VPN desconectada, internet aún bloqueado: ¿interruptor o regla obsoleta?

El túnel se cierra, el navegador se detiene y todos los demás dispositivos de la misma Wi-Fi siguen funcionando, lo que descarta el router. Ese patrón tiene tres dueños plausibles: un interruptor de seguridad al que se le ordenó bloquear, el estado que dejó un cliente eliminado y un resolutor o una ruta que nunca se restauró. Desde la ventana del navegador se ven idénticos y necesitan reparaciones distintas. Decida cuál tiene antes de ejecutar un reinicio de red.

Dos bloqueos de internet muy distintos

Un bloqueo deliberado es una función: mientras no hay túnel activo, el cliente descarta el tráfico para que nada se escape fuera del camino protegido. Un bloqueo accidental es una regla, un ajuste de dispositivo o de resolutor que sobrevivió a la salida del cliente. Uno se repara conectando o desactivando la política a propósito; el otro, limpiando lo que quedó atrás.

La diferencia se ve en el error, no en el navegador. Un bloqueo deliberado suele producir un rechazo inmediato o un cuelgue silencioso, mientras que un resolutor residual produce un fallo de resolución de nombres que persiste incluso cuando un ping a una dirección literal funciona. Ninguno es lo mismo que una conexión Wi-Fi rota, que afectaría también a los otros dispositivos. Ordene las comprobaciones según esa diferencia: primero una dirección literal, después un nombre.

Qué prometió el cliente al desconectar

Lea los ajustes propios del cliente para entender qué significa desconectar, porque muchos productos separan una pausa de una parada completa. Una pausa mantiene el bloqueo por diseño, mientras que una parada puede retirarlo. Algunas plataformas móviles expresan la misma idea como una regla siempre activa que bloquea el tráfico cuando no hay una VPN conectada.

Donde la organización exige protección, la reparación es reconectar el perfil correcto, no saltarse el bloqueo. Compruebe que el nombre del servidor aún se resuelve y que se puede alcanzar el punto final mediante las excepciones que documenta el despliegue, ya que una reconexión fallida se parece exactamente a un bloqueo persistente.

Estado obsoleto de una eliminación interrumpida

Una desinstalación interrumpida, o un paquete eliminado mientras el túnel estaba activo, pueden dejar atrás una cadena de cortafuegos, una regla de enrutamiento, una entrada de resolutor o un adaptador virtual. El proceso se fue y los efectos no.

Empiece por la ruta de limpieza y reparación compatible de la aplicación y, después, antes de borrar, identifique qué componente instaló cada objeto restante. Apagar el cortafuegos del equipo restaura la navegación y elimina a la vez protección no relacionada. Un reinicio global de red es peor, porque descarta ajustes de oficina o Wi-Fi que funcionan sin nombrar la causa.

Si hay dos clientes instalados, decida cuál posee la política. Dos dueños es cómo un bloqueo sobrevive a la eliminación de ambos.

Verifique el estado desconectado, no solo la navegación

Que la navegación vuelva a funcionar es una prueba de aceptación débil. Verifique que la política requerida está intacta y que nada más se debilitó en silencio.

ip rule show
ip route show table all | grep -v '^default'
resolvectl status | head -n 20
sudo nft list ruleset | grep -A 6 'chain output'

Compare las reglas de enrutamiento, el resolutor y la política de cortafuegos con el aspecto de una máquina desconectada limpia. Luego reconecte y desconecte mediante el flujo de trabajo normal y repita las lecturas, para que el estado esperado quede escrito en lugar de recordado.

Guarde ese par de antes y después en el ticket. La próxima persona que vea un navegador bloqueado lo necesitará más que otra opinión sobre qué cliente es mejor.