Las conexiones VPN se caen a veces — cambios de red, reinicios de servidor, transiciones de suspensión/despertar. Sin un kill switch, durante ese hueco tu dispositivo vuelve a tu internet normal desprotegido. Cualquier conexión activa (streaming, llamadas, descargas) fuga brevemente tu IP real y tu tráfico. Un kill switch cierra el hueco bloqueando todo el tráfico hasta que el VPN vuelve.
Por qué pasan las caídas de VPN
Incluso los setups de VPN fiables se desconectan periódicamente:
- Cambios de red. Los dispositivos móviles cambian entre redes WiFi, entre WiFi y celular, entre torres celulares. Cada transición puede causar una breve desconexión.
- Eventos del lado servidor. Los servidores VPN se reinician por mantenimiento, se rebootean bajo carga, o fallan brevemente.
- Transiciones de suspensión / despertar. Cuando tu dispositivo se suspende, el túnel VPN puede necesitar restablecerse al despertar.
- Problemas del servicio VPN a nivel SO. Los servicios VPN de Android e iOS ocasionalmente necesitan reiniciarse.
- Hipos de conectividad. Cortes breves de internet, pérdida de paquetes, cambios de ruteo del ISP.
La mayoría de caídas son cortas — de sub-segundo a unos pocos segundos. Pero las caídas cortas siguen siendo caídas, y durante ellas tu tráfico fluye desprotegido.
Qué se fuga durante una caída
Sin un kill switch, durante la ventana desconectada:
- Tu IP real es visible para los sitios con los que hablan tus apps activas.
- Tus consultas DNS van a tu resolver DNS normal (probablemente el del ISP), no al del VPN.
- Las sincronizaciones en segundo plano (email, nube, apps de mensajería) revelan con quién estás conectado, aunque no muestren el contenido.
- Cualquier stream o llamada activa transmite brevemente desprotegida.
Para la mayoría de usuarios en la mayoría de redes, esto es molesto pero no catastrófico. En WiFi hostil o en casos de uso sensibles, es un problema real — toda la razón de usar un VPN queda socavada.
Cómo funciona un kill switch
El kill switch es esencialmente una regla de firewall. Cuando el cliente VPN detecta que el túnel está caído:
- Activa una regla a nivel sistema que bloquea todo el tráfico saliente excepto al propio servidor VPN (para que pueda reconectar).
- Las apps que intentan mandar tráfico reciben errores de conexión — "sin internet" desde su perspectiva.
- Cuando el túnel se restablece, la regla se elimina y el tráfico normal se reanuda.
La implementación varía por plataforma — Linux usa iptables, Windows usa WFP (Windows Filtering Platform), macOS usa pf, Android usa su framework de servicio VPN. La experiencia de usuario es similar en todas.
Tipos de kill switch
Kill switch a nivel app
El más común. El cliente VPN monitorea su propio túnel y activa el kill switch cuando detecta la desconexión. Limitaciones:
- Si la propia app VPN crashea, el kill switch puede no activarse (nadie está mirando).
- Activación ligeramente retrasada — hay un hueco entre la caída real y la detección.
Bueno para uso normal. La mayoría de apps VPN con reputación lo implementan de forma fiable.
Kill switch a nivel sistema
Más fuerte. Configurado a nivel SO para que el tráfico lo bloquee el propio sistema operativo, no la app VPN.
En Android, esto es "Bloquear conexiones sin VPN" (Ajustes → Redes e internet → VPN → ClownVPN → icono de rueda → VPN siempre activo + Bloquear conexiones sin VPN). Cuando está activado, Android se niega a rutear cualquier tráfico si el VPN configurado no está activo — aunque la app VPN crashee o sea cerrada.
En Windows, puedes configurar reglas de firewall manualmente (o usar clientes VPN que las monten por ti).
Kill switch por app
Algunos clientes VPN te dejan configurar el kill switch por aplicación. Ejemplo: el kill switch bloquea el tráfico de Firefox si el VPN se cae, pero permite que el tráfico de Spotify vuelva a internet normal.
Caso de uso: quieres protección estricta para navegar pero no quieres que la música pare. Nicho pero soportado por algunos clientes.
Recomendaciones de configuración
- Redes hostiles (WiFi público): kill switch on, idealmente a nivel sistema.
- Uso sensible a la privacidad: kill switch on, idealmente a nivel sistema.
- Uso rutinario en casa: opcional. Si tu red de casa es de confianza y las caídas de VPN no te preocupan, puedes dejarlo off.
- Dispositivos móviles en general: kill switch on, porque los dispositivos móviles tienen cambios de red frecuentes que causan caídas.
Gotchas que conocer
- Dolor del portal cautivo. Si el kill switch está on, no puedes acceder a la página del portal cautivo cuando te conectas por primera vez a un WiFi público (porque el VPN no puede conectar a través del portal cautivo, y el kill switch bloquea todo lo demás). La mayoría de clientes detectan portales cautivos y se pausan brevemente para dejarte autenticar; algunos no. Ten listo deshabilitar el kill switch temporalmente.
- Acceso a la red local. Un kill switch normalmente bloquea también el acceso a la red local — o sea que tu impresora de casa se vuelve inalcanzable mientras el VPN está caído. Algunos clientes te dejan whitelistear las IPs de la red local para evitar esto.
- Problemas de buffer en streaming. Si el kill switch se dispara durante el streaming, la app de streaming se lía. Normalmente se recupera pero a veces requiere reinicio.
Kill switch en ClownVPN
Nuestra app Android tiene ambos:
- Kill switch de app. Ajustes → Kill Switch → On. El default es off porque no queremos sorprender a los usuarios nuevos.
- Kill switch del sistema Android. Configúralo vía Ajustes de Android → Redes → VPN → ClownVPN → icono de rueda. Activa tanto "VPN siempre activo" como "Bloquear conexiones sin VPN".
Para protección máxima en redes hostiles, activa ambos. Para uso rutinario en casa, ninguno es estrictamente necesario.