Comprueba el papel de cliente del router antes de importar un perfil VPN

Una página de especificaciones con un logotipo de VPN dice que la caja puede hacer algo con VPN. No dice que el firmware pueda actuar como cliente para el protocolo del archivo que tienes en la mano. Son capacidades distintas con requisitos distintos, y la brecha entre ellas es donde fallan la mayoría de estas compras. Comprueba el papel antes que la marca.

Cuatro comprobaciones convierten una lista de funciones en una respuesta.

Un logotipo de VPN no es una declaración de capacidades

Los routers anuncian compatibilidad con VPN en al menos tres sentidos: paso para el tráfico de otros dispositivos, un servidor que acepta túneles entrantes y un cliente que inicia un túnel saliente. Solo el tercero consume el perfil que has descargado. El paso de IPsec en particular es un auxiliar de NAT y no un extremo, y aparece en dispositivos que no pueden terminar ni iniciar IPsec en absoluto.

Pregunta qué papel necesita el archivo y luego pregunta si ese papel existe en la versión de firmware del dispositivo.

Lee la lista de funciones del firmware que ejecutas de verdad

Los nombres de modelo no son versiones de firmware, y una guía escrita para la versión principal anterior describe otro conjunto de funciones. En OpenWrt la pregunta se responde desde una shell: opkg list-installed | grep -E "openvpn|wireguard" muestra si los paquetes de cliente están presentes, y el módulo del núcleo de WireGuard está separado de las herramientas de espacio de usuario. En un dispositivo de un fabricante, lee las notas de la versión instalada en lugar de la página de marketing del modelo.

Si la capacidad llega como paquete, confirma que está instalado y no solo disponible en el repositorio.

Ajusta el formato del perfil al importador

Un perfil OpenVPN es un lenguaje de directivas. Un archivo de par de WireGuard es un INI con una clave privada y una lista de IP permitidas. Las credenciales de IKEv2 son un certificado o un nombre de usuario más una identidad de servidor. Un formulario de router que acepta uno de ellos no traducirá los otros, y un botón de importación que dice aceptarlo todo merece desconfianza.

Abre el archivo y lee las diez primeras líneas. Eso te dice qué importador necesitas antes que cualquier menú.

Comprueba las opciones que el perfil usa de verdad

La compatibilidad con el protocolo no es compatibilidad con tu perfil. Mira las directivas que llevan las propiedades de seguridad: certificados en línea, tls-crypt o tls-auth, elección de cifrado y de cifrado de datos, compresión y ganchos de script. Una implementación de router puede aceptar el archivo e ignorar en silencio una directiva que no implementa, lo que produce un túnel que se conecta y se comporta distinto del de tu portátil.

El resultado peligroso no es una importación rechazada. Es una importación aceptada que ha dejado caer algo en silencio.

Prueba la política, no solo el apretón de manos

Decide qué debe llevar la conexión: un segmento o todos los dispositivos, qué resolución DNS, si IPv6 entra en el túnel o se queda local y qué ocurre cuando el túnel cae. Son funciones distintas del establecimiento, y es aquí donde un router más se diferencia de un cliente de escritorio. Mantén la administración local accesible mientras pruebas, o el primer error de enrutamiento te costará el acceso físico.

Un apretón de manos completado es el comienzo de la verificación. Envía tráfico real a un destino real y comprueba el camino de vuelta.