija la red del anfitrión.** Si la VM sale por la red del anfitrión, [un filtro DNS fijado](https://developers.cloudflare.com/1.1.1.1/setup/) en el anfitrión también se le aplica, así que bloquear el acceso a internet de la VM en el cortafuegos del anfitrión, o simplemente filtrar el DNS del anfitrión que la VM hereda, fijado frente al [DNS cifrado](https://datatracker.ietf.org/doc/html/rfc8484) de un navegador, cubre el caso conectado a la red. Canda esos ajustes para que no se puedan cambiar desde una cuenta estándar, [la disciplina de siempre](/journal/fijar-los-dns-para-que-no-se-reviertan/).

## El techo honesto

Esta es una ruta de usuario avanzado, y la honestidad importa: alguien con permisos de administrador, con una segunda máquina física o con un PC remoto sin filtrar que controle puede seguir rodeando los controles del anfitrión; ninguna herramienta para eso. Pero la cuenta sin administrador cierra la ruta de instalación que usa el 99 por ciento de esto, la capa de pantalla cubre lo que sí llegue a renderizarse, y el DNS cubre las VM conectadas a la red, lo que junto convierte un truco rápido de entorno limpio en algo lento, deliberado y con requisitos que un antojo no tiene. Como con cada [puerta lateral](/journal/el-mapa-completo-de-puertas-laterales/), la meta es ser más lento que la ola, no una cámara acorazada, y [la resistencia a la manipulación](/journal/bloqueo-resistente-a-manipulaciones/) mantiene el montaje entero en pie en una mala noche.

## Preguntas frecuentes (FAQ)

**¿Cómo bloqueo el acceso a internet en máquinas virtuales para no evadir el filtro?** Tres movimientos: usa el anfitrión con una cuenta estándar sin administrador para que el software de VM no se pueda instalar sin una contraseña guardada en otras manos, fija el filtro DNS del anfitrión para que una VM que use su red siga filtrada, y apóyate en la capa de pantalla del anfitrión, que juzga la ventana de la VM como cualquier otro contenido renderizado. La detección en pantalla de TKO'T, gratis en Mac, cierra la ventana de la VM ante contenido explícito sin importar los ajustes internos de la VM.

**¿Por qué mi bloqueador no funciona dentro de una máquina virtual?** Porque una VM es un sistema operativo aparte que nunca heredó los filtros del anfitrión: tiene su propio navegador y sus propios ajustes, invisibles para la mayoría de los bloqueadores del anfitrión. El arreglo no es filtrar dentro de la VM, sino usar los cuellos de botella que el anfitrión conserva: impedir que el software de VM se instale, filtrar la red del anfitrión que la VM usa, y dejar que la capa de pantalla del anfitrión juzgue la ventana de la VM en el monitor físico.

**¿Cómo paro un escritorio remoto hacia un ordenador sin filtrar?** Bloquea por DNS las categorías de escritorio remoto y PC en la nube en el dispositivo protegido para que la máquina remota no sea alcanzable, y usa una cuenta estándar para que el cliente de escritorio remoto no se pueda instalar. La capa de pantalla del anfitrión es la red de seguridad, porque la pantalla de la máquina remota se renderiza igualmente en tu monitor y ahí se puede juzgar y cerrar como cualquier otra ventana.

**¿Un bloqueador de pantalla puede ver lo que pasa dentro de una VM?** Ve la ventana de la VM, que es lo que importa: el anfitrión dibuja la salida de la VM en tu pantalla física, así que una capa de pantalla en el anfitrión evalúa esa ventana y la cierra cuando se renderiza contenido explícito, sin importar el filtrado interno de la VM. No necesita estar dentro de la VM, porque el contenido tiene que asomar a la pantalla del anfitrión para poder verse.

**¿Una VM no es demasiado técnica para contar como riesgo real?** Es una ruta de usuario avanzado, pero los pasos están a una búsqueda rápida, así que funciona como truco real para cualquiera lo bastante motivado, y vale la pena cerrarla porque el cierre es barato: una cuenta sin administrador en el anfitrión para la instalación de un solo movimiento, lo que cubre casi todos los casos reales. Una máquina totalmente remota que alguien controle es el caso difícil, y ahí aplican el techo honesto y la red de seguridad de la pantalla.

---

Source: https://tkot.com/journal/cerrar-maquinas-virtuales-y-escritorio-remoto/
Author: Arya Stark