Guía
Cómo configurar una VPN en Android
La aplicación de Play Store, los dos interruptores de los propios ajustes de Android que importan más que cualquier opción dentro de la aplicación y cómo confirmar que el túnel transporta tu tráfico en un teléfono que cambia de red todo el día. Escrito para Android 17.
Antes de empezar
Esta guía no elige una por ti
Todos los pasos siguientes son iguales uses el proveedor que uses, por eso aquí no se menciona ninguno. Elegir es otra tarea y se hace en el registro, donde la elección se basa en una puntuación publicada y no en una ficha de la tienda.
Instala la aplicación desde Play Store, desde la ficha a la que enlaza el propio sitio del proveedor. No instales nunca una VPN desde un archivo APK enviado por chat o descargado de un foro: una aplicación VPN ve cada byte que envía tu teléfono, y una aplicación recompilada es la forma más eficaz que se ha encontrado de leerlo.
Instala la aplicación
- Inicia sesión primero en el sitio web del proveedor y sigue su enlace a la ficha de Play Store. Las búsquedas de una VPN en la tienda muestran imitaciones por encima de la aplicación real; un enlace desde la cuenta por la que pagas no.
- Instala, abre y acepta la solicitud de conexión. Android pregunta una vez si la aplicación puede configurar una conexión VPN — es el sistema quien entrega el túnel a la aplicación, y rechazarlo deja una aplicación que no puede conectarse. El aviso indica el nombre de la aplicación; si no es la que instalaste, detente.
- Inicia sesión en la aplicación con la misma cuenta. La mayoría de las aplicaciones pide asignar un nombre al dispositivo; el proveedor almacena ese nombre, así que dale uno que no te identifique.
- No te conectes todavía. Dos de los ajustes importantes no están en la aplicación. Están en los propios ajustes de Android y permanecen desactivados hasta que los actives.
Los ajustes que conviene comprobar
Android es la única plataforma en la que el propio sistema incorpora el interruptor de emergencia, por eso esta sección empieza fuera de la aplicación. Cada ajuste tiene una entrada en el glosario si no conoces el nombre.
VPN siempre activa y Bloquear conexiones sin VPN
Abre Ajustes › Red e Internet › VPN, toca el engranaje situado junto a la aplicación y activa ambos interruptores. VPN siempre activa hace que Android inicie el túnel al arrancar y lo reinicie cada vez que se interrumpe, sin esperar a la aplicación. Bloquear conexiones sin VPN es el interruptor de emergencia, aplicado por el sistema: mientras el túnel está caído, nada del teléfono llega a la red.
Usa el interruptor del sistema aunque la aplicación ofrezca uno propio. El interruptor de la aplicación deja de funcionar cuando se cierra la aplicación; el de Android sigue funcionando porque no es la aplicación quien lo aplica. Para qué sirve un interruptor de emergencia se explica en su propia página; en resumen, un túnel interrumpido se convierte en una conexión inactiva en lugar de en una conexión interrumpida sin que lo notes, y en un teléfono que cambia de red todo el día ese es precisamente el objetivo.
DNS dentro del túnel
Las consultas de nombres pueden salir del teléfono fuera del túnel aunque todo lo demás esté dentro, lo que indica a la red qué sitios has visitado y oculta únicamente lo que hiciste allí. Dentro de la aplicación, busca protección contra fugas de DNS, usar el DNS del proveedor o un campo de DNS personalizado, y configúralo con el resolvedor propio del proveedor.
El ajuste DNS privado de Android es algo distinto y no entra en conflicto: las consultas que envía viajan dentro del túnel como todo lo demás. Pero un resolvedor de DNS privado gestionado por un tercero es un tercero que ve cada consulta, y ya estás confiando tu tráfico al proveedor. Añadir una segunda parte aumenta el número de partes sin reducir lo que ninguna de ellas sabe. En la página sobre fugas de DNS se explica cómo se produce una fuga.
Optimización de batería
El administrador de batería de Android, y el del fabricante por encima de este, detienen las aplicaciones que funcionan en segundo plano durante mucho tiempo. Un cliente VPN es exactamente ese tipo de aplicación. Abre la página de la aplicación en Ajustes › Aplicaciones, configura el uso de batería como Sin restricciones y haz lo mismo en cualquier administrador de energía del fabricante que tenga el teléfono. De lo contrario, el túnel se interrumpe en tu bolsillo y la primera aplicación que se active envía su tráfico por lo que haya disponible — a menos que el interruptor del sistema anterior esté activado, en cuyo caso no envía nada.
El protocolo
Déjalo en la opción moderna predeterminada — la página de protocolos indica cuáles son actuales y cuáles son antiguos. En un teléfono, el protocolo moderno también vuelve a conectarse más rápido después de un cambio de red y consume menos batería. Si la aplicación ofrece una opción antigua para solucionar un problema de conexión, es una decisión que debes tomar conscientemente y después deshacer: el registro marca el protocolo más débil que el proveedor sigue ofreciendo, y seleccionarlo manualmente equivale a elegir esa marca para ti.
Confirma que funciona realmente
Conéctate y comprueba en lugar de darlo por hecho. Tres comprobaciones, en este orden, todas gratuitas y sin necesidad de otra aplicación:
- Tu dirección ha cambiado. Abre en el navegador cualquier página de «cuál es mi IP» y confirma que el país coincide con la salida que elegiste. Hazlo una vez con Wi-Fi y otra con datos móviles: son dos redes distintas, y un túnel que funciona en una puede fallar en la otra.
- Las consultas están dentro del túnel. Ejecuta una prueba de fugas de DNS y lee los resolvedores que muestra. Si alguno pertenece a tu operador móvil o a tu proveedor de Internet doméstico, el ajuste de DNS anterior no se ha aplicado.
- El interruptor de emergencia hace lo que dice. Inicia una descarga grande y luego fuerza la detención de la aplicación VPN desde su página en Ajustes › Aplicaciones, para que el túnel se interrumpa sin pedirlo desde la aplicación. La descarga debería detenerse por completo y seguir detenida hasta que vuelva el túnel. Si continúa, Bloquear conexiones sin VPN no está activado.
La batería de pruebas más extensa, incluido lo que cada una puede y no puede mostrar, está en su propia guía.
Lo que demuestran esas comprobaciones
+Tu tráfico sale por el servidor de salida, en el país que seleccionaste, en ambas redes que usa el teléfono
+Ni el operador ni la red Wi-Fi que utilizas pueden leer qué sitios visitas
+Un túnel interrumpido falla de forma segura, aplicado por Android y no por la aplicación
Lo que no demuestran
−No dicen nada sobre lo que conserva el proveedor — es una cuestión documental, respondida en las páginas sobre retención
−No te hacen anónimo: las aplicaciones con sesión iniciada en el teléfono siguen teniendo la sesión iniciada; consulta de qué no te protege una VPN
−Una prueba superada hoy no es una promesa sobre la próxima actualización de la aplicación ni sobre la próxima actualización del teléfono
El teléfono en una red deficiente
Un teléfono pasa el día en redes que un portátil nunca ve: una red móvil congestionada, el portal cautivo de una cafetería, un tren. Vale la pena hacer tres ajustes, y no más. Elige una salida cercana, porque cada mil kilómetros adicionales añaden latencia a una red que ya tiene demasiada. Cambia de protocolo una vez si el moderno no conecta en absoluto y vuelve a cambiarlo al día siguiente. Activa VPN siempre activa, más arriba, para que la reconexión después de perder el túnel sea tarea de Android y no tuya.
Si una red bloquea el túnel con todos los protocolos y todas las salidas, es un hecho sobre la red. Esta guía no va más allá de señalarlo.
Cuando no funciona
La conexión se interrumpe continuamente cuando salgo del Wi-Fi
Cada cambio entre Wi-Fi y datos móviles interrumpe el túnel durante un instante, y un cliente que se reconecta lentamente convierte ese instante en un vacío. El protocolo moderno soporta mucho mejor un cambio de red que el antiguo, así que comprueba cuál utiliza la aplicación antes que nada.
Con Bloquear conexiones sin VPN activado, el vacío es una conexión inactiva y no una fuga. Ese es el ajuste funcionando: el teléfono espera al túnel en lugar de usar la red sin protección.
La aplicación se desconecta sola al cabo de un rato
Normalmente es el administrador de batería, no el proveedor. Varios fabricantes añaden su propio sistema agresivo para cerrar aplicaciones al de Android, y un cliente VPN «optimizado» simplemente se detiene en segundo plano.
Excluye el cliente de la optimización de batería en Ajustes y también de cualquier administrador de energía específico del fabricante. VPN siempre activa hace que Android reinicie el túnel por sí mismo cuando se interrumpe, que es la segunda parte de la solución.
Todo va lento con los datos móviles
Es un recorrido más largo en una red que ya era lenta. Elige una salida más cercana, prueba un segundo servidor del mismo país y cambia de protocolo una vez: el moderno consume menos recursos en un teléfono. Si la conexión es lenta con todas las salidas y funciona bien con Wi-Fi, la red móvil está limitando el tráfico VPN.
Es una afirmación sobre la red, y esta guía termina ahí.
Solo una aplicación puede usar la VPN a la vez
Android permite una única VPN activa, así que un segundo cliente, la VPN de un perfil de trabajo o una aplicación de DNS que funcione como VPN local ocupará el puesto y desconectará silenciosamente a la primera. DNS privado es la excepción: es un ajuste del sistema, no una VPN, y funciona dentro del túnel.
Desinstala o desactiva cualquier otra cosa que aparezca en Ajustes > Red e Internet > VPN antes de culpar al proveedor.
Un sitio dice que puede ver que estoy usando una VPN
Puede hacerlo. Las direcciones de los servidores de salida se publican y aparecen en muchas listas, así que cualquier sitio que quiera saberlo puede consultar la tuya. Una VPN oculta tu tráfico a la red que lo transporta; no se oculta del sitio al que llegas.
Nada de la aplicación cambia eso, y un proveedor que prometa lo contrario está vendiendo algo que el mecanismo no puede ofrecer.
Mismos pasos, otros equipos
El resto de las plataformas
Cada plataforma tiene su propia guía en lugar de una pestaña en esta. Los pasos divergen en cuanto se abre el instalador, y una página que responde a tres plataformas a la vez no responde bien a ninguna.