Guía
Cómo configurar una VPN en un router
Cuándo el router es el lugar adecuado para el túnel y cuándo no, el archivo de configuración del proveedor en la página del cliente VPN del propio firmware, el DNS para toda la casa y las comprobaciones desde un dispositivo conectado detrás de él. Escrito para un router cuyo firmware tiene una página de cliente VPN; esta guía no cambia el firmware.
Antes de empezar
Esta guía no elige por ti
Todos los pasos siguientes son iguales uses el proveedor que uses, por eso aquí no se nombra ninguno. Elegir es una tarea aparte y se hace en el registro, donde la elección se basa en una puntuación publicada y no en una página de descarga.
Los archivos de configuración proceden del área de cuenta del propio proveedor’s y de ningún otro sitio. Un archivo de un foro contiene la clave de otra persona o el servidor de otra persona.
Un router es el lugar adecuado para el túnel cuando los dispositivos conectados detrás de él no pueden ejecutar su propio cliente — un televisor, una consola, un altavoz inteligente — o cuando se quiere cubrir todos los dispositivos a la vez sin instalar nada. Es el lugar equivocado cuando la casa necesita salir del túnel a veces: detrás de un router, ningún dispositivo puede hacerlo y todos comparten una salida, un país y un procesador. Ese procesador limita la velocidad y está muy por debajo del de un portátil’s. Si el motivo son uno o dos dispositivos, instala el cliente en ellos; las páginas de plataformas indican qué proveedores son compatibles con cada una.
Esta guía no cambia el firmware de un router. Sustituir el firmware por uno de los habituales firmwares de terceros proporciona al router un cliente VPN mejor que la mayoría de los originales, pero también es el único paso de cualquier guía de este sitio que puede convertir el hardware en un pisapapeles. Si el firmware de tu router tiene una página de cliente VPN, los pasos siguientes son suficientes. Si no la tiene, la decisión de cambiar el firmware es tuya y sus instrucciones corresponden al proyecto del firmware, no a nosotros.
Cargar la configuración
- Inicia sesión en el sitio web del proveedor y abre la sección de router o de configuración manual del área de cuenta. Genera un archivo de configuración para el protocolo compatible con tu firmware y para la salida que quieras; un archivo corresponde a una salida. El archivo contiene tu clave — trátala como una contraseña.
- Abre la página de administración del router desde un dispositivo conectado a la red cableada o doméstica y busca la página del cliente VPN. Su nombre varía — cliente VPN, VPN Fusion, WAN › VPN — pero es una página de cliente, que establece conexiones hacia fuera, no una página de servidor, que permite conectarse desde fuera. Las dos se parecen y solo una de ellas es la de esta guía.
- Importa el archivo o pega sus campos uno por uno donde el firmware lo solicite. Da al perfil el nombre de la salida para poder distinguirlo de otro más adelante.
- Elige qué dispositivos pasan por el túnel si la página ofrece esa opción y, por ahora, inclúyelos todos; la lista de excepciones se puede ajustar después. A continuación, activa el perfil.
- No te detengas aquí. El DNS y el interruptor de emergencia están en la misma página o en la siguiente, y la configuración predeterminada de ambos es estar desactivados.
Los ajustes que conviene comprobar
Las páginas del firmware varían, pero los ajustes no. Cada uno tiene una entrada en el glosario si no reconoces el nombre.
DNS para toda la casa
Cada dispositivo conectado al router le pregunta al router dónde están las cosas, y el router se lo pregunta a quien le hayan indicado. Si es el resolvedor del proveedor de internet, todas las consultas de la casa salen fuera del túnel, lo que indica al proveedor de internet qué sitios visita la casa y solo oculta lo que se hizo allí. Configura el DNS del router — en la página del cliente VPN cuando tenga un campo para ello, o en la página WAN en caso contrario — con el resolvedor que indique el archivo del proveedor, y configura el router para entregar su propia dirección a los dispositivos como resolvedor, de modo que ninguno reciba la del proveedor de internet. La página sobre fugas de DNS explica cómo se produce una fuga.
El interruptor de emergencia
En un router es una regla del cortafuegos: cuando el túnel está caído, nada procedente de los dispositivos que lo usan puede salir por la ruta habitual. Algunos firmwares tienen el interruptor como una casilla, otros lo llaman bloquear los clientes enrutados si el túnel se cae y otros no lo tienen. Cuando exista, actívalo; si el túnel se cae, la casa queda sin conexión hasta que se restablezca, que es precisamente su función. Cuando no exista, debes saber que una caída del túnel devuelve todos los dispositivos a la conexión directa sin avisar. Su propia página explica para qué sirve el interruptor.
IPv6
La mayoría de los túneles de router solo transportan IPv4. Si el proveedor de internet ofrece también IPv6 a la casa, los dispositivos lo usarán para cualquier sitio que lo ofrezca y ese tráfico rodeará el túnel. A menos que el archivo del proveedor configure IPv6 dentro del túnel, desactiva IPv6 en el lado WAN mientras el túnel esté en uso.
El protocolo
Elige el moderno siempre que el firmware lo ofrezca — la página de protocolos indica cuáles están vigentes y cuáles son antiguos — tanto por el motivo por el que el registro le asigna una puntuación como porque, en el procesador de un router, es varias veces más rápido que el antiguo. Un router antiguo que solo ofrece el protocolo antiguo será lento además de estar marcado.
Confirma que funciona de verdad
Compruébalo desde un dispositivo conectado detrás del router, no desde la propia página de estado del router, que solo indica lo que el router cree. Haz tres comprobaciones, en este orden:
- La dirección ha cambiado, en un dispositivo sin cliente propio. Abre cualquier página de «cuál es mi IP» en un portátil o teléfono conectado a la wifi del router, con los datos móviles desactivados y sin ninguna aplicación VPN en ejecución. El país debería ser el de la salida elegida.
- Las consultas están dentro del túnel. Ejecuta una prueba de fugas de DNS desde el mismo dispositivo. Cualquier elemento que pertenezca a tu proveedor de internet significa que el ajuste de DNS anterior no se aplicó o que un dispositivo recibió el resolvedor equivocado.
- El interruptor de emergencia hace lo que indica. Con una descarga en curso en ese dispositivo, desactiva el perfil VPN en la página del router o desconecta durante un momento el cable WAN del router y vuelve a conectarlo. Durante el intervalo, la descarga debería detenerse por completo y, cuando vuelva la conexión, no debería reanudarse hasta que lo haga el túnel. Si continúa, el interruptor no existe o está desactivado.
La batería de pruebas más extensa y lo que cada una puede y no puede mostrar están en su propia guía.
Lo que demuestran esas comprobaciones
+Todos los dispositivos de esa red salen por el servidor de salida, en el país que seleccionaste, sin tener nada instalado
+El proveedor de internet ve una única conexión cifrada desde la casa y ninguna consulta
+Una caída del túnel bloquea la conexión de toda la casa, cuando el firmware tiene el interruptor
Lo que no demuestran
−No dicen nada sobre lo que conserva el proveedor — es una cuestión documental, respondida en las páginas sobre retención
−No vuelven anónima a ninguna persona: todas las cuentas de todos los dispositivos siguen teniendo la sesión iniciada; consulta de qué no te protege una VPN
−Una prueba superada en un dispositivo no dice nada sobre un dispositivo de otra red ni sobre uno con su propia aplicación
Una casa, dos redes
La queja sobre un túnel en el router siempre es la misma: algo necesita quedar fuera. La solución limpia son dos redes en lugar de una con excepciones. Puede ser un segundo router detrás del primero, ejecutando el túnel, con los dispositivos que deban estar dentro conectados a su wifi y todo lo demás a la del primer router; o, cuando el firmware permite una VPN por red, una red de invitados o secundaria que sea la del túnel. Así, cada dispositivo elige según la red a la que se conecte: el televisor se queda dentro, la consola fuera y nadie desactiva el túnel para toda la casa.
El segundo router también resuelve la cuestión de la velocidad: solo transporta los dispositivos que necesitan el túnel, así que su procesador solo limita a esos dispositivos.
Cuando no funciona
Todo se ha vuelto más lento en casa
Ahora el router cifra cada byte que envía la casa, con un procesador diseñado para reenviar paquetes, no para cifrarlos. Ese límite es del router, no del proveedor, y se alcanza bastante por debajo de lo que puede gestionar un portátil con la misma suscripción.
El protocolo moderno es mucho más ligero que el antiguo, así que úsalo cuando el firmware lo ofrezca. A partir de ahí, la solución es un router más rápido o un túnel en menos dispositivos; consulta la última sección.
Un dispositivo necesita quedar fuera del túnel
Una aplicación bancaria que rechaza una dirección extranjera, una consola de videojuegos o un altavoz inteligente: siempre hay algo que lo necesita. Algunos firmwares permiten excluir un dispositivo por su dirección, lo que constituye un túnel dividido en el router. Cuando el firmware no puede hacerlo, la respuesta está en la última sección: una segunda red para el túnel, de modo que el dispositivo simplemente se conecte a la otra.
No desactives el túnel para toda la casa por atender a un solo dispositivo.
El túnel se cae y nada vuelve a conectarse
La mayoría de los firmwares se reconectan por sí solos; algunos solo lo hacen cuando se les indica. Busca un ajuste de mantenimiento de conexión, reconexión automática o watchdog en la página del cliente VPN y actívalo. Si el firmware tiene un interruptor de emergencia y está activado, una caída del túnel deja la casa sin conexión hasta que se restablezca; eso significa que el interruptor funciona.
Si el túnel se cae a la misma hora todos los días, el proveedor de internet está renovando tu dirección y el router tarda en darse cuenta. Un intervalo de mantenimiento de conexión más corto puede ayudar.
Algunos dispositivos muestran mi país real y otros no
Esos dispositivos no están pasando por el túnel del router: un teléfono con los datos móviles activos, un dispositivo con su propia aplicación VPN o un dispositivo conectado a una segunda red que el túnel no cubre. Comprueba a qué red está conectado cada uno.
Si un dispositivo está en la red del túnel y aun así muestra tu país real, su DNS o IPv6 está llegando a internet rodeando el router. La sección de comprobaciones explica cómo interpretar ese resultado.
Mismos pasos, otros equipos
El resto de las plataformas
Cada plataforma tiene su propia guía en lugar de una pestaña en esta. Los pasos divergen en cuanto se abre el instalador, y una página que responde a tres plataformas a la vez no responde bien a ninguna.