El concepto
Por defecto, cuando enciendes un VPN, cada aplicación de tu dispositivo rutea su tráfico por el túnel. Email, navegación, sincronizaciones en segundo plano, actualizaciones de apps — todo se cifra y se manda por el servidor VPN.
El split tunneling rompe este modelo de todo-o-nada. Eliges qué apps (o qué destinos) van por el VPN, y cuáles van directas por tu conexión de internet normal.
Dos sabores de implementación
Por app (VPN por aplicación)
El más común en VPNs de consumo. Seleccionas apps específicas para incluir o excluir. Ejemplos:
- Lista de inclusión: solo las apps de la lista van por el VPN; todo lo demás lo salta.
- Lista de exclusión: todo va por el VPN excepto las apps de la lista.
Las decisiones se toman a nivel aplicación — el tráfico de tu app de banca no va por el túnel, pero el de cualquier otra app sí.
Por IP / por ruta
Más flexible pero más difícil de configurar. Especificas rangos de IP u hostnames que deberían saltarse el VPN. Por ejemplo:
- "Excluir todo en 192.168.0.0/16" (tu red local — mantiene accesibles impresoras y NAS locales).
- "Excluir netflix.com y sus IPs de CDN" (para que Netflix vea tu ubicación real).
El split tunneling por IP es más común en setups VPN de escritorio y a nivel router. En móvil, el de por app es el default.
Casos de uso comunes
Apps de banca que bloquean VPNs
Muchas apps de banca detectan el tráfico VPN y bloquean sesiones como medida antifraude. Si usas con regularidad la banca móvil con el VPN activo, verás errores tipo "No podemos procesar esta solicitud ahora mismo" o simplemente fallos silenciosos de login. Solución: rutea la app del banco fuera del VPN.
El trade-off: el tráfico de tu banco va por tu conexión normal del ISP, así que lo ven. Esto normalmente está bien — tu banco ya sabe quién eres.
Recursos de red local
Impresoras de casa, dispositivos NAS, hubs de domótica,
servidores de archivos, servidores de juego locales — cualquier
cosa de tu red de casa u oficina. Estos dispositivos tienen IPs
privadas (192.168.x.x etc.) que no son alcanzables
por un túnel VPN porque el túnel sale en el servidor remoto del
proveedor, no en tu red local.
Solución: hacer split-tunnel para rutear el tráfico de IP local fuera del VPN. La mayoría de clientes VPN manejan esto automáticamente cuando activas "permitir acceso a la red local".
Aplicaciones sensibles a la latencia
Gaming online, llamadas de voz, videoconferencia — cualquier app donde cada milisegundo extra importe. El VPN añade algo de latencia (el tráfico desvía al servidor VPN antes de llegar a su destino). Rutear estas apps específicas fuera del túnel elimina ese overhead.
Trade-off: esas apps ya no se benefician de la protección VPN. Si estás en una red de confianza y solo te importa la latencia, esto está bien. En WiFi hostil, es turbio.
Apps específicas de región
A veces quieres que una app vea tu ubicación real por razones legítimas — apps del tiempo, reparto de comida, transporte compartido, mapas. Estas apps pueden romperse o comportarse raro si ven la ubicación de un VPN. Hazles split-tunnel fuera del VPN para obtener un comportamiento correcto.
El trade-off de seguridad
Cualquier cosa que rutees fuera del VPN queda expuesta a:
- Tu red local (otros dispositivos del WiFi).
- Tu ISP.
- Cualquier observador a lo largo de la ruta al destino.
En tu WiFi de casa esto está bien — confías en la red. En WiFi público es lo opuesto a lo que quieres.
Guía práctica:
- Redes de confianza (casa, oficina): el split tunneling es seguro y útil.
- Redes no confiables (WiFi público, hotel, aeropuerto): deshabilita el split tunneling y mantén todo en el túnel.
Algunas apps VPN te dejan configurar esto condicionalmente — split tunneling activo en el WiFi de casa, túnel completo en todo lo demás. Vale la pena usarlo si está disponible.
¿Y el DNS?
Un detalle a menudo pasado por alto: incluso si una app está excluida del túnel VPN, sus consultas DNS pueden ir igual por el resolver DNS del VPN (o viceversa). Esto puede causar comportamiento raro:
- App excluida pero el DNS va por el VPN → la app se conecta a un servidor geográficamente inapropiado porque el DNS devolvió una respuesta del lado VPN.
- App incluida pero el DNS va por el resolver local → IP de destino visible para el ISP, tirando por tierra parte del VPN.
Los clientes VPN con reputación (el nuestro incluido) manejan esto correctamente — las apps con split-tunnel obtienen su DNS de fuera del túnel, las apps tunelizadas obtienen su DNS de dentro. Las implementaciones turbias puede que no.
Split tunneling en ClownVPN
Nuestra app Android soporta split tunneling por app. Ajustes → Split Tunneling te deja:
- Elegir "Incluir todas las apps" (default) — todo va por el VPN.
- Elegir "Excluir apps específicas" — las apps seleccionadas saltan el VPN.
- Elegir "Incluir solo apps específicas" — solo las apps seleccionadas usan el VPN; todo lo demás directo.
El acceso a la red local siempre se permite cuando el VPN está activo, así que las impresoras de casa y dispositivos NAS siguen funcionando sin configuración manual.