¿Qué es el split tunneling? 3 tipos, el riesgo y una configuración WireGuard

Por defecto, una VPN es todo o nada: la activas y todo lo que envía tu dispositivo pasa por el túnel cifrado. El split tunneling rompe esa regla. Te permite elegir qué tráfico pasa por la VPN y cuál usa tu conexión normal: útil, pero con un matiz que conviene entender. Esta guía explica qué es el split tunneling, sus tipos, por qué se usa, la contrapartida honesta y cómo hacerlo en una configuración de WireGuard autoalojada.

¿Qué es el split tunneling de una VPN?

El split tunneling es una función de VPN que enruta parte de tu tráfico por el túnel cifrado y deja que el resto vaya directo por tu conexión a internet normal. En lugar de un único túnel que lo lleva todo, divides tu tráfico en dos caminos: protegido (por la VPN) y directo (fuera de ella). Tú decides qué va por cada uno.

¿Cómo enruta realmente tu tráfico el split tunneling?

Defines reglas que le dicen a la VPN qué tráfico incluir o excluir. Esas reglas suelen funcionar de una de estas formas:

• Por aplicación: eliges apps concretas para enviarlas por la VPN (o para dejarlas fuera). Es habitual en los clientes VPN de escritorio y Android.
• Por destino: enrutas por rango de IP o dominio, de modo que el tráfico hacia ciertos sitios o redes usa el túnel y el resto no.
• Split tunnel inverso: todo pasa por la VPN excepto una lista corta que excluyes (práctico para una app que funciona mal detrás de una VPN).

Sea cual sea el método, el cliente VPN aplica tus reglas a cada conexión y la envía por el camino correcto.

¿Por qué usarías el split tunneling?

El split tunneling es sobre todo una cuestión de comodidad y rendimiento:

• Velocidad y ancho de banda. El tráfico que no necesita protección se salta el salto extra de la VPN, así que es más rápido y no consume el caudal del túnel. Las descargas grandes o las videollamadas suelen ir directo.
• Acceso a la red local. Puedes llegar a tu impresora, tu NAS u otros dispositivos de casa mientras la VPN sigue activa para todo lo demás, cuando normalmente un túnel completo te dejaría sin acceso a ellos.
• Doble acceso. Usa un servicio que bloquea las VPN (algunas apps bancarias o de streaming) por tu conexión real mientras otra app sigue en la VPN, sin tener que activarla y desactivarla.

¿Cuáles son los riesgos del split tunneling?

Esta es la parte que importa: todo lo que enrutas fuera del túnel no está protegido. Ese tráfico usa tu IP real y es visible para tu red y tu proveedor de internet, exactamente como si la VPN estuviera apagada. El split tunneling cambia algo de protección por comodidad, y el riesgo principal es la mala configuración: excluir algo sensible por error, o que una consulta DNS se escape fuera del túnel y revele lo que estás haciendo.

Así que la regla general es sencilla: excluye solo el tráfico que de verdad no te importe dejar sin protección. Si usas una VPN por privacidad o en una red hostil, un túnel completo (todo por la VPN) es la opción por defecto más segura, y el split tunneling es la excepción deliberada que haces para una app concreta.

¿Windows o macOS hacen split tunneling por defecto?

La mayoría de las explicaciones sobre el split tunneling se saltan la pregunta que lo decide todo en la práctica: ¿qué pasa si no configuras nada?

En Windows, la documentación de Microsoft responde directamente. El túnel forzado (force tunnel) es la configuración por defecto, y se aplica cuando no se especifica ninguna ruta. En una configuración de túnel forzado, todo el tráfico pasa por la VPN. Por tanto, el split tunneling no es el estado en el que caes por accidente, es el estado que tienes que pedir.

Merece la pena conocer el mecanismo, porque desmitifica todo el tema. Microsoft describe la única implicación del túnel forzado como la manipulación de las entradas de enrutamiento: las rutas por defecto IPv4 e IPv6 de la VPN, 0.0.0.0/0 y su equivalente v6, se añaden a la tabla de enrutamiento con una métrica más baja que las de otras interfaces. El tráfico pasa entonces por la VPN siempre que no haya una ruta más específica en la interfaz física.

Es la misma idea que expresan con AllowedIPs las configuraciones de WireGuard que verás más abajo. Distintos fabricantes, distinta sintaxis, un solo mecanismo: quien tiene la ruta más específica se queda con el tráfico.

De ahí se desprenden dos puntos prácticos.

El split tunneling es una decisión de enrutamiento, no una función de seguridad. Microsoft presenta la elección como una que afecta a la configuración, la planificación de capacidad y las expectativas de seguridad de la conexión. Cambia qué paquetes están protegidos, así que cambia lo que la conexión promete, y es una decisión que hay que tomar de forma deliberada, no un ajuste que se activa porque suena más rápido.

También existen rutas de exclusión. Con la VPN de Windows puedes especificar rutas que no deben pasar por el túnel, que es la imagen inversa de elegir cuáles sí. Las dos direcciones producen un túnel dividido; la diferencia está en si tu punto de partida es la confianza o la exclusión.

¿Cómo configuras el split tunneling en WireGuard?

En WireGuard no existe ningún interruptor llamado "split tunnel": lo decides por completo con AllowedIPs, que enumera lo que captura el túnel. Todo lo que no aparece en esa lista sigue usando tu conexión normal.

El error que viene después es siempre el mismo: un rango tan amplio que se traga la red local, de modo que las impresoras y el NAS dejan de responder mientras el túnel está activo, y nadie relaciona ambos hechos. wg-clients-audit lee una carpeta de configuraciones e informa exactamente de eso, además de direcciones duplicadas y claves reutilizadas.

Si gestionas tu propia VPN, ya tienes split tunneling: es simplemente el ajuste AllowedIPs de la configuración de tu cliente WireGuard. AllowedIPs = 0.0.0.0/0, ::/0 enruta todo el tráfico por el túnel (un túnel completo). Si en su lugar indicas solo subredes concretas, únicamente ese tráfico usa WireGuard y todo lo demás se queda en tu conexión normal (un túnel dividido). No hace falta ningún interruptor especial: la configuración de enrutamiento es el control, otro motivo más por el que un servidor WireGuard autoalojado te da un control preciso sobre tu tráfico.

Nuestro generador de configuración WireGuard gratuito te deja elegir un túnel completo (0.0.0.0/0, ::/0) o un túnel dividido al crear las configuraciones de tus clientes, con las claves generadas en tu navegador. El generador es gratuito y sin cuenta, hasta 250 dispositivos, y su exportación ZIP reúne cada .conf de cliente y su código QR en PNG, práctico para equipar una oficina o una familia entera de una vez.

Configuraciones concretas de WireGuard

Como AllowedIPs es el control, ayuda ver las líneas reales en lugar del principio. Van en la sección [Peer] de la configuración de tu cliente.

Túnel completo: todo por la VPN, la opción por defecto segura:

AllowedIPs = 0.0.0.0/0, ::/0

Túnel dividido, solo la subred remota: llegas a la red de tu casa u oficina por la VPN y todo lo demás va directo:

AllowedIPs = 10.0.0.0/24

Túnel dividido, red VPN más un servicio: el túnel lleva tu subred privada y un destino concreto:

AllowedIPs = 10.0.0.0/24, 203.0.113.10/32

Una dirección individual necesita el sufijo /32 (o /128 en IPv6). Fíjate en lo que implica este diseño: WireGuard divide por destino, no por aplicación. Si necesitas reglas por app, esa lógica vive en tu cliente VPN o en tu sistema operativo, no en el propio WireGuard.

¿Necesitas lo contrario, todo excepto tu red local o una dirección? AllowedIPs no tiene sintaxis de exclusión, así que tienes que enumerar todas las demás redes. Nuestra calculadora AllowedIPs de WireGuard gratuita hace esa resta para IPv4 e IPv6 y te devuelve la línea exacta, además de la exclusión de la IP del servidor que wg-quick necesita en Linux.

¿Cómo compruebas que el split tunneling funciona?

El fallo habitual es un túnel dividido que, sin avisar, enruta más (o menos) de lo que pretendías. Dos comprobaciones lo aclaran.

Qué ruta se usa. En Linux o macOS, ip route get 1.1.1.1 (o route get 1.1.1.1) muestra la interfaz que usará un destino. Si indica tu interfaz WireGuard para algo que querías excluir, tu AllowedIPs es más amplio de lo que crees.

Qué ve internet. Carga una página de comprobación de IP desde la app que enrutaste por el túnel y desde una app que excluiste. La primera debería mostrar la dirección del servidor VPN; la segunda, tu dirección real. Si ambas muestran la misma dirección, no tienes un túnel dividido: tienes un túnel completo o ninguno.

La trampa del DNS

Este es el fallo que pilla a la gente desprevenida, y merece su propia advertencia. Tus consultas DNS pueden escaparse fuera del túnel aunque tu tráfico se enrute correctamente.

Si tu cliente envía las consultas DNS a un resolver al que se llega fuera del túnel, tu proveedor de internet ve el nombre de cada sitio que visitas, incluidos los que enrutaste con cuidado por la VPN. El tráfico está cifrado; la consulta que lo precedió, no. Eso anula buena parte del sentido.

En WireGuard, la línea DNS = de la sección [Interface] del cliente define el resolver que se usa mientras el túnel está activo. Apúntala a un resolver accesible a través del túnel si quieres que las consultas estén protegidas. Después verifícalo con un test de fugas de DNS en lugar de darlo por hecho, porque los sistemas operativos tienen sus propias ideas sobre el orden de los resolvers y a veces ignoran el tuyo.

El veredicto

El split tunneling es una función realmente útil para la velocidad, el acceso local y las conexiones dobles, siempre que recuerdes que el tráfico excluido no recibe ninguna de las protecciones de la VPN. Úsalo de forma deliberada para las apps que se benefician, mantén todo lo sensible dentro del túnel y, ante la duda, enruta todo por la VPN.

El comportamiento por defecto de Windows descrito aquí, incluido que el túnel forzado es la configuración por defecto cuando no se especifica ninguna ruta, la manipulación de las entradas de enrutamiento con una métrica más baja que otras interfaces, la disponibilidad de rutas de exclusión y la presentación de la elección como algo que afecta a la configuración, la planificación de capacidad y las expectativas de seguridad, procede de la documentación de Microsoft sobre las decisiones de enrutamiento VPN, consultada en el momento de redactar este artículo. Otras plataformas tienen otros comportamientos por defecto; consulta la documentación de tu propio cliente.