Un segundo router como puerta de enlace VPN: qué no resuelve

Poner un segundo router detrás del principal es una forma limpia de dar a unos pocos dispositivos otra salida. Es también donde la gente espera más aislamiento del que el dispositivo ofrece. La red principal conserva su camino habitual, y la red posterior sigue la política del segundo router. Lo que ocurre entre ellas, y lo que ocurre cuando falla el túnel, es la parte que merece planificación.

La instalación funciona. Los mitos tratan de qué protege. Sigue siendo un diseño útil; sencillamente no es una frontera de seguridad por sí solo.

Mito: el segundo router aísla el túnel por completo

Los dispositivos detrás de la segunda puerta de enlace siguen su política. Los dispositivos de la red principal no heredan ese túnel, y de eso se trata. Pero el segundo router aún tiene una ruta ascendente a través del primero, y esa ruta es una relación que hay que gestionar.

El segundo router también necesita un perfil de cliente VPN. Una función que solo acepta conexiones VPN entrantes no crea un túnel saliente hacia un proveedor. Comprueba el soporte de cliente del firmware antes de comprar el hardware.

Da a la red posterior una subred que no se solape. Copiar un rango de ejemplo sin comprobar las redes existentes es una forma fiable de crear un rompecabezas de enrutamiento.

Mito: el doble NAT es solo la encapsulación de la VPN

Dos puertas de enlace enrutadas pueden crear doble NAT, y eso es independiente de la encapsulación propia de la VPN. El tráfico saliente ordinario suele funcionar. El acceso entrante a servicios requiere un diseño deliberado, a menudo una redirección de puerto en ambos dispositivos o un enfoque completamente distinto.

La capa extra de traducción también hace que los registros sean más difíciles de leer. Una dirección de origen en el registro del router principal puede pertenecer al segundo router en lugar del dispositivo que estás depurando. Merece la pena saberlo antes de perseguir un dispositivo fantasma.

Escribe el plan de direcciones antes de encender nada.

Mito: el descubrimiento cruza porque ambas LAN navegan bien

Ambas redes pueden navegar por internet mientras el descubrimiento entre ellas falla. Un teléfono en el Wi-Fi principal puede no encontrar un televisor detrás de la puerta de enlace VPN, porque el descubrimiento multicast no cruza una frontera enrutada de forma predeterminada. Si eso importa, necesitas un reflector o una topología distinta. El éxito al navegar no es prueba de descubrimiento local.

Mantén la interfaz de gestión del segundo router accesible desde una ruta autorizada sin publicarla en la WAN. Guarda la configuración de ambas puertas de enlace antes de cambiar rutas.

Prueba DNS e IPv6 además de la dirección de salida visible. Un túnel que solo transporta IPv4 puede filtrar la otra familia. Escribe ambos resultados en el registro de cambios.

Qué te aporta realmente la segunda puerta de enlace

Hace visible el alcance. Puedes señalar un dispositivo y decir qué red sigue el túnel, y el hogar conserva su camino habitual. Esa claridad merece el hardware extra en muchos hogares.

Sigue siendo otro dispositivo que mantener, con credenciales, firmware y un proceso de recuperación. Decide si los dispositivos posteriores deben detenerse o volver cuando falla la VPN, y prueba ese comportamiento. La puerta de enlace no elimina el trabajo operativo; lo concentra. La receta del cliente pfSense WireGuard cubre el lado del túnel en una plataforma común.