VPN en Wi-Fi público: portal, cobertura y política de caída
Una VPN cambia quién puede observar tu tráfico, no si un portal de hotel lo bloquea. Compara el manejo del portal, la cobertura de aplicaciones y el comportamiento del kill switch.
El Wi-Fi público no es una sola amenaza, así que una VPN no es una sola respuesta. Oculta tu tráfico de la red local y traslada la confianza al operador, mientras HTTPS sigue protegiendo el tramo entre el navegador y el sitio. Los fallos prácticos en redes de hoteles y cafeterías son la página de inicio de sesión, la cobertura parcial y lo que ocurre durante una caída. Compara esas tres cosas antes de decidir que el túnel funciona.
Qué añade el túnel en una red no confiable
En una red abierta, un observador cercano puede ver a qué extremo te conectas y cuánto tráfico circula. El túnel sustituye esa vista por un flujo cifrado hacia el servidor VPN y convierte al operador en una nueva parte de confianza. No mejora la seguridad propia del sitio.
HTTPS sigue siendo la protección entre el navegador y el sitio, y debe permanecer activado. Un formulario HTTP no se vuelve confidencial porque un segmento cruce un túnel. Un aviso de validación de certificado es una señal de alto, no un obstáculo para hacer clic y seguir.
| Layer | What it protects | What remains visible |
|---|---|---|
| HTTPS | Browser-to-site content | Server name, sizes, timing |
| VPN tunnel | Traffic to the VPN endpoint | VPN use, volume, timing |
| Portal login | Nothing by itself | Details you type at admission |
Primero completa el portal cautivo
Los hoteles y las cafeterías suelen bloquear el tráfico normal hasta que se completa el paso del portal. El extremo de la VPN es tráfico normal, así que el cliente no puede conectarse hasta que ese paso esté hecho. Usa la ventana de inicio de sesión del propio dispositivo y confirma que el operador corresponde al local.
Si aparecen varios SSID parecidos, pregunta al personal cuál es el real. Un nombre que parece oficial no es identidad, y una VPN no puede retirar una contraseña escrita en una página falsa. Algunos clientes interceptan los portales por su cuenta; si una política siempre activa bloquea el inicio de sesión, sigue el procedimiento de pausa documentado del cliente y vuelve a activar el túnel después.
La cobertura depende del túnel, no de la etiqueta
Una VPN de sistema puede transportar la mayoría de las aplicaciones, mientras que una extensión del navegador solo transporta ese navegador. Si la cobertura en redes públicas es la razón por la que te conectaste, lee las exclusiones del túnel dividido antes de dar por hecho que todo está dentro. El punto de acceso sigue viendo tu dispositivo en su red y el tráfico hacia el extremo de la VPN. El momento, el volumen y los datos que diste al entrar siguen siendo visibles.
Ese intercambio es el sentido del túnel: menos observadores para el contenido, no invisibilidad. Anota qué aplicaciones quedan realmente cubiertas.
Decide qué pasa cuando el túnel se cae
La itinerancia entre puntos de acceso o despertar el dispositivo puede interrumpir la conexión. La reconexión automática intenta restaurar el túnel; un kill switch decide si se permite tráfico directo en ese intervalo. La desconexión manual, cerrar la aplicación y un fallo inesperado pueden seguir reglas distintas.
Prueba esas transiciones con tráfico inofensivo y confirma el comportamiento que esperas, no el que insinúa una página de marketing. Mantén el sistema operativo actualizado, desactiva el uso compartido de archivos que no necesites y usa el cortafuegos del equipo donde ayude.
Cuando termine el viaje, elimina las redes de invitados a las que no quieras unirte automáticamente. Guarda un perfil que funcione antes de viajar, porque una página de configuración es inútil cuando la red es justo lo que no puede conectar.