El túnel dividido, que en inglés se llama split tunneling, es una opción de la VPN que te deja elegir qué tráfico pasa por el túnel cifrado y qué tráfico sale directo a internet.

Con el túnel completo, todo va por la VPN; con el túnel dividido puedes mandar, por ejemplo, el navegador por la VPN y dejar fuera la app del banco, la impresora o un juego. Existe porque «todo por la VPN» es lo más seguro, pero no siempre lo más práctico.

  MODOS DEL TÚNEL

  todo adentro         protección completa
  unas apps afuera     banco, impresora
  solo algunas adentro muy puntual
      └─ lo sensato: todo adentro

Túnel completo y túnel dividido: la diferencia

Túnel completo. La app de VPN crea una conexión de red virtual y manda por ahí cada paquete de cada app. Tu proveedor y la red local ven una sola conexión cifrada, y los sitios ven la dirección del servidor de la VPN. No se escapa nada, salvo que algo esté mal configurado. Es lo que quieres en un wifi público y siempre que tu privacidad sea lo importante.

Túnel dividido. La app mantiene el túnel, pero agrega excepciones. Según la app, las excepciones pueden ser por app, «este programa no pasa por la VPN»; por destino, «este sitio o este rango de direcciones no pasa por la VPN»; o al revés, «solo estas apps usan la VPN y todo lo demás sale directo». El tráfico que queda fuera se comporta exactamente como si la VPN estuviera apagada: tu IP real, el DNS (la agenda telefónica de internet: nombre a dirección) de tu proveedor y ningún cifrado aparte del que ya use la propia app.

  LOS DOS SENTIDOS

  incluir las elegidas
    └─ solo la lista entra
    └─ todo lo demás sale directo
  excluir las elegidas
    └─ todo entra
    └─ menos la lista

Cuándo usar el túnel dividido

  • Apps del banco y de pagos que no funcionan con VPN o que bloquean tu cuenta si ven otro país. Dejarlas fuera mantiene protegido el resto de tu tráfico.
  • Los equipos de tu casa: la impresora, un disco en red, mandar video a la tele o una consola en el mismo wifi. Un túnel completo estricto puede esconderte tu propia red, y excluir las direcciones locales lo arregla.
  • Apps que necesitan velocidad: un juego en línea o una descarga grande que no necesita privacidad se puede saltar el rodeo de la VPN. Cuánto cuesta ese rodeo lo explicamos en VPN lenta.
  • Herramientas del trabajo que tienen que ver tu ubicación real o la red de la empresa, mientras el navegador sigue privado. Más en acceso por VPN del trabajo.

Cuándo el túnel dividido es un riesgo

Todo lo que excluyes queda completamente expuesto. Estos son los tres errores que la gente comete de verdad:

  1. Excluir el navegador porque un sitio no cargaba, y olvidarlo. El navegador casi siempre es lo único que debería estar siempre dentro del túnel.
  2. Excluir cosas en una red compartida. En el wifi de un café, el tráfico que dejaste fuera es tan visible para esa red como si no tuvieras VPN. Usa el túnel dividido en casa, no en la calle.
  3. El DNS fuera del túnel. Algunas configuraciones divididas mandan las consultas de DNS directo incluso para las apps que están dentro del túnel, y eso deja ver la lista de sitios que visitas. Después de configurarlo, haz la prueba de ¿qué es una fuga de DNS?.

Un kill switch (sin túnel, no hay internet) solo protege lo que está dentro del túnel. Las apps que excluiste siguen funcionando cuando se cae la VPN, y eso es a propósito, no una falla.

  CUÁNDO ES UN RIESGO

  navegador en la lista      nunca
  mensajes fuera del túnel   mala idea
  una lista larga            la vas
                             a olvidar
     └─ una app excluida sale sin
        protección, con todo lo que eso
        significa

Cómo configurar el túnel dividido

Android. El túnel dividido por app es nativo en Android: muchas apps de VPN muestran la lista de tus apps con casillas. Android también tiene «VPN siempre activada» y la opción para bloquear las conexiones sin VPN; esa segunda solo aplica a las apps que están dentro del túnel. Cómo dejar todo bien en Android está en cómo configurar una VPN en Android.

iPhone y iPad. iOS no les da a las apps de VPN normales un túnel dividido por app; eso solo existe en equipos administrados por una empresa. Lo que sí pueden hacer las apps en iOS es excluir destinos, por ejemplo las direcciones de tu red local, y usar reglas que prenden la VPN en ciertas redes wifi. Si una app de iPhone promete túnel dividido por app, revisa qué excluye en realidad.

Windows y Mac. La mayoría de las apps de VPN muestran las aplicaciones instaladas y te dejan marcar cuáles excluir o incluir. Muchas también tienen una opción para excluir la red local, para que la impresora y la transmisión a la tele sigan funcionando.

Router. En un router, el túnel dividido significa que algunos equipos de la casa pasan por el túnel y otros no. Es la única forma de tener una VPN en el router sin hacer más lento todo lo demás.

Túnel dividido al revés

Algunas apps te dejan invertir la lógica: solo las apps que eliges usan la VPN y todo lo demás sale directo. Sirve cuando quieres proteger un solo programa, por ejemplo un navegador para investigar algo, sin tocar el resto del sistema. La exposición es el reflejo: todo lo que no elegiste queda fuera del túnel, así que trata esa lista como lo que proteges, no como excepciones.

  UNA CONFIGURACIÓN SENSATA

  [ ] modo: todo por el túnel
  [ ] tres excepciones como máximo
  [ ] el navegador no es una de ellas
  [ ] revisa la lista cada mes

Una lista de excepciones es más fácil de hacer bien una vez que de arreglar después. Si quieres ayuda, pásale tus datos a una IA:

Prompt para la IA
Ayúdame a hacer la lista de excepciones de mi VPN.

Equipo: (Android / iPhone / Windows / Mac).
Apps que no funcionan con la VPN: (lista).
Apps que más uso: (lista).
¿Tengo impresora, disco en red o cámaras en casa?:
(sí / no).

Dime qué de verdad debe quedar fuera del túnel,
qué nunca debo excluir y por qué. Que la lista sea
corta: mientras más larga, menos vale el túnel.

Una configuración sensata

Túnel completo en todos lados, con dos excepciones como mucho: el acceso a tu red local y una o dos apps que de verdad no funcionan con VPN. Revisa esa lista de vez en cuando. Y en un wifi público, quita las excepciones: ahí es donde más importa el túnel y donde el tráfico excluido más se ve.

404 VPN funciona con VLESS. El plan gratis trae 2 GB al día sin tarjeta, y te puedes conectar con la app para Android o Mac, con el cliente abierto Tunnel o desde el bot de Telegram: página de descarga.