dev tun en Windows sigue mostrando un adaptador TAP. ¿Es un error?
Un adaptador TAP-Windows bajo un perfil dev tun es normal. El controlador de capa 3 es un interruptor opcional, y el registro del cliente, no el nombre del adaptador, dice cuál se ejecutó.
El Administrador de dispositivos muestra un TAP-Windows Adapter V9 mientras el perfil dice dev tun, y el túnel funciona. Esa combinación no es una mala configuración, y alternar el modo de un lado a otro no la cambiará. El nombre del adaptador refleja qué controlador de Windows cargó el cliente, no qué paquetes transporta el túnel. Lee la línea del controlador en el registro del cliente antes de tocar nada.
Por qué un túnel de capa 3 recibe un adaptador Ethernet
Durante la mayor parte de la historia del cliente en Windows no existía ningún adaptador virtual de capa 3 utilizable. La única opción era el controlador TAP-Windows, que presenta una interfaz Ethernet. El cliente emulaba entonces el comportamiento de capa 2 que faltaba para que Windows pudiera configurarlo. Esa emulación es la razón por la que el adaptador sigue pareciendo una tarjeta de red.
Dos piezas de esa emulación son visibles si te fijas: el cliente responde a ARP para la dirección del túnel y sirve un pequeño arrendamiento DHCP a la máquina local. Windows ve por tanto un adaptador Ethernet normal con una dirección MAC y un controlador NDIS, mientras que el túnel en sí transporta paquetes IP desnudos. El disfraz Ethernet pertenece al controlador, no al modo del túnel.
Busca la línea del controlador en lugar de juzgar por el nombre
Dos adaptadores pueden compartir nombre entre versiones del controlador, así que el nombre por sí solo no puede decirte qué se ejecutó. El registro del cliente nombra el dispositivo que abrió, y en compilaciones más recientes también nombra el controlador que seleccionó; esa es la línea que hay que leer.
Comprueba tres cosas en el registro, en este orden: si el cliente abrió algún adaptador, qué controlador informa y si recurrió a uno anterior tras un fallo. Una línea de retroceso es fácil de pasar por alto porque la conexión igualmente se levanta, y el túnel funciona entonces con el controlador antiguo mientras el usuario cree que el nuevo está activo.
Cambia al controlador de capa 3 y comprueba qué debe estar presente
El controlador de capa 3 que distribuye el proyecto WireGuard está disponible desde la versión 2.5 del cliente, pero es opcional. Añadir una sola directiva lo selecciona:
windows-driver wintunEl controlador debe estar instalado en la máquina, y las compilaciones oficiales incluyen una copia firmada. Distribuye esa versión firmada si empaquetas el cliente tú mismo, porque un controlador compilado de forma privada choca con las copias que instalan otros productos VPN. Esos choques producen fallos lentos de atribuir, y suelen aparecer después de que llegue a la máquina un segundo cliente VPN. Un controlador ausente, en cambio, deja una línea clara en el registro.
El controlador también impone permisos más estrictos, así que el cliente crea el adaptador a través de su servicio interactivo ejecutándose como cuenta privilegiada. Inicia el cliente como un proceso de usuario normal sin ese servicio y la directiva puede fallar, lo que deja visible el adaptador instalado previamente y parece que el cambio se ignoró.
Cuándo TAP sigue siendo la respuesta correcta
Si el túnel debe transportar tramas Ethernet, tráfico de difusión o protocolos que no sean IP, se requiere un adaptador de capa 2 y el controlador TAP se deriva de ese requisito. Un diseño puenteado en Windows tiene la misma restricción, ya que la interfaz debe unirse a un dominio de capa 2.
El rendimiento no es una razón para elegir uno sobre otro a nivel de nombre de adaptador. La versión 2.6 añade un controlador de descarga del canal de datos que traslada el procesamiento de paquetes al kernel, y esa es la opción que cambia las características de rendimiento. Es una decisión de capacidades más que un requisito para conectar, y depende de la compilación y del paquete instalado. Un perfil que funciona sin él sigue funcionando.
| What the tunnel must carry | Adapter family | Where it is selected |
|---|---|---|
| IPv4 and IPv6 packets | Layer-3 driver, or the older TAP emulation | Client directive plus installed signed driver |
| Ethernet frames, non-IP protocols | TAP-Windows | Profile mode and the TAP driver package |
| Higher throughput on a supported build | Data-channel offload driver | Client build and driver package, separately from the profile |
Limpia después del cambio
Quitar el adaptador antiguo importa tanto como añadir el nuevo. Una interfaz TAP sobrante puede conservar una dirección y una ruta de una sesión anterior, y esas entradas sobreviven a la conexión que las creó. Elimina el dispositivo obsoleto en el Administrador de dispositivos, vuelve a conectar y confirma que la tabla de rutas ya no lo menciona.
Si hay varios productos VPN instalados, anota qué paquete de controladores trae cada uno antes de depurar el perfil. Dos clientes que instalan compilaciones distintas del mismo controlador son un conflicto que ninguna edición del perfil resolverá. Desinstala el cliente que no uses y reinicia, luego busca adaptadores duplicados en el Administrador de dispositivos. Solo después merece la pena comparar líneas de registro entre los dos productos.