El icono de VPN de Android está activo, pero ¿por qué el tráfico no pasa por el túnel?

Tu llave de VPN está en la barra de estado, el navegador carga una página y la dirección que informa un sitio web sigue siendo tu conexión de casa. Esa combinación es normal en Android, porque el icono dice que una aplicación posee una interfaz de red virtual, no que tu tráfico salga por un servidor remoto. Una aplicación local de filtrado usa el mismo recurso. Comprueba qué hace realmente el servicio antes de culpar al proveedor.

El icono significa que un servicio de VPN posee la interfaz

El servicio de VPN de Android permite que una aplicación cree una interfaz virtual y reciba los paquetes que se enrutan hacia ella. Lo que ocurra después depende por completo de esa aplicación: puede reenviarlos a un servidor remoto, filtrarlos o descartarlos. El icono de la llave informa de que un servicio tiene la interfaz, no de adónde van los paquetes. Por eso una aplicación de filtrado y un túnel completo se ven iguales en la barra de estado.

adb shell dumpsys connectivity | grep -i vpn
adb shell settings get global always_on_vpn_app

Solo un servicio de VPN puede estar activo a la vez por usuario o perfil, lo cual es un comportamiento documentado y no un error. Cuando una segunda aplicación intenta conectarse, o toma el control o falla, y el tráfico de la primera deja de gestionarse. Si una aplicación de filtrado se cierra en el momento en que conectas un túnel, esa competencia es el motivo probable.

Perfil nativo o VPN de aplicación: no son intercambiables

Un perfil IKEv2 proporcionado por la plataforma y una aplicación que implementa OpenVPN o WireGuard son productos distintos con menús distintos. La API de la plataforma para IKEv2 existe desde una versión concreta de Android, y las compilaciones de los fabricantes no exponen todas las mismas opciones en el mismo lugar. Una captura de pantalla de otro teléfono no es un documento de compatibilidad.

adb shell getprop ro.build.version.sdk
adb shell dumpsys package com.example.vpn | head -40

Empareja el protocolo con el cliente que lo admite y obtén el perfil por el canal verificado del proveedor en lugar de pegarlo en un formulario ajeno. Una dirección de punto final dice dónde conectarse, no qué aplicación puede hablar el protocolo. Trata los perfiles exportados y los códigos QR como credenciales, porque una imagen QR puede contener la llave completa. Si el perfil se emitió para otro cliente, vuelve a emitirlo en vez de convertirlo.

Las reglas por aplicación y los perfiles de trabajo cambian el alcance

Android admite configuraciones de VPN por aplicación, así que un navegador puede quedar fuera del túnel mientras una aplicación de correo está dentro. Los perfiles personal y de trabajo son contextos separados con su propio servicio activo. Comprobar la dirección desde la aplicación equivocada es una de las conclusiones falsas más habituales en este ámbito.

Mira las listas de inclusión y exclusión y luego prueba con la aplicación que de verdad te importa. El túnel del perfil de trabajo no cubre las aplicaciones personales, y el túnel personal no cubre las aplicaciones de trabajo. Esa misma separación explica por qué un recurso corporativo funciona en un perfil y falla en otro sin ninguna diferencia visible de configuración. Anota el contexto del perfil en el ticket, porque cambia incluso qué ajustes se aplican.

Detente si la aplicación que pruebas no está dentro del alcance del túnel. Es una decisión de política, no una avería.

Prueba qué salió realmente del teléfono

Prueba destinos públicos y privados, las dos familias de direcciones y las dos redes de acceso. Luego compara el resultado con el alcance propio de la aplicación, porque una página cargada con éxito en una aplicación no dice nada de la otra. Repítelo tras cambiar de Wi-Fi a datos móviles, ya que una reconexión puede aterrizar en otra ruta.

adb shell ip rule
adb shell dumpsys netpolicy | grep -i vpn

Always-on VPN y la opción que bloquea las conexiones sin VPN están relacionados pero son distintos, y un bloqueo estricto puede romper el inicio de sesión del portal cautivo hasta que sigas el procedimiento documentado. Los ajustes de Private DNS también pueden interactuar con el resolutor del perfil, así que sustituir el DNS de una organización a ciegas crea un fallo nuevo. Si el túnel muere al bloquearse la pantalla, lee la guía para desarrolladores de VPN sobre ejecución en segundo plano y optimización de batería antes de reinstalar nada.

El síntoma que hay que retener es la brecha entre el icono y la ruta. La llave significa que un servicio posee la interfaz; solo una prueba desde la aplicación prevista en la red prevista dice adónde fue el tráfico. Comprueba ambas cosas y el próximo informe de una VPN rota será mucho más fácil de ubicar.