Cliente VPN en el router o modo servidor: qué habilita cada uno

Entras en el router, abres la página de VPN y encuentras dos pestañas que parecen la misma función descrita dos veces: una quiere un archivo de perfil de otro sitio, la otra quiere que generes certificados y elijas un puerto. No son dos vistas de un mismo ajuste. Un rol hace que el router marque hacia fuera, el otro hace que responda, y un equipo puede hacer ambas cosas sin que una ayude a la otra. Aquí tienes cómo leer el menú y decidir en qué lado estás antes de activar nada.

Abre el menú de VPN y lee los nombres de los roles

Empieza por los títulos de las secciones y no por los interruptores. Una pestaña etiquetada como cliente o «conectar a un servicio VPN» espera un perfil importado, un archivo de configuración o un conjunto de credenciales emitidas por otra persona. Una pestaña etiquetada como servidor espera que crees las identidades, elijas un protocolo y un puerto y normalmente exportes un perfil para cada dispositivo que se vaya a conectar.

Trata la frase de marketing de la caja como no verificada hasta que el menú coincida con ella. «Compatible con VPN» puede significar un cliente, un servidor, un asistente de paso de protocolo que solo reenvía paquetes a un dispositivo detrás del router, o una aplicación propietaria de acceso remoto sin ningún perfil estándar. La documentación del firmware es el único lugar que distingue esos casos, y el número de modelo de la etiqueta no.

Modo cliente: tu LAN sale por la salida de otra persona

En modo cliente el router se comporta como un portátil con una aplicación de VPN. Necesita un protocolo compatible, un perfil o credenciales del operador remoto y una decisión de enrutamiento sobre qué dispositivos posteriores usan el túnel. Muchos firmwares ofrecen una lista de políticas donde nombras las direcciones de origen o las interfaces que deben enviarse por el túnel y dejas el resto en la conexión normal.

La parte que falla en silencio es el lado remoto. El punto de conexión al que te conectas debe reenviar tráfico de internet por ti y proporcionar una ruta de retorno, y eso es una política del proveedor, no un ajuste de tu router. Un menú que solo ofrece modo servidor no puede construir este servicio hacia fuera por mucho que se configure, y un proveedor que solo admite enlaces entre sedes puede conectar el túnel con éxito pero descartar todo lo que envíes por él.

Después comprueba cómo gestiona el túnel el DNS. Si el perfil empuja un resolutor, el router debería pasar ese resolutor a los clientes posteriores; si no lo hace, los clientes siguen usando el resolutor del proveedor de internet y resuelven nombres fuera del túnel aunque los paquetes vayan dentro. Una comprobación rápida desde un portátil conectado: la dirección que ves en una página de eco de IP debería ser la salida, y la dirección del resolutor en uso debería ser la que ha suministrado el túnel.

Modo servidor: alguien entra en tu LAN

El modo servidor invierte la dirección. El router escucha, el dispositivo viajero se conecta, y luego el router decide a qué recursos de casa puede llegar esa conexión. Este es el rol que quieres para un NAS, una máquina de laboratorio o una impresora, y tiene una precondición que el rol de cliente no tiene: algo de fuera debe poder llegar al oyente.

Esa precondición es donde se atascan la mayoría de las instalaciones domésticas. Si el router está detrás de la propia pasarela del proveedor de internet, el puerto VPN tiene que reenviarse desde esa pasarela, o hay que poner el router en modo puente o DMZ. Detrás de NAT de nivel de operador no hay ningún puerto entrante que reenviar, así que el diseño tiene que cambiar: un túnel saliente del router hacia un relé, un punto de conexión alojado o un producto de malla. Un servidor al que no se puede llegar no está mal configurado, es inalcanzable.

Las identidades también cambian según el rol. Un perfil de cliente doméstico que lo envía todo a una salida de pago es un único secreto compartido, mientras que un servidor que admite tres teléfonos y un portátil necesita cuatro identidades que puedas revocar por separado. Los certificados y las claves son por dispositivo, y la página de exportación del router debería darte un archivo por dispositivo en lugar de un archivo para toda la casa.

Comprueba la implementación exacta antes de comprometerte

La documentación de Netgate sobre cómo elegir un rol de VPN separa los roles de esta manera, y merece la pena leer la página equivalente de tu firmware en lugar de deducirlo de los nombres de las pestañas. Busca tres hechos concretos: qué protocolos puede hablar el cliente, si el servidor admite el protocolo que usan tus dispositivos y si la política de enrutamiento cubre direcciones de origen, interfaces enteras o nada en absoluto.

Luego mira el límite de soporte. Un router de consumo con pestaña de cliente pero sin lista de políticas enviará todos los dispositivos por el túnel, lo que está bien para un aparato de streaming y mal para un portátil de trabajo que necesita el túnel de la oficina. Un router con pestaña de servidor pero un solo perfil compartido es una herramienta de laboratorio razonable y una mala elección para una familia, porque revocar un dispositivo significa cambiar la configuración de todos.

Elige el rol según dónde empieza el tráfico

Recorre la fila elegida de principio a fin antes de cambiar nada más. Activa el rol, conecta un cliente, confirma la dirección con la que aparece, confirma qué resolutor usa y confirma la ruta de retorno en la dirección opuesta. Si el router también tiene una página de cortafuegos, comprueba que la nueva interfaz no quede bloqueada por una regla predeterminada escrita cuando el túnel aún no existía.

Cuando ambos roles están disponibles y el requisito es de verdad ambos, ejecútalos como funciones separadas con documentación separada. Un router puede marcar hacia fuera para la televisión y aceptar a la vez una conexión de teléfono al NAS, pero las dos políticas no deben compartir una subred, un ajuste de DNS ni una zona de cortafuegos, o el primer cambio que hagas para una romperá la otra.