Segmento doméstico solo VPN: corta el camino de reserva, no solo el SSID
Un SSID de invitados en la VPN no lo convierte en solo VPN. Decide qué ocurre cuando cae el túnel, cubre IPv6 y prueba la caída antes de fiarte de la etiqueta.
Pones el SSID de invitados en la VPN y llamas al segmento solo VPN. Luego el túnel cae durante dos minutos y los dispositivos vuelven en silencio a la WAN normal. Nada en el nombre del SSID lo impidió. Un segmento solo VPN se define por lo que ocurre cuando el túnel no está disponible, no por la etiqueta de la red.
La etiqueta es una promesa; la política de reserva es la aplicación.
Mito: el SSID es la frontera
Un SSID sin su propia política de reenvío es solo un nombre. La frontera es una interfaz, VLAN o subred separada, con su propio ámbito DHCP y sus propias reglas. Una VLAN te da una frontera de reenvío que un nombre Wi-Fi no puede dar.
El aislamiento de clientes también forma parte del diseño. Dos dispositivos del segmento pueden necesitar hablar entre sí, o no, y esa elección debería ser explícita en lugar de heredarse de un perfil de invitado.
Anota la interfaz y el rango de direcciones del segmento antes de escribir una sola regla. Esa línea evita la mayor parte de la confusión posterior.
Mito: la ruta del túnel cubre todos los protocolos
Aplica la política del firmware a ese segmento para que su tráfico hacia Internet use el túnel. Configura el reenvío y la traducción remotos que requiere el túnel. Conserva solo el acceso a los recursos locales que el segmento realmente necesita.
Comprueba ambas familias de direcciones. Si IPv6 no se transporta por el túnel, la política debe gestionarlo, o un dispositivo compatible con IPv6 encontrará una ruta directa que no pretendías.
Un interruptor de emergencia solo para IPv4 con IPv6 activado es una forma habitual de filtrar datos. Prueba con un cliente compatible con IPv6, no solo con el portátil que tengas a mano.
Mito: el DNS y el extremo del túnel siguen al túnel
El DNS del router puede generarse localmente y seguir la propia tabla de enrutamiento del router, no la política del segmento. Decide qué camino debe usar ese resolutor y qué hace cuando falla el túnel. La propia conexión del extremo de la VPN es otra excepción: necesita la ruta exterior documentada hacia el par. Encamina esa conexión dentro del túnel y no podrá levantarse.
Mantén la administración de recuperación separada del acceso a Internet del segmento. Si un par fallido también te deja fuera del router, has convertido una caída del túnel en una visita al sitio. Mantén ese acceso en una red de gestión, no en el segmento solo VPN.
Qué lo hace realmente solo VPN
Bloquea el reenvío normal hacia la WAN para el segmento siempre que el túnel esté caído. Esa regla, no el SSID, es la que hace verdadera la etiqueta. Pruébala con tráfico inofensivo desde un dispositivo del segmento.
Haz tres comprobaciones: funcionamiento normal a través del túnel, la prueba de fallo permitida con el túnel caído y la recuperación cuando vuelve. Confirma que otro segmento del hogar mantiene su ruta prevista en todo momento. Documenta cualquier excepción directa, o la etiqueta ocultará rutas que ya no recuerdas.
Un registro breve del segmento, del túnel elegido y de las excepciones te da comprobaciones concretas después de que una actualización de firmware cambie el orden de las reglas o el comportamiento del resolutor. La receta de cliente WireGuard para pfSense es una referencia útil para el lado del túnel, no un sustituto de la política del segmento.