¿Teléfono fuera de la VPN? Túnel en el router o cliente por dispositivo

El portátil está conectado a la VPN, el teléfono está en la misma Wi-Fi y, aun así, el teléfono navega desde la dirección del ISP. No es un fallo del cliente: un túnel vive en la máquina que lo termina y nada más lo hereda por cercanía. La cobertura solo se extiende cuando el router ejecuta el cliente, o cuando una máquina se convierte a propósito en puerta de enlace para la LAN. Qué modelo quiere se decide por tres cosas: el protocolo que su proveedor habla de verdad, cuánto se deben tratar de forma distinta los dispositivos y qué fallo puede soportar a las nueve de la noche.

Qué cubre realmente un túnel en el router

Cuando el túnel termina en el router, todos los dispositivos que enrutan a través de él comparten la salida. Ese es el atractivo para un televisor, una consola o un electrodoméstico que nunca ejecutará un cliente: nada que instalar, nada que mantener actualizado y un solo lugar donde cambiar de proveedor.

La cobertura es condicional de formas que sorprenden. Una red de invitados o un segundo SSID con su propia política toma la ruta que define esa política, no el túnel. Una ruta IPv6 puede saltarse un túnel que solo transporta IPv4. Un dispositivo con su propia aplicación VPN o su propio resolutor cifrado ignora el router por completo. Y el tráfico propio del router, incluidas actualizaciones y DNS, sigue su política de salida, que es una ruta distinta de la del tráfico reenviado de la LAN.

La verificación es la misma en ambos modelos y tarda un minuto: pregunte a dos dispositivos qué dirección ve el mundo y luego revise la lista de conexiones del router para ver el túnel. Si el teléfono informa de la dirección del ISP mientras el router muestra un túnel establecido, el teléfono no está siendo enrutado por él, y ninguna reconexión cambiará eso.

Dónde gana el cliente por dispositivo

Los clientes por dispositivo ganan en cuanto los requisitos divergen. Un portátil de trabajo puede necesitar un túnel corporativo al que el teléfono no debe unirse; un cliente de proveedor puede ofrecer túnel dividido por aplicación, algo que un router no puede expresar; una consola puede necesitar quedarse fuera para mantener su tipo de NAT. Además, cada dispositivo falla por su cuenta, así que una suscripción caducada no silencia toda la casa.

Las credenciales son el argumento más afilado. Un router que se conecta en nombre de todos sostiene una sola cuenta, y cada persona de esa red hereda su acceso. Si la intención es autenticar a cada persona antes del acceso a internet, un túnel en el router por sí solo no puede hacerlo. El diseño habitual es un portal cautivo que valida la cuenta y luego suelta al cliente en un túnel ya establecido, lo que son más piezas móviles de las que la mayoría de los hogares quiere.

El soporte de protocolos decide más casos que la preferencia

Los routers de consumo solo exponen los protocolos que el fabricante incluyó. Un router con PPTP, L2TP o IPsec simple no puede conectarse a un proveedor que solo publica perfiles OpenVPN o WireGuard, y ninguna configuración cambia eso. Las opciones honestas son un proveedor que hable un protocolo compatible, un router con OpenWrt u otro firmware con el cliente que necesita, o un cliente en cada dispositivo.

El caso inverso es igual de común: un router compatible con OpenVPN no puede usar un proveedor cuyo servicio depende de un cliente propietario y de sus propios trucos de enrutamiento. Lea la página de protocolos compatibles del proveedor antes de comprar hardware y compruebe la versión del firmware, porque «compatible con WireGuard» en una página de producto suele significar una generación concreta de firmware.

Un router de viaje con cliente WireGuard es la versión barata del modelo de router y una respuesta razonable para un puñado de dispositivos que no pueden ejecutar un cliente. Sigue siendo un túnel en el router, así que todo lo anterior sobre redes de invitados, IPv6 y fallo compartido se aplica sin cambios.

La tercera opción: una máquina como puerta de enlace

Compartir un cliente desde un portátil es posible, y es lo que la gente suele querer decir con convertir el portátil en un router.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Funciona hasta que la máquina se suspende, el cliente se reconecta a otro perfil o el cortafuegos de la máquina descarta paquetes reenviados. Entonces todo lo que está detrás pierde la conectividad a la vez, y el fallo parece una red muerta en lugar de un problema de VPN.

Para un laboratorio o un montaje temporal está bien. Como arreglo permanente convierte un portátil en el único punto de fallo de un hogar, y suele acabar con alguien preguntándose por qué el televisor dejó de funcionar cuando se cerró una tapa.

Puertos de entrada, DNS y el fallo que comparte

Los servicios entrantes se mueven con el túnel. Una VPN en el router suele romper el reenvío de puertos para un servidor de la LAN, y un nombre DNS dinámico debe apuntar a la salida de la VPN en lugar de a la dirección del ISP si el servicio debe ser accesible a través del túnel. Algunos proveedores no ofrecen ninguna dirección entrante enrutable, lo que termina en silencio con cualquier plan que dependiera de una.

El DNS sigue al router cuando el router es dueño del túnel, lo cual es cómodo hasta que un dispositivo necesita otro resolutor. Un cliente por dispositivo puede expresarlo; una política de router no puede sin partir la red en dos. El fallo también se comparte, porque un cierre inesperado, una suscripción caducada o una ruta empujada defectuosa desconectan todos los dispositivos en el mismo momento.

Elija el modelo de router cuando los dispositivos no puedan ejecutar clientes y una sola salida sea aceptable. Elija clientes por dispositivo cuando las políticas difieran, cuando el proveedor necesite un protocolo que el router no tiene o cuando la cuenta no deba compartirse. Si una máquina es la puerta de enlace, anote qué interfaz comparte qué red y pruebe el caso de túnel caído, porque ese es el estado en el que la mayoría de estos diseños resultan estar mal.