Guía
Cómo probar un interruptor de emergencia de VPN
Tres formas de interrumpir el túnel sin pedirlo al cliente, qué debe detenerse al hacerlo y cómo probar el único caso que la mayoría de los interruptores omite: el vacío entre el arranque del equipo y la conexión del cliente. Redactado teniendo en cuenta los clientes de finales de 2026.
Qué resuelve esta prueba
Un interruptor de emergencia es una promesa: cuando falla el túnel, nada vuelve a la red normal. La página de configuración del cliente indica si se hizo la promesa; la prueba siguiente indica si se cumple y ante qué fallos. Ejecútala una vez en cualquier dispositivo que salga de casa y repítela después de actualizar el cliente. La función del interruptor se explica en la página sobre el interruptor de emergencia.
Tres interrupciones, ordenadas según la frecuencia con la que ocurren. Es habitual que un interruptor supere la primera pero no la segunda, y aún más habitual que supere las tres pero no el vacío del arranque.
Antes de empezar
- Activa el interruptor en el cliente y, si ofrece un segundo modo más estricto — permanente, siempre activo o al iniciar el sistema —, anota cuál has elegido. Los dos se prueban por separado más abajo.
- Inicia algo que avance continuamente y muestre su propio progreso: una descarga grande, un vídeo largo o un ping continuo en un terminal. Una página que ya está cargada no demuestra nada, porque no le queda nada por descargar.
- Abre una página de comprobación de dirección en otra ventana y anota la dirección de salida mientras estás conectado. La volverás a cargar después de cada interrupción.
Las tres interrupciones
1. Retira la red
Desactiva la Wi-Fi o desconecta el cable, espera unos segundos y vuelve a activarla. El túnel se interrumpe porque su ruta también lo hizo, y la cuestión es qué hace el cliente durante los segundos posteriores al regreso de la red y anteriores al del túnel. La transferencia debe permanecer detenida hasta que el cliente vuelva a mostrar que está conectado; una transferencia que se reanuda antes que el cliente está usando la red sin protección.
2. Interrumpe el túnel sin pedirlo al cliente
Finaliza directamente el proceso en segundo plano del cliente: su servicio en el Administrador de tareas de Windows, su proceso en el Monitor de Actividad de macOS, un forzar detención desde la configuración de la aplicación en Android o finalizando su proceso desde un terminal en Linux. No se avisó al cliente de que se desconectara, así que no interviene un interruptor que solo actúa ante una desconexión ordenada. La transferencia debe detenerse por completo y permanecer detenida hasta que reinicies el cliente.
3. Cambia la red que usa
En un teléfono, desactiva la Wi-Fi mientras los datos móviles están activos, para que el dispositivo pase de una red a otra; en un portátil, conéctate a una segunda red Wi-Fi o al punto de acceso de un teléfono. Los sistemas operativos móviles reconstruyen el túnel en una red nueva, y el intervalo durante esa reconstrucción es cuando un interruptor débil deja escapar tráfico. Vuelve a cargar la página de comprobación de dirección en cuanto esté disponible la red nueva: que aparezca la dirección de salida o que no aparezca ninguna es un aprobado; que aparezca tu propia dirección es un fallo.
El vacío del arranque
El interruptor que incluyen la mayoría de los clientes funciona mientras el cliente está en ejecución. Entre el arranque del equipo y la conexión del cliente, no se aplica nada y, en un portátil que se reanuda en la red de un hotel, ese vacío dura lo suficiente para que cualquier aplicación que se inicie con el sistema se conecte a su servidor a través de la conexión abierta.
- Configura el cliente para que se inicie con el sistema y se conecte al arrancar. Normalmente son dos interruptores independientes, y el segundo está desactivado de forma predeterminada.
- Reinicia el equipo y, antes de que el cliente muestre que está conectado, vuelve a cargar la página de comprobación de dirección que dejaste abierta. Una página cargada con tu propia dirección es el vacío; un error, o una página que espera hasta que el cliente se conecta y después muestra la salida, significa que el vacío está cerrado.
- Si se cargó, busca el modo más estricto del interruptor — el descrito como permanente o como aplicable al iniciar el sistema — y repite la prueba. En Android, la configuración propia del sistema cubre este caso independientemente del cliente, como se explica más abajo.
El interruptor propio del sistema en Android
Android tiene su propio interruptor, en la configuración del sistema para la VPN y no en el cliente: Always-on VPN, con Block connections without VPN debajo. Al imponerlo el sistema operativo, cubre por igual el cierre forzado del cliente, el cambio de red y el vacío del arranque, algo que no hacen los interruptores propios de la mayoría de los clientes. Activa los dos y vuelve a ejecutar las tres interrupciones y el reinicio. El interruptor del cliente también puede permanecer activado; no entran en conflicto y el del sistema es el que se mantiene cuando la aplicación no lo hace.
Qué significa aprobar la prueba
Qué demuestran estas comprobaciones
+Un túnel que falla, sea cual sea la causa, se convierte en una conexión inactiva y no en una conexión abierta
+Durante los segundos entre el regreso de la red y el del túnel no circula nada
+En un dispositivo que se inicia en redes desconocidas, el vacío previo a la conexión del cliente está cerrado
Qué no demuestran
−No dicen nada sobre lo que conserva el proveedor mientras el túnel está activo — eso se responde en las páginas sobre retención
−Un interruptor que se mantiene activo no corrige un túnel con fugas: DNS e IPv6 se comprueban por separado, en cómo comprobar que tu VPN funciona
−Un aprobado es una afirmación sobre esta versión del cliente; una actualización puede mover o restablecer el interruptor
Cuando el resultado no está claro
La descarga se detuvo unos segundos y después continuó
Comprueba el cliente antes de decidir qué ocurrió. Si se volvió a conectar y la descarga se reanudó a través del túnel, el interruptor funcionó y la pausa se debió a la reconexión. Si el cliente sigue mostrando que está desconectado y la descarga avanza, el interruptor abrió la red después de un tiempo de espera; eso significa que no se mantiene activo.
Una comprobación de dirección durante la transferencia reanudada lo confirma: la dirección de salida significa que el túnel ha vuelto; tu propia dirección significa que no.
No se detuvo nada, pero el cliente dice que el interruptor está activado
Entonces el alcance del interruptor es más limitado de lo que suponías. Muchos clientes solo lo hacen cumplir mientras se consideran conectados, por lo que un túnel que se les indicó cerrar o que murió junto con el proceso no lo activa. Busca un segundo modo con un nombre como permanente, siempre activo o al iniciar el sistema, y repite la prueba con ese modo activado.
Si no existe tal modo, el interruptor es meramente decorativo ante las interrupciones importantes, y el interruptor propio del sistema operativo, cuando la plataforma dispone de uno, es el que debes utilizar.
Todo se detuvo y nunca volvió
Eso significa que el interruptor está funcionando. Un interruptor que se mantiene activo deja la conexión inactiva hasta que regresa el túnel, y un cliente que no puede volver a conectarse te deja sin conexión hasta que le indiques que se desconecte correctamente o desactives el interruptor. En un portátil, ese es el comportamiento que solicitaste; solo parece un fallo porque el fallo que evita es silencioso.
Mismos pasos, otros equipos
El resto de las plataformas
Cada plataforma tiene su propia guía en lugar de una pestaña en esta. Los pasos divergen en cuanto se abre el instalador, y una página que responde a tres plataformas a la vez no responde bien a ninguna.