Cómo definir reglas de Wi-Fi de confianza para tu VPN de Android
El cifrado no es confianza, y una app abierta no es un túnel. Fija la lista de redes de confianza y luego decide qué puede salir del dispositivo mientras la VPN conecta.
Abre el cliente de VPN en el teléfono, ve a sus ajustes de conexión automática y encontrarás una pantalla que te pide nombrar las redes donde el túnel puede quedarse apagado. Esa pantalla parece un interruptor de comodidad. Es un documento de política con interfaz de casillas, y la mayoría de la gente lo rellena marcando la red en la que casualmente está parada. En el momento en que lo haces, has respondido a una pregunta de seguridad con un icono de Wi-Fi. Este recorrido desmonta la misma pantalla en el orden en que el cliente la evalúa.
Empieza por lo que la marca afirma de verdad
Una entrada de red de confianza dice que en esta red el cliente puede saltarse el túnel o retrasarlo. Nada en el SSID ni en el candado demuestra que la red se lo merezca. WPA2 o WPA3 protege el enlace de radio entre tu teléfono y el punto de acceso, y no dice nada sobre quién opera el punto de acceso ni qué registra. Un hotel, una cafetería y un espacio de coworking pueden publicar una red protegida con WPA y aun así estar gestionados por alguien a quien no le confiarías una sesión de trabajo.
Wi-Fi Enhanced Open, normalmente llamado OWE, afina la distinción: el enlace está cifrado, pero no hay contraseña compartida ni autenticación de red convencional. El cifrado y la confianza responden preguntas distintas, y un cliente que trata lo cifrado como conocido-bueno los ha fusionado en silencio.
Antes de añadir nada a la lista, decide para qué sirve la VPN. Si transporta acceso a recursos de trabajo privados, quizá hasta tu red doméstica lo necesite y la lista de confianza debería quedarse casi vacía. Si existe para mantenerte fuera de la infraestructura de otros, la pregunta pasa a ser quién opera la red, y esa respuesta rara vez se ve en el teléfono.
| What the phone shows | What it actually proves |
|---|---|
| Padlock with WPA2 or WPA3 | Link encryption to the access point, not the operator's identity |
| SSID matches your home name | A name only; a profile can be renamed or cloned |
| OWE or Enhanced Open | Encryption without a shared secret or network authentication |
| Connected, no internet | Association without validated reachability |
| No SSID visible to the app | Nothing useful; treat it as unknown rather than trusted |
Lee el estado de red que la app sí puede ver
La segunda parada es la condición de activación detrás de la lista. Una automatización sensata evalúa la red que el usuario o la plataforma ya han elegido. No debería escanear un punto de acceso abierto recordado y unirse a él para que su propia regla se dispare, ni debería tratar el Wi-Fi encendido como una red lista.
Android expone esto como hechos separados: Wi-Fi activado, asociado a un punto de acceso, acceso a internet validado y una VPN que ha terminado su apretón de manos. Un portal cautivo se sitúa entre la asociación y la validación, y por eso el túnel a veces falla en una red de hotel que el teléfono llama alegremente conectada. La guía de Android sobre el estado de la red cubre capacidades y callbacks de cambio si escribes tú mismo la automatización.
Android también limita lo que puede saber una app en segundo plano. Los detalles de red dependen de permisos y de la política de la plataforma, y un valor que vuelve como no disponible no es un valor que puedas tratar como fiable. Cuando tu automatización no puede clasificar la red actual, la rama segura es conectar en lugar de suponer.
Mantén el disparador y la aplicación separados
Ahora la parte que esconde la pantalla de ajustes. Una regla de red de confianza es un disparador: decide cuándo debe empezar el cliente. No es una frontera de aplicación, porque una tarea activada por un evento puede ejecutarse después de que otra app ya haya enviado una petición, y porque abrir la app de VPN no es lo mismo que conectar un perfil. Tocar el icono puede dejarte en una pantalla de inicio de sesión sin ningún túnel detrás.
Si el tráfico protegido no debe salir nunca fuera del túnel, incluida la clasificación y la configuración, esa garantía viene de la plataforma: VPN siempre activa con bloqueo de conexiones sin VPN, o una política equivalente de dispositivo gestionado. Añade la lista de confianza después, como una optimización sobre una frontera que ya aguanta.
Trata el inicio de sesión del portal y las peticiones de credenciales por el flujo aprobado. No dejes una contraseña en una tarea de automatización exportada y no desactives el lockdown para que el camino feliz corra sin supervisión. Esos dos atajos son la forma en que una función de comodidad se convierte en el eslabón más débil de la cadena.
Prueba los casos que rompen la suposición
Recorre estos cinco antes de confiar en la configuración: tu red de confianza aprobada, un local WPA desconocido, una red abierta o Enhanced Open, una red cuyo nombre la app no puede leer y un portal cautivo. Para cada una, anota si el túnel subió, cuánto tardó y qué salió del dispositivo mientras aún subía.
Después prueba el relevo. Cuando el Wi-Fi cae y los datos móviles toman el control, ¿sigue describiendo tu regla lo que quieres? Wi-Fi only puede dejar deliberadamente el tráfico móvil fuera de la VPN, pero también puede ser una rama en la que nadie pensó. Haz explícita esa elección en el perfil en lugar de descubrirla en un tren.
Anota la lista de confianza, el comportamiento con redes desconocidas, qué puede comunicarse antes de que el túnel esté levantado y quién es dueño de las excepciones para recursos de trabajo. Un icono de Wi-Fi que parece seguro y una app de VPN abierta no responden ninguna de esas preguntas; la lista y la regla de aplicación sí.