¿La VPN de Windows se lleva todo el tráfico? Quite su ruta predeterminada

Se conecta a la VPN de la oficina y cada página del navegador empieza a pasar por esa red: el servidor de archivos va rápido, todo lo demás va lento, filtrado o ha desaparecido. El cliente no se comporta mal; el perfil pidió un túnel completo. El interruptor que lo detiene es una casilla en un diálogo que la aplicación Configuración moderna no muestra, y la puerta de enlace vuelve a tener voz en cada conexión. Este recorrido sigue el orden que la interfaz de Windows presenta realmente y después cubre las comprobaciones que siguen fallando cuando la tabla de rutas parece correcta.

Empiece en las propiedades del adaptador, no en Configuración

La aplicación Configuración lista el perfil en Red e Internet y luego VPN, pero solo expone opciones generales. La decisión de la puerta de enlace predeterminada vive en el adaptador. Abra la lista clásica de adaptadores con Win+R y ncpa.cpl, haga clic derecho en la conexión VPN, elija Propiedades, seleccione Protocolo de Internet versión 4, elija Propiedades otra vez y luego Avanzado. Desmarque Usar puerta de enlace predeterminada en la red remota y confirme la salida de los tres diálogos.

Vuelva a conectarse antes de probar, porque la casilla se aplica cuando se establece el túnel y una sesión existente conserva la tabla que construyó. Si el adaptador falta mientras el cliente está desconectado, conéctese una vez y vuelva a abrir la ventana. Un cliente de proveedor que instala un adaptador TAP o Wintun sin página de propiedades IPv4 no tiene este diálogo en absoluto; para esos, la misma decisión es una opción de túnel dividido dentro de los ajustes propios del cliente, y la casilla del adaptador es el lugar equivocado donde buscar.

El mismo cambio desde PowerShell

Para un perfil creado en el almacén de VPN de Windows, el ajuste es scriptable, que es lo que quiere si la máquina se reconstruye a menudo:

Set-VpnConnection -Name "Office" -SplitTunneling $true
Get-VpnConnection -Name "Office" | Select-Object Name,SplitTunneling

Ese cmdlet solo alcanza los perfiles de ese almacén. Una conexión añadida por un cliente de terceros no aparecerá, y el comando falla con un error de nombre que parece una errata. Fíjese también en lo que el interruptor no hace: impide que el cliente instale una ruta predeterminada, pero no elimina las rutas que la puerta de enlace empuja al conectar, así que la siguiente sección sigue siendo necesaria en muchas redes.

Cuando la puerta de enlace vuelve a empujar la predeterminada

Lea primero la tabla. Dos entradas predeterminadas con métricas distintas significan que el cambio del perfil funcionó y que la ruta empujada la sustituyó de todos modos:

route print -4
Get-NetRoute -DestinationPrefix 0.0.0.0/0 | Sort-Object RouteMetric
Get-NetAdapter | Select-Object Name,ifIndex

Elimine la ruta predeterminada que pertenece al túnel y conserve la física. Use el índice de interfaz del tercer comando, no el alias del adaptador, porque los scripts que pasan un alias se rompen en cuanto cambia el nombre visible:

Remove-NetRoute -DestinationPrefix 0.0.0.0/0 -InterfaceIndex 21 -Confirm:$false
route delete 0.0.0.0 10.8.0.1

La eliminación se lleva la oficina consigo, así que vuelva a añadir los prefijos corporativos a través de la puerta de enlace del túnel. Esta es la línea que la gente se salta, y es la razón por la que «la VPN dejó de funcionar» sigue a un cambio de túnel dividido correcto:

route add 10.0.0.0 mask 255.0.0.0 10.8.0.1 metric 5 if 21

Nada de esto sobrevive a una reconexión, lo cual es un comportamiento honesto y no un error: el adaptador se reconstruye y el cliente vuelve a aplicar lo que acordaron el perfil y la puerta de enlace. Si la predeterminada reaparece cada vez, la puerta de enlace está configurada para rechazar el túnel dividido y seguirá empujándola, o cerrará la sesión. Esa es la política del operador de la red, y la petición pertenece allí y no a un script local que lucha contra ella una vez por conexión.

Revise DNS, IPv6 y las métricas tras una reconexión

Eliminar una ruta predeterminada IPv4 no demuestra nada sobre la otra familia ni sobre la resolución de nombres. Un túnel puede llevar IPv6 mientras la predeterminada IPv4 se queda local, y una lista de resolutores empujada puede mantener los nombres internos funcionando mientras las consultas que la usan viajan por otro camino. Revise las tres antes de darlo por hecho:

Get-NetRoute -DestinationPrefix ::/0
Get-DnsClientServerAddress -InterfaceAlias "Office"
Get-DnsClientNrptPolicy

Si el estado vuelve en cada conexión, mueva los comandos a una acción por conexión en lugar de editar la tabla a mano: una tarea programada activada por el evento de conexión, o el ajuste de túnel dividido del propio cliente cuando lo tiene. Mantenga el índice de interfaz en una variable y consúltelo en tiempo de ejecución, ya que puede cambiar cuando se añaden o quitan adaptadores.

Decida a qué renunció

El tráfico de Internet local ya no lo inspecciona ni lo filtra la oficina, y todo lo que se publica solo a través del túnel ahora necesita su propia ruta. Algunas organizaciones consideran el túnel dividido una violación de la política, así que confírmelo antes de cambiar un dispositivo gestionado; una predeterminada empujada es a veces el mecanismo de aplicación y no un accidente. La documentación de Set-VpnConnection enumera el parámetro de túnel dividido y los tipos de perfil a los que se aplica.

Luego verifique en un orden fijo: quién posee la ruta predeterminada, la navegación normal, un host corporativo por dirección, un nombre interno y los mismos cuatro tras una sola reconexión. Si la navegación funciona y el host corporativo falla, falta la ruta de prefijo y no la predeterminada que quitó, y eso es mucho más barato de arreglar que reconstruir el perfil.