Dos VPN en un mismo teléfono: elija la disposición, no el número de aplicaciones

Usar dos VPN no es una sola solicitud. Puede significar llegar a dos organizaciones una tras otra, mantener separadas las aplicaciones de trabajo y las personales, o ejecutar un túnel dentro de otro. Android trata esos tres casos de formas completamente distintas, y el número de aplicaciones VPN instaladas en el teléfono no es la arquitectura. La pregunta que los separa es simple: ¿tienen que existir dos rutas en el mismo momento para la misma aplicación?

Tres disposiciones, una pregunta

Si la respuesta es no, porque las dos redes se usan en momentos diferentes, usted quiere un cambio deliberado. Si la respuesta es no porque las aplicaciones mismas están separadas, usted quiere una separación de perfiles, en la que cada aplicación se sitúa en el contexto que posee su túnel. Si la respuesta es sí y una ruta tiene que llevar físicamente la otra, usted quiere una cadena, y es la única de las tres en la que el orden forma parte del diseño.

Todo lo demás se deriva de esa elección. El cambio tiene una ventana de transición, la separación tiene un límite de política y una cadena tiene un coste de sobrecarga y de dependencia. Elegir la incorrecta no falla limpiamente; produce un teléfono que parece conectado y una aplicación que no llega a nada.

Cambiar dentro de un mismo contexto de usuario

Android permite un solo servicio VPN activo por usuario. Iniciar una segunda aplicación VPN en el mismo contexto sustituye a la primera o se rechaza de plano; nunca compone los dos conjuntos de rutas y desde luego no apila su cifrado. Dentro de un usuario, dos túneles son una secuencia, no una suma.

Eso es viable cuando el acceso es realmente secuencial. Ponga nombres a los perfiles para que el activo sea obvio, termine cualquier cosa sensible antes de cambiar y espere una ventana corta en la que ninguna de las dos rutas esté plenamente establecida. Cerrar una pestaña del navegador no es lo mismo que terminar una sesión: la pestaña puede conservar el estado de su cuenta y limitarse a enviar la siguiente solicitud por la red recién elegida, y esa es exactamente la fuga que la gente nota después.

Lo que el cambio no puede darle es una máquina que esté en las dos redes a la vez. Si una aplicación necesita una dirección privada de cada lado, ninguna disciplina del cliente la producirá.

Separar por perfil

Un perfil de trabajo gestionado es un usuario aparte con sus propias aplicaciones, su almacén de claves y su política de red. Un cliente de correo de trabajo puede usar el túnel de la organización mientras un navegador personal usa uno personal, y ambos pueden estar conectados al mismo tiempo porque no están en el mismo contexto compitiendo por la plaza.

La separación es también el límite. El navegador personal no toma prestado el túnel de trabajo, no ve los sufijos DNS del trabajo y no llega a la red del trabajo solo porque ambos servicios aparezcan como conectados. Cuando alguien informa de que un enlace no se abre, compruebe qué copia de la aplicación lo gestionó y qué perfil posee esa cuenta antes de tocar cualquiera de las dos VPN.

Trate el límite como fijo. Crear un segundo perfil o eliminar un perfil de trabajo para sortear la decisión de enrutamiento de un empleador destruye precisamente la separación que hacía funcionar la disposición, y en un dispositivo gestionado suele ser una violación de la política y no un ajuste de configuración.

Una cadena, donde el orden es el diseño

Una cadena es la disposición que la gente suele querer decir cuando dice ambas a la vez: el túnel del teléfono viaja dentro del túnel del router. Puede funcionar, y las restricciones son concretas. El proveedor exterior tiene que permitir una ruta funcional hasta el extremo VPN del teléfono, lo que para los protocolos basados en UDP significa que el servicio exterior no debe bloquear ni limitar ese tráfico.

Entienda quién ve qué. El proveedor exterior ve una conexión hacia el extremo interior. El proveedor interior recibe el tráfico del teléfono desde la salida exterior y lo reenvía. El destino final normalmente ve la salida del servicio interior, y ningún proveedor de la cadena es ciego; las cuentas de las aplicaciones siguen identificando al usuario sea cual sea la ruta.

Espere costes prácticos. Cada capa añade encapsulación, así que la MTU efectiva baja y un valor que iba bien para un túnel ahora se fragmenta o se atasca hasta que la MTU del túnel interior se fija de forma conservadora. Dos capas también significan dos dependencias de fallo y dos juegos de mensajes de mantenimiento, y un túnel interior basado en TCP sobre un enlace exterior con pérdidas puede atascarse de formas que parecen un servidor muerto.

Lo más importante: una cadena no fusiona dos redes privadas. Las rutas, los prefijos solapados, la resolución DNS y las reglas de acceso siguen siendo decisiones separadas, y un router que lleva una VPN mientras un teléfono lleva otra no concede al teléfono los dos espacios de direcciones.

Compruebe el diseño antes de depurarlo

Escriba la disposición en una frase y pruébela contra la aplicación que falló. El acceso secuencial debería mostrar un túnel cada vez; la separación de perfiles debería mostrar cada aplicación en su propio usuario; una cadena debería mostrar el túnel interior estableciéndose sobre una interfaz exterior y no sobre la física.

adb shell ip -br addr
adb shell ip route get 10.20.0.8
adb shell dumpsys connectivity | grep -i vpn

Si la consulta de ruta nombra la interfaz física mientras una aplicación espera el túnel, el diseño y el contexto de la aplicación no coinciden, y ninguna aplicación VPN adicional los reconciliará. La documentación sobre perfiles gestionados cubre las reglas de separación si necesita el detalle de política y no el de enrutamiento.