Túnel dividido: elegir qué pasa por la VPN
Normalmente todo lo que envía su dispositivo pasa por el túnel. El túnel dividido le permite reservar excepciones: una aplicación bancaria que desconfía de las direcciones extranjeras, una impresora de su propia red, una herramienta de trabajo que solo responde en local.
Es una función del plan de pago. En el plan gratuito el control no se muestra en absoluto, y esta guía no se corresponderá con lo que usted ve.
Existe en el ordenador y en el teléfono. Las pantallas se parecen, y las reglas que siguen son las mismas, pero el filtro de aplicaciones se aplica en lugares distintos, y de ahí se derivan cosas que conviene saber (§5).
1. Dos listas, cada una con dos modos
Hay dos filtros independientes:
- Aplicaciones — por programa en el ordenador, por aplicación instalada en el teléfono;
- Sitios — nombres de dominio y rangos de IP.
Cada uno tiene un modo:
- Excluir — todo pasa por la VPN excepto lo que usted haya enumerado;
- Incluir — solo lo enumerado pasa por la VPN, todo lo demás va directo.
Una lista vacía no hace nada. Ambas listas vacías, o el interruptor principal apagado, significa que todo se tuneliza como siempre.
2. La regla que decide: gana lo que va directo
Cuando ambos filtros opinan sobre la misma conexión, gana la excepción: si cualquiera de las listas dice que esa conexión debe ir directa, va directa.
| Lo que usted configura | Qué ocurre |
|---|---|
| un sitio excluido, desde una aplicación que por lo demás se tuneliza | directo — el sitio es una excepción |
| un sitio incluido, desde una aplicación que usted excluyó | directo — la aplicación también es una excepción, y la excepción gana |
| ambas listas en excluir | la suma de sus reservas: todo tunelizado excepto la aplicación X y el sitio Y |
| nada enumerado | todo por la VPN |
La segunda fila sorprende, así que conviene decirlo con claridad: un «incluir» no devuelve nada al túnel. Incluir estrecha lo que la VPN transporta; no anula una exclusión hecha en otro sitio. Si quiere que un sitio pase por la VPN desde una aplicación concreta, no excluya esa aplicación.
3. En el ordenador
El control está en Ajustes, como un enlace a su propia pantalla.
Arriba el interruptor principal; debajo la lista de aplicaciones con su modo, luego la lista de sitios con el suyo, y después Aplicar. Nada surte efecto hasta que pulse Aplicar.
Las reglas por aplicación necesitan el modo de túnel completo. Atribuir una conexión al programa que la abrió es algo que solo puede hacer el túnel completo: en modo proxy la lista de aplicaciones queda inerte mientras la lista de sitios sigue funcionando. Si no sabe en qué modo está, Ajustes lo muestra en Modo de conexión.
4. En el teléfono
Menú → Ajustes → Túnel dividido.
Las mismas dos listas en el mismo orden: el modo, luego las aplicaciones instaladas, luego los sitios.
El botón SAVE está justo abajo, debajo del cuadro de sitios, y es lo único que guarda su elección. Si sale de la pantalla con el gesto de volver, se descarta.
Su cambio llega a un túnel en marcha la próxima vez que se construya: vuelva a conectar después de guardar.
5. En qué se diferencian
Las pantallas coinciden y la regla que decide es la misma. La maquinaria de debajo no lo es.
| Ordenador | Teléfono | |
|---|---|---|
| dónde se aplica el filtro de aplicaciones | como regla de enrutamiento dentro del túnel | en la propia interfaz del túnel, por Android |
| ¿la lista de aplicaciones necesita el túnel completo? | sí — inerte en modo proxy | no, siempre disponible |
En el ordenador, el tráfico de una aplicación excluida entra igualmente en el software del túnel y una regla lo devuelve hacia fuera. Por eso importa el modo: solo el túnel completo sabe qué programa abrió una conexión, así que en modo proxy la lista de aplicaciones no hace nada en absoluto mientras la de sitios sigue trabajando.
En el teléfono es Android quien aplica la lista de aplicaciones, en la interfaz, antes de que nada nuestro vea el tráfico. Una aplicación excluida queda fuera del túnel desde el primer paquete. Para usted el resultado es el mismo que en el ordenador —la aplicación va directa—, pero ocurre una capa más abajo, y por eso el teléfono no necesita ningún equivalente de la condición de modo del ordenador.
6. Qué merece la pena poner en las listas
- lo que deba ver su ubicación real — un banco, un servicio público, una aplicación de reparto local;
- su propia red — una impresora, un NAS, la página de administración de un router. Como direcciones (
192.168.0.0/16,10.0.0.0/8), no como nombres; - grandes servicios locales que no necesita proteger, si prefiere no gastar el túnel en ellos.
Y una cosa que conviene mantener dentro del túnel: todo aquello que no quiera que su proveedor vea que usa. Una conexión excluida es una conexión corriente, visible para su red, su proveedor y cualquiera que esté en el camino, exactamente como si la VPN no existiera. En eso consiste toda la función, y ese es todo su precio.