Salir o desconectar: dos resultados distintos de la VPN

El menú ofrece Desconectar, la ventana tiene un botón de cierre y el administrador de tareas ofrece Finalizar tarea. Cada una parece una forma de detener la VPN, y cada una puede dejar el equipo en un estado distinto. Una puede detener el túnel y dejar un bloqueo activo, otra puede limpiarlo todo como parte de una salida ordenada, y una tercera puede limitarse a ocultar la interfaz mientras el componente en segundo plano sigue ejecutándose. Tratar todo eso como sinónimos es justo como una prueba de privacidad llega a una conclusión equivocada sobre lo que ocurrió.

La documentación del cliente es el único lugar fiable para saber cuál es cuál.

Cuatro controles, posiblemente cuatro comportamientos

Desconectar suele desmontar el túnel mientras el cliente sigue residente, lo que significa que un servicio, un componente de la bandeja o una regla del kill switch pueden sobrevivir al clic. Muchos clientes siguen bloqueando el tráfico porque su política dice que el dispositivo no debe caer al acceso directo mientras el cliente esté presente. Ese comportamiento parece una red rota y es una protección deliberada.

Salir está pensado para terminar la aplicación, y un cliente bien educado elimina sus reglas al salir. Algunos diseños dejan en cambio un asistente aparte que aplica la política, y eso es una decisión, no un defecto. Cerrar la ventana es una acción de la interfaz sin efecto definido sobre el túnel, y Pausar, cuando se ofrece, es un cuarto comportamiento con sus propias reglas.

Una caída en el lado del servidor es un quinto camino completamente distinto, y es el que los usuarios encuentran más a menudo.

Lee el estado antes y después de cada acción

Captura la lista de procesos, el estado del servicio y las reglas del cortafuegos antes de la acción, y repite la captura inmediatamente después. Comparar las dos listas muestra qué hizo realmente el control, sin depender de la descripción que da la propia interfaz.

systemctl status wg-quick@wg0 --no-pager
pgrep -a -f 'openvpn|wireguard|vpnagent'
ip link show | grep -E 'tun|wg'
nft list ruleset | grep -E 'drop|reject' | head -20
scutil --nc list

Si las reglas desaparecen junto con el proceso, el cliente era su dueño. Si las reglas siguen ahí cuando el proceso ya no está, algo más aplica la política, y encontrar ese componente va antes de cualquier cambio. Anota el estado del servicio en el mismo momento, porque una interfaz detenida no dice nada sobre un servicio del sistema.

Una desconexión manual no es un fallo

Desconectar ejecuta la ruta de apagado prevista, y un fallo se la salta. Por eso los resultados de uno no se trasladan al otro, así que una prueba que usó una opción del menú no puede sostener una afirmación sobre el comportamiento cuando el cliente muere.

Del mismo modo, un fallo no dice nada sobre una pausa temporal aprobada. Mantén esas tres preguntas separadas en el plan de pruebas y en todo lo que se escriba después. La ruta de apagado también explica por qué una salida limpia puede eliminar reglas que un fallo deja atrás. El mismo botón, otro código, otra evidencia.

Elige el estado no disponible que realmente necesitas

Si el tráfico debe seguir bloqueado siempre que el túnel esté caído, verifica ese requisito durante la acción concreta que te importa, con tráfico inofensivo hacia un destino conocido. Incluye las exclusiones de aplicaciones y las excepciones de red local, porque la aplicación en todo el dispositivo suele ser más estrecha de lo que sugiere su nombre. Luego confirma qué ocurre tras un reinicio, porque es cuando suele aparecer el estado obsoleto.

Si el objetivo es el acceso directo normal, usa el control documentado en lugar de matar procesos o desactivar todo el cortafuegos. Las reglas obsoletas que deja una salida interrumpida son un problema distinto de un bloqueo intencionado, y necesitan otra recuperación.

Anota qué componente se detuvo: el túnel, la aplicación visible o la capa que aplica la política. Esa sola frase evita la mayor parte de la confusión que crean estos controles.