Iniciar una segunda VPN sustituye el estado de la primera

Dos clientes, dos iconos de conectado y la creencia de que el tráfico ahora pasa por ambos. Compare esa creencia con lo que cada plataforma permite realmente. Un teléfono suele tener exactamente una ranura para un servicio VPN; un escritorio puede ejecutar varios clientes que compiten por las mismas rutas y el mismo resolutor. La diferencia entre esas dos situaciones explica la mayoría de los informes de una VPN que cae cuando se inicia otra.

Los iconos describen procesos, no una cadena.

Una ranura en el teléfono, varios aspirantes en el escritorio

En Android, la plataforma ofrece un modelo de servicio VPN con una única VPN activa por perfil de usuario, así que iniciar una segunda detiene la primera. Es el sistema aplicando su propia regla, no un fallo de ninguno de los clientes. En un escritorio, varios clientes pueden seguir ejecutándose a la vez y entonces compiten por la tabla de enrutamiento, las reglas de política, la configuración del resolutor y las interfaces virtuales. Ambos resultados son la plataforma funcionando según su diseño.

Ninguno de los dos resultados produce por sí mismo un túnel anidado. Una cadena requiere que un túnel transporte los paquetes cifrados del otro, y eso es una arquitectura, no una casualidad de orden.

Qué sobrescribe el segundo cliente

El segundo cliente suele instalar una ruta predeterminada, añade sus propias reglas e impone su propio resolutor. El primero puede sobrevivir como un proceso sin tráfico o conservar una ruta que ya no gana. Las rutas específicas de dominio son la víctima habitual, y por eso algunos destinos siguen funcionando mientras otros fallan. El síntoma visible es una desconexión, y el estado real es una sustitución parcial.

Una comprobación de la IP de salida no revelará esto. Informa de una dirección para un destino y no dice nada sobre qué rutas se sobrescribieron o qué resolutor responde ahora. Para ver el daño, lea la tabla de enrutamiento y el estado del resolutor.

El anidamiento es un diseño, no un orden de clics

Si la intención es el anidamiento, documente la ruta exterior de cada extremo, su política de fallo y las consecuencias para la MTU. Decida qué ocurre cuando el túnel exterior cae mientras el interior todavía cree estar conectado. Iniciar los clientes en un orden afortunado no es una configuración, porque la siguiente actualización o reconexión los reordena. Un arreglo anidado necesita el mismo cuidado que cualquier otra topología.

Cuando una conexión es para el trabajo y otra es personal, apóyese en el aislamiento o el arreglo gestionado que la plataforma admita. Arrancar los controles corporativos no es una estrategia de separación.

Verifique con la aplicación, no con el icono

Ejercite las aplicaciones que de verdad importan, desde cada contexto que piense usar, e incluya el comportamiento del resolutor y las reconexiones en la prueba. Una dirección de salida final no puede identificar cada ruta sobrescrita, y un icono verde no puede identificar ninguna de ellas. Anote quién posee la conexión y qué combinación se admite realmente.

Si un producto no admite explícitamente la coexistencia con otro, un cambio aleatorio de ruta o de permiso no producirá un despliegue mantenible. Producirá uno que funcione hasta la próxima actualización.

Anote qué cliente posee la ruta predeterminada, qué resolutor responde y qué ocurre cuando cada uno se detiene.