El modo puente no es el paso de VPN: qué cambia cada uno
El modo puente cambia el papel de reenvío del router; el paso de VPN solo deja cruzar el VPN de un cliente. Ninguno crea un túnel, así que no son intercambiables.
El modo puente y el paso de VPN aparecen en el mismo hilo de solución de problemas porque ambos se ofrecen como arreglo para una VPN que no conecta. Describen funciones distintas del router y ninguno de los dos crea un túnel VPN por sí solo. El puenteo cambia cómo se une un dispositivo a los segmentos de red o quién hace el enrutamiento; el paso decide si el tráfico de la VPN de un cliente puede cruzar una puerta de enlace. Elegir mal convierte un problema pequeño en una tarde entera de reasignación de direcciones.
Dos etiquetas, dos funciones distintas
La prueba es sencilla: ¿intentas cambiar la forma de la red o dejar pasar por ella un tráfico que ya existe? Son peticiones distintas con consecuencias distintas.
La comparación en una tabla:
| Setting | What it actually does |
|---|---|
| Bridge mode | Changes the device's forwarding role: a modem bridge hands routing and NAT downstream, a software bridge joins selected interfaces |
| VPN pass-through | Lets a client's VPN traffic cross the router; the credentials and encryption stay with the client |
| Router VPN client | Terminates the tunnel on the router, so the router becomes the endpoint |
| Router VPN server | Accepts inbound tunnels, which needs an upstream path that can reach it |
Solo las dos últimas crean un túnel en el router. El puenteo y el paso dejan el punto final en otro sitio, por eso ninguno puede arreglar un problema causado por un cliente ausente o un servidor inalcanzable. La distinción se pierde con facilidad porque los ajustes están cerca unos de otros en la misma interfaz. Anota qué punto final posee el túnel antes de abrir esa página.
Una casilla de paso tampoco es una descripción completa del soporte de protocolos. El cruce NAT moderno de IPsec usa encapsulación UDP estandarizada, mientras que las funciones auxiliares antiguas tienen un comportamiento específico de cada implementación.
Una etiqueta comercial que dice compatibilidad con VPN no te dice a cuál de estos cuatro papeles se refiere.
Qué cambia el modo puente en tu dispositivo
En un módem o router, la opción puente suele trasladar las responsabilidades de enrutamiento y NAT a otra puerta de enlace aguas abajo. En un dispositivo de software puede significar unir interfaces locales seleccionadas en un solo dominio de difusión. El alcance exacto depende del producto, así que lee la documentación del modelo y no la de la palabra. Ambas interpretaciones cambian la asignación de direcciones, los límites del cortafuegos y cómo llegas a la administración.
Esa última parte es la razón por la que el puenteo es una mala primera respuesta a un fallo de VPN. Puedes perder la ruta de gestión mientras el problema original sigue sin resolver.
Guarda una copia de seguridad de la configuración antes de cambiar el papel de la red, porque el direccionamiento puede moverse con él.
Elige el papel antes del ajuste
Para enviar el tráfico del hogar por una salida externa, necesitas un cliente VPN de router compatible, no un puente. Para conectar de vuelta a casa desde otro lugar, necesitas el papel de servidor y una ruta aguas arriba que pueda alcanzarlo. Esos dos requisitos no tienen casi nada en común más allá de la palabra VPN. Decide cuál estás construyendo antes de mirar un menú.
Un dispositivo puede admitir ambos papeles y aun así no admitir el que necesitas al ritmo que esperas.
El papel es una decisión de diseño; el ajuste es una consecuencia de ella.
Si solo falla un protocolo
Cuando un protocolo falla detrás de un router que por lo demás funciona, investiga primero el transporte y la ruta NAT de ese protocolo. Cambiar todo el modo de la puerta de enlace para arreglar a un solo cliente equivale a recablear una casa porque se ha roto una lámpara. Comprueba si el tráfico va encapsulado en UDP, si la función auxiliar del router se aplica a ese protocolo y si el fallo es simétrico. Después decide si un cambio de papel está realmente justificado.
RFC 3948 describe la encapsulación UDP que hace que IPsec sobreviva al NAT, y es el estándar que conviene revisar antes de confiar en una casilla de paso.
Anota qué cambiaste y por qué, porque la siguiente persona encontrará el dispositivo en modo puente y supondrá que fue deliberado. El resultado correcto es una red cuya forma elegiste tú, no una heredada de una sesión de solución de problemas.