Excepción de VPN para la LAN doméstica en Android: guía para un solo servicio
Excluya solo el servicio doméstico que aprobó, no todas las rutas privadas. Escriba la política, use una VPN que se pueda eludir y luego pruebe el fallo de la red de invitados.
Quiere un servicio doméstico accesible mientras la VPN sigue vigente para todo lo demás. El ajuste tentador es una excepción de ruta local que cubre cada dirección privada, y ese es el control equivocado: en la siguiente red de hotel o cafetería puede convertir en vía de elusión cualquier cosa que responda. Esta guía limita la excepción a un solo servicio y la demuestra en las transiciones que la rompen.
Defina la excepción como servicio, no como subred
Anote la aplicación, el nombre de host y la dirección del destino, el protocolo y el puerto, la red donde se permite y la comprobación de identidad que hace el propio servicio. En un NAS con autenticación, el certificado o la cuenta es lo que demuestra que llegó a la máquina correcta. Una dirección en 192.168.0.0/16 no demuestra nada, porque cada router doméstico reparte los mismos prefijos.
Decida también qué significa cerca. Un servicio en una VLAN enrutada no está en la subred conectada directamente al teléfono, y un Wi-Fi de invitados puede compartir el mismo prefijo privado que la casa y ser una máquina completamente distinta. La excepción debe nombrar el servicio y el entorno, no solo el rango de direcciones.
Confirme que el control de la plataforma encaja con el requisito
El generador de perfiles IKEv2 de Android expone setLocalRoutesExcluded(true), y su documentación exige una VPN que se pueda eludir: la excepción solo tiene sentido cuando el cliente permite que el tráfico evite el túnel. La misma documentación advierte que la red subyacente puede proporcionar rutas que afectan a la excepción, por eso el ajuste sigue la red a la que se une, no la red en la que confía.
Tampoco es una promesa de que cada bloqueo o configuración gestionada deje al usuario activar la misma excepción. La excepción de ruta, el indicador de elusión y la política de bloqueo del dispositivo son controles separados, y un dispositivo gestionado puede prohibir el tercero mientras permite los dos primeros. Revise el perfil instalado y la política de gestión antes de diseñar alrededor de una casilla.
Guía: construya y aplique la excepción
Paso 1: cree el perfil por la vía admitida para el despliegue, ya sea la configuración gestionada o el generador de cliente. Paso 2: marque la VPN como eludible, porque la excepción de ruta local no es efectiva sin eso. Paso 3: active la excepción de ruta local. Paso 4: mantenga activas la autenticación propia del servicio y la validación del certificado; la excepción trata del enrutamiento, no de la confianza. Paso 5: guarde y vuelva a conectar para que se aplique el perfil.
La reversión es el mismo camino al revés: borre la excepción, luego borre la elusión y luego vuelva a conectar. No parchee una ruta ni un gancho de cortafuegos directamente en el dispositivo. El demonio de red posee esas reglas, y una regla manual puede pasar por alto otra familia de direcciones, una reconexión o una transición de red. Si la configuración instalada no puede expresar la política, mantenga el bloqueo más estricto hasta que el propietario apruebe otro diseño.
Pruebe los cuatro casos que importan
Use peticiones inocuas y anote el resultado esperado antes de ejecutar cada caso. La matriz de abajo es la prueba de aceptación, no una sugerencia: si algún caso denegado tiene éxito, la excepción es más amplia que la política.
| Case | Network | Destination | Expected |
|---|---|---|---|
| 1. Approved service | Home Wi-Fi | The NAS | Reachable and authenticated |
| 2. Other local device | Home Wi-Fi | A printer | Denied by VPN policy |
| 3. Same private prefix | Hotel or cafe Wi-Fi | 192.168.1.10 | Denied |
| 4. Transition | VPN drop, Wi-Fi to cellular | The NAS | No silent direct path |
El caso 3 es el que atrapa una elusión amplia de subred privada, y el caso 4 atrapa a un cliente que solo aplicó la excepción al conectar. Ejecute el caso 4 con la VPN desconectada y con el teléfono pasado a la red móvil, luego vuelva a conectar y confirme que la excepción regresa sin reiniciar. La referencia de la API de ruta local indica el requisito de elusión que hace que el paso 2 no sea opcional.
Registre la excepción y revísela
El registro mantenido debe nombrar el servicio, el entorno que lo justificó, el propietario y la fecha. Local describe una relación de enrutamiento, no un nivel de confianza, y la próxima red a la que se una el teléfono no es la red donde se aprobó la excepción.
Revise el registro tras una actualización del sistema, una actualización del cliente o una mudanza. Vuelva a ejecutar el caso 3 cada vez que se renueve la excepción, porque un perfil que una vez limitó la elusión a un servicio puede ampliarse con un solo cambio predeterminado.