La notificación de VPN de Android muestra una dirección privada: qué significa

Bajas la cortina de notificaciones, pulsas la notificación persistente de VPN y aparece algo como 10.13.0.42/30 junto a un estado conectado. Ese número es la dirección que la app asignó a su propia interfaz virtual en tu teléfono, así que describe un objeto de red local, no el servidor al que llegaste ni la dirección que registrará una web. Nada en ella es secreto, y nada demuestra que tu tráfico esté cubierto. El orden que sigue es el que uso para averiguar qué dice realmente una notificación, desde el teléfono en la mano hasta una comprobación real de la dirección.

Empieza por la notificación, no por un cuadro de búsqueda

Un cliente moderno de Android suele mostrar dos cosas distintas en el mismo panel: un estado de conexión y un bloque de dirección. El estado dice que el túnel está levantado. El bloque de dirección dice qué configuró la app en el lado del teléfono de ese túnel, y los clientes lo imprimen porque es la prueba más fácil que tienen de que la interfaz existe.

Mantén pulsada la notificación y abre la página de información de la app antes de hacer cualquier otra cosa. Anota el nombre del paquete y fíjate en si la app está en tu perfil personal o en un perfil de trabajo. Dos clientes de VPN con iconos parecidos pueden convivir en un mismo dispositivo, y la cortina no siempre nombra el que supones. Si el icono no te resulta familiar, ese es el hallazgo, y la dirección es una distracción.

Existen tres direcciones al mismo tiempo

Tu teléfono tiene una dirección Wi-Fi o móvil, la app tiene una dirección en su interfaz de túnel y alguna gateway remota tiene la dirección de origen pública que ve el mundo exterior. Son tres asignaciones separadas, y ninguna puede deducirse de las otras dos.

La dirección del túnel en la notificación es casi siempre privada. 10.13.0.42 está dentro de 10.0.0.0/8, uno de los rangos reservados por RFC 1918, así que cualquier proveedor puede repartir ese mismo número. Verla te dice que la app usó un grupo privado, no dónde se aloja ese grupo. Dos teléfonos en continentes distintos pueden informar el mismo valor.

Esa reutilización es la razón por la que la dirección no puede servir como huella. Un segundo proveedor puede usar el mismo bloque, porque nada coordina los grupos entre empresas. Los proveedores los eligen por costumbre y por lo que su configuración de gateway ya espera.

Lee /30 como prefijo, no como recuento

El número después de la barra es la longitud del prefijo. Aquí /30 significa treinta bits de prefijo de red, lo que deja dos bits para hosts, así que el bloque cubre desde 10.13.0.40 hasta 10.13.0.43. No son treinta dispositivos, ni un servidor a treinta saltos.

Los prefijos pequeños como este son habituales en enlaces de túnel punto a punto: una dirección utilizable para el teléfono y otra para el extremo remoto. Que la app mantenga de verdad ese diseño es una propiedad de su configuración. Trata el prefijo como una pista sobre cómo se diseñó la app, no como un mapa de la red del proveedor.

Confirma el túnel desde el teléfono

Ajustes, luego Red e internet, luego VPN enumera el perfil activo y la app que lo posee. Esa pantalla es la autoridad sobre qué cliente está conectado. La notificación es solo su resumen. Cuando ambas discrepan, confía en la pantalla de ajustes y trata la notificación como obsoleta.

Si estás construyendo una integración de diagnóstico autorizada, el objeto Network seleccionado expone direcciones de enlace y un nombre de interfaz mediante LinkProperties. Anota el perfil y la red en la que tomaste la muestra, porque una instantánea tomada en la red equivocada responde a una pregunta que nadie hizo.

El acceso por shell es menos fiable de lo que la gente espera. Los nombres de interfaz varían según la versión y el fabricante. Un filtro que solo coincide con una línea IPv4 que contiene tun omitirá en silencio las asignaciones IPv6 y cualquier cliente que nombre su interfaz de otra forma. Lee el listado completo antes de estrecharlo.

Mira qué ve una web desde la app que te importa

Carga un comprobador de direcciones público en el navegador y repite la comprobación dentro de la app que de verdad quieres proteger. Si ambos informan de la misma dirección de origen, el túnel transporta a los dos. Si difieren, hay enrutamiento por app o túnel dividido en juego.

Dos configuraciones producen una notificación sana sin ninguna salida remota. Una app de filtrado local puede crear una interfaz de túnel para inspeccionar DNS o bloquear anuncios sin ningún servidor. Una VPN solo privada puede construirse para llegar a una red doméstica mientras la navegación normal sigue siendo directa. En ambos casos la dirección de la cortina es real y la cobertura que suponías no lo es.

Decide si la notificación merece un segundo vistazo

Una notificación de VPN inesperada merece investigarse como app instalada, no como dirección. Revisa el propietario del perfil, los permisos de administrador del dispositivo y todo lo añadido desde la última vez que revisaste esa lista. Revoca lo que no puedas explicar y vuelve a mirar la cortina. Si la notificación vuelve con un perfil que reconoces, ya tienes la respuesta. Si vuelve sin ninguno, algo más está iniciando la app.

Después cierra el círculo: app propietaria, perfil activo, dirección de origen desde la app que te importa y ruta esperada. Si las cuatro coinciden, el número de la notificación es solo contabilidad y nada más.