Cómo evitar que tu portátil se una automáticamente a un punto de acceso antiguo

El dispositivo se une a un punto de acceso antiguo antes de que arranque la VPN, y luego el túnel se levanta sobre una red que nadie eligió. Ese orden de los hechos es todo el problema. A qué red se une el dispositivo es una decisión del sistema operativo, y si el túnel está levantado primero es una decisión de política del cliente. Viven en lugares distintos, y arreglar uno no arregla el otro.

Decide cuál de los dos necesitas cambiar de verdad antes de empezar a hacer clic.

Qué capa posee la decisión de unirse

Las redes guardadas y la unión automática pertenecen al sistema operativo: los ajustes de Wi-Fi en macOS, la lista de redes guardadas en Android, la lista de redes conocidas en Windows. Un cliente de VPN solo puede influir en esto donde el proveedor ofrece una integración explícita, y la mayoría no lo hace. Suponer que el túnel controla el orden de unión lleva a cambiar ajustes de VPN que nunca estuvieron implicados.

El trabajo del túnel empieza cuando el enlace está levantado. No tiene voto sobre cuál es ese enlace.

Borra bien la red guardada

Elimina la entrada en lugar de rebajar su prioridad. En la mayoría de las plataformas, una red olvidada no volverá a unirse automáticamente, mientras que una con prioridad baja sí lo hará cuando no haya nada mejor. Confirma que la conexión de casa o de trabajo prevista sigue ahí antes de terminar, y no elimines entradas gestionadas sin el proceso del propietario. En un dispositivo gestionado, la entrada puede ser empujada por política y reaparecer tras eliminarla, lo que es una cuestión de soporte y no de ajustes.

Aquí la referencia es la documentación de la propia plataforma, no una guía de terceros escrita para otra versión. La nota de Apple sobre olvidar una red Wi-Fi es la versión corta para macOS.

Un SSID recordado no es el lugar en el que confiaste

Un nombre guardado es una cadena. Un punto de acceso puede emitir el mismo nombre desde un lugar completamente distinto, y así es como un dispositivo se une a algo que solo parece familiar. Comprueba la red antes de introducir credenciales del portal, y trata una página cautiva inesperada en un SSID conocido como una señal y no como una molestia. Ese riesgo es distinto de la unión automática, aunque olvidar la red reduce ambos. Los locales de cadena reutilizan el mismo SSID en cada sucursal, así que el nombre puede ser genuino en dos ciudades y hostil en una tercera.

La coincidencia de nombres es comodidad, no autenticación.

Comprueba el arranque de la VPN por separado

La conexión automática y el bloqueo fuera del túnel son dos políticas distintas, y un cliente puede tener una sin la otra. Un dispositivo puede unirse a una red, estar en línea un rato y solo entonces establecer el túnel. Prueba con tráfico no sensible para observar el orden de arranque y qué ocurre en un cambio de red corriente. Un perfil que se reconecta más tarde no te dice nada sobre el intervalo anterior.

Si ese intervalo importa, el control que necesitas es la política de bloqueo, no el ajuste de conexión automática.

Qué hacer con los portales cautivos

El bloqueo estricto rompe los portales cautivos por diseño, porque el portal necesita tráfico que el túnel capturaría de otro modo. Usa un procedimiento de arranque aprobado, mantenlo documentado y no desactives ajustes no relacionados cada vez que una página no carga.

Ese procedimiento es una decisión con un propietario. Sin propietario, la gente inventa su propia versión, y la versión inventada suele desactivar la protección de forma permanente.