Guía
Cómo configurar el túnel dividido
Cómo enviar algunas aplicaciones o direcciones fuera del túnel mientras todo lo demás permanece dentro, qué cuesta cada excepción y cuál es la comprobación que demuestra que la división es la que solicitaste. Redactado para los clientes de finales de 2026 y Android 17.
Qué resuelve esto
El túnel dividido envía un conjunto elegido de aplicaciones o direcciones fuera del túnel y deja todo lo demás dentro. Cada elemento de la lista es tráfico que la VPN deja de tocar por completo, en la red ordinaria. Bien configurado, resuelve el acceso a la impresora y a la aplicación bancaria sin afectar nada más; configurado sin cuidado, es una fuga que has creado tú mismo. Los pasos siguientes muestran la versión más específica.
Dos tipos de regla
Por aplicación
La regla especifica un programa, y las conexiones de ese programa evitan el túnel. Los clientes para Windows, macOS y Android la ofrecen; desde Android 17, un cliente puede entregar la lista a una pantalla gestionada por el sistema, de modo que las exclusiones las aplica el sistema operativo y no el cliente — un cliente que abre esa pantalla desde sus propios ajustes la está utilizando. iOS no ofrece división por aplicación a los clientes ordinarios; lo más parecido es el interruptor de red local que aparece más abajo.
Por dirección o subred
La regla especifica un destino, y el tráfico hacia ese destino desde cualquier programa evita el túnel. Es más general y más difícil de interpretar después, porque una regla de dirección cubre cualquier cosa que responda en esa dirección mañana. Es la herramienta adecuada para un dispositivo de tu propia red y la incorrecta para un servicio en internet.
Qué sale fuera
- Un dispositivo de tu propia red — una impresora, un NAS, un servidor multimedia — que el enrutamiento del túnel te oculta. Prueba primero el interruptor de red local; es un ajuste más limitado y cubre la mayoría de estos casos sin necesidad de una regla.
- Una aplicación que rechaza conexiones desde las direcciones de salida, normalmente la de un banco. La regla permite que esa única aplicación vea tu dirección real y que ninguna otra lo haga. El banco sabrá entonces dónde estás; ese es el coste.
- Nada más de forma predeterminada. Cada entrada es una aplicación cuyo tráfico puede leer la red a la que estás conectado. Una lista larga equivale a una VPN que protege el navegador y poco más.
Una excepción está pensada para una aplicación que no funciona a través del túnel. No sirve para acceder a un servicio que ha decidido no atender al país de la salida; esa es una decisión del servicio, y el enrutamiento para sortearla queda fuera del alcance de esta página.
Configurar la regla
- Abre la sección de túnel dividido del cliente, normalmente en los ajustes de conexión o avanzados. En Android 17 y versiones posteriores, el cliente puede abrir una pantalla gestionada por el sistema para esa misma lista; en cualquier caso hay una sola lista, y es la sección propia del cliente la que conduce a ella.
- Comprueba el modo antes de añadir nada. La mayoría de los clientes ofrecen dos: las aplicaciones de la lista evitan el túnel, o solo las aplicaciones de la lista lo utilizan. El segundo es el túnel dividido inverso y, con una lista vacía, significa que no se tuneliza nada. Asegúrate de que el modo aparece como quieres.
- Añade la aplicación, no su carpeta, y añade el ejecutable que realiza la conexión. Una suite con varios procesos puede necesitar que añadas cada uno; añadir la carpeta del instalador incluye también su actualizador.
- Cierra por completo la aplicación y vuelve a conectar el cliente. Las reglas se aplican a las conexiones nuevas. Una aplicación que permaneció abierta conserva su ruta anterior y produce una lectura falsa en la comprobación.
Modo inverso
En el modo inverso, solo las aplicaciones de la lista utilizan el túnel y todo lo demás lo evita. Es la configuración adecuada cuando una aplicación necesita el túnel y quieres que el resto del equipo se comporte como si no hubiera ningún cliente instalado; para cualquier otra cosa es la configuración incorrecta, porque cada aplicación que olvides añadir quedará en la red abierta. Si lo usas, el interruptor de emergencia cubre solo las aplicaciones de la lista en la mayoría de los clientes; las demás nunca estuvieron dentro del túnel.
Acceso a la red local
La mayoría de los clientes tienen un único interruptor que permite el paso de las direcciones de tu propia red y mantiene todo lo demás dentro del túnel. Es túnel dividido por subred, elegido por ti, y cubre la impresora y el NAS sin una regla. En una red que administras tú, cuesta poco; en una red pública permite que todos los dispositivos de esa red lleguen al tuyo, por lo que está desactivado de forma predeterminada y conviene volver a desactivarlo antes de marcharte.
Confirma que la división es la que solicitaste
- En la aplicación exceptuada, busca su propia comprobación de dirección — los detalles de sesión de una aplicación bancaria, el panel de dirección de un cliente de torrents o cualquier página abierta en un navegador exceptuado — y espera ver tu propia dirección y país.
- En cualquier aplicación que no hayas exceptuado, ejecuta la comprobación de dirección y espera ver la de salida. Hazlo en un navegador que no hayas añadido a la lista y en otra aplicación, si tienes alguna que muestre su dirección.
- Ejecuta una vez la batería completa de cómo comprobar que tu VPN funciona, con las reglas activas. Una regla que cubra más de lo que pretendías aparecerá allí como una fuga en algo que esperabas que estuviera dentro.
Qué demuestran esas comprobaciones
+Las aplicaciones que has añadido, y solo esas, están en la red ordinaria
+Todo lo demás sigue saliendo por la salida, incluidas las consultas
+El modo es el que pretendías y no su inverso
Qué no demuestran
−No dicen nada sobre lo que el proveedor conserva del tráfico que está dentro — eso se responde en las páginas sobre retención
−Una prueba de fugas no puede detectar una excepción deliberada; la aplicación exceptuada se comprueba desde dentro de ella o no se comprueba
−Una configuración de reglas hecha hoy sigue a la aplicación durante sus actualizaciones, y una aplicación actualizada puede abrir conexiones desde un proceso que no hayas añadido
Cuando la división no se mantiene
La aplicación exceptuada sigue mostrando la dirección de salida
La regla no se aplicó, y la razón habitual es que la aplicación ya estaba ejecutándose. El túnel dividido se aplica a las conexiones realizadas después de configurar la regla; cierra por completo la aplicación, vuelve a conectar el cliente y ábrela de nuevo. En Android, comprueba si la regla está en el cliente o en el ajuste del sistema, porque una aplicación exceptuada en uno y no en el otro sigue lo que aplique el sistema operativo.
Un navegador es el caso más difícil: sus procesos en segundo plano mantienen abiertas las conexiones aunque se cierre una ventana, por lo que hay que cerrarlo desde su propio menú, no desde la ventana.
Una aplicación que no exceptué muestra mi propia dirección
Hay algo más amplio que una regla por aplicación en vigor. Una regla por dirección o subred que cubra casualmente el destino, un modo inverso activado por error para que solo las aplicaciones de la lista pasen por el túnel o un interruptor de red local activado en una red que asigna direcciones públicas pueden producirlo. Lee todas las reglas, no solo la lista de aplicaciones, y desactiva toda la función para confirmar que la dirección vuelve a ser la de salida; después vuelve a añadir las reglas una a una.
La impresora o el NAS siguen sin poder alcanzarse
El acceso a la red local es un ajuste más limitado que el túnel dividido y, a veces, es independiente: permite el paso de las direcciones de tu propia red mientras enruta todo lo demás. Si el cliente lo tiene, actívalo antes de añadir manualmente una regla de subred. Si se accede al dispositivo por nombre y no por dirección, es posible que el nombre se resuelva mediante el DNS del túnel, que no puede ver tu red; utiliza la dirección en su lugar.
Mismos pasos, otros equipos
El resto de las plataformas
Cada plataforma tiene su propia guía en lugar de una pestaña en esta. Los pasos divergen en cuanto se abre el instalador, y una página que responde a tres plataformas a la vez no responde bien a ninguna.