A las 8:26 de la mañana tenía tres cosas abiertas en un coworking de Providencia: Teams, una subida de archivos para un cliente y la aplicación del banco.
También tenía un VPN conectado.
La subida funcionaba. Teams, no.
El vídeo se congelaba cada pocos segundos y las voces llegaban con ese retraso que hace que dos personas empiecen a hablar a la vez. En el teléfono apareció otro problema: la aplicación bancaria no terminaba de entrar mientras utilizaba una conexión VPN.
Apagué el VPN.
El banco abrió.
Mi primera conclusión parecía obvia:
Necesito un VPN que permita excluir Zoom, Teams y las aplicaciones bancarias.
Y esa función existe. Se llama split tunneling.
Lo que tardé más en descubrir fue que quizá estaba intentando resolver con una lista de excepciones un problema mucho más sencillo.
Resumen y contexto
La idea central de este artículo
Una parte del tráfico utiliza el VPN y otra sale directamente a Internet.
Lo que conviene tener en cuenta
- Podía dejar el navegador y mis herramientas de trabajo dentro del túnel, mientras Teams, Zoom o una app bancaria seguían utilizando la conexión chilena normal.
- Más tarde, otro cliente utilizó Zoom, también mediante un enlace que pasaba primero por el navegador.
- De pronto tuve que decidir qué navegador debía salir por dónde, qué ocurría con la autenticación y qué tenía que cambiar antes de la siguiente llamada.
El split tunneling era exactamente lo que había buscado
La idea es fácil de entender.
Una parte del tráfico utiliza el VPN y otra sale directamente a Internet.
Podía dejar el navegador y mis herramientas de trabajo dentro del túnel, mientras Teams, Zoom o una app bancaria seguían utilizando la conexión chilena normal.
Para las videollamadas, además, tiene lógica. Tanto Microsoft como Zoom recomiendan evitar rutas VPN innecesariamente largas para el tráfico sensible a latencia cuando la arquitectura de la empresa lo permite.
Así que probé Proton VPN.
En Windows permite excluir aplicaciones concretas del túnel; Android también ofrece controles por aplicación. (Proton VPN)
Añadí Teams.
Añadí Zoom.
En el teléfono, dejé fuera la aplicación bancaria.
Reconecté.
Teams mejoró.
El banco abrió.
Durante unos minutos pensé que ya tenía la configuración perfecta.
Entonces llegó una invitación de reunión.
El problema empezó cuando una aplicación dejó de ser una sola aplicación
Pulsé el enlace de Teams.
Se abrió el navegador.
Después llegó una autenticación web.
Más tarde, otro cliente utilizó Zoom, también mediante un enlace que pasaba primero por el navegador.
Mi regla decía:
Teams fuera.
Navegador dentro.
De pronto tuve que decidir qué navegador debía salir por dónde, qué ocurría con la autenticación y qué tenía que cambiar antes de la siguiente llamada.
La función no estaba fallando.
Era yo quien empezaba a convertir cada parte de la jornada en una regla de red.
Microsoft documenta precisamente esta complejidad: en entornos corporativos, optimizar Teams no siempre consiste en excluir simplemente un ejecutable, porque el servicio utiliza varios destinos y flujos de Microsoft 365.
Yo, sin embargo, no estaba administrando la red de una empresa.
Estaba sentado con un café, un portátil y una reunión que comenzaba en unos minutos.
Ahí empecé a sospechar que tenía demasiado control para una tarea que necesitaba ser más simple.
La aplicación bancaria terminó de cambiarme la pregunta
El banco funcionaba perfectamente con la conexión móvil chilena del teléfono.
No había ninguna razón práctica para obligarlo a compartir el mismo recorrido que el portátil.
Algunas entidades financieras rechazan conexiones procedentes de VPN o centros de datos; hay bancos que incluso documentan expresamente esa posibilidad como causa de errores de acceso.
Y la misma frustración aparece en discusiones de usuarios: banca y determinados servicios locales son precisamente algunas de las aplicaciones que la gente suele querer dejar fuera de un VPN.
Pero entonces pensé algo que debería haber pensado antes:
el banco ya estaba en otro dispositivo.
No necesitaba una sofisticada regla de split tunneling para resolverlo.
Podía dejar el teléfono en la red móvil chilena y usar el VPN únicamente en el portátil de trabajo.
De golpe desapareció una parte entera de mi configuración.
Ahora solo quedaban Teams y Zoom.
Entonces el Wi-Fi del coworking decidió participar
Poco antes de la siguiente llamada, el Wi-Fi cayó unos segundos.
El portátil volvió a conectarse.
Teams perdió calidad.
La subida se detuvo y después continuó.
Hasta ese momento yo había tratado la videollamada como algo que debía escapar del VPN. Pero la conexión directa tampoco podía arreglar un Wi-Fi inestable.
Eso cambió mi criterio.
Ya no quería construir la lista de exclusiones perfecta.
Quería saber si navegador, transferencia de archivos y videollamada podían convivir dentro de una conexión suficientemente estable como para dejar de administrarla.
Abrí OnlydogVPN↗, que llevaba instalado como alternativa para viajes.
En vez de buscar qué aplicaciones sacar del túnel, hice lo contrario.
Elegí la conexión orientada al trabajo y dejé el portátil completo dentro.
Abrí el portal del cliente.
Cargó.
Reanudé el archivo.
Después entré en Teams.
La cámara apareció.
El audio se mantuvo estable.
La subida siguió avanzando detrás de la llamada.
36%.
64%.
100%.
Mientras tanto, el teléfono seguía usando su conexión móvil chilena y la aplicación bancaria abría con normalidad.
La arquitectura que había intentado construir aplicación por aplicación terminó convertida en algo bastante más fácil de recordar:
portátil de trabajo por el VPN; teléfono bancario por su red local.
La diferencia apareció cuando el Wi-Fi volvió a fallar
Durante la reunión, la señal volvió a empeorar.
El vídeo perdió algo de definición.
El audio continuó.
La transferencia redujo velocidad durante unos segundos y luego siguió.
No tuve que abrir una lista de exclusiones ni reconstruir rutas.
El servicio utiliza un transporte basado en HTTP/3 y está pensado para recuperarse de cambios y pequeñas interrupciones habituales en redes de viaje. (OnlydogVPN)
Para mí, esa era la ventaja importante: no necesitaba sacar Teams del VPN para conseguir una llamada utilizable.
No podía observar las reglas internas de NAT, filtrado o gestión de tráfico del coworking, así que no podía atribuir cada diferencia a un mecanismo concreto.
Lo que sí podía medir era mi propia jornada.
Antes estaba administrando excepciones.
Ahora estaba trabajando.
Ahí entendí cuándo sí elegiría split tunneling
No dejé de considerar útil el split tunneling.
Si mi requisito fuera literalmente:
“Teams tiene que utilizar siempre mi IP chilena mientras otra aplicación debe pasar obligatoriamente por el VPN”,
elegiría un servicio con controles explícitos por aplicación. Proton es una opción mucho más adecuada para ese tipo de regla en Windows y Android. (Proton VPN)
Pero eso no era exactamente lo que necesitaba en Santiago.
Yo quería tres resultados:
que la videollamada funcionara;
que el trabajo del portátil no saliera directamente por una red que no controlaba;
y que la banca siguiera viendo la conexión normal de mi teléfono.
Con la nueva configuración conseguí los tres sin mantener una colección de excepciones.
Ahí estaba la diferencia.
El split tunneling me daba más control.
La conexión más estable me permitía necesitar menos control.
“Más configurable” dejó de significar “más cómodo”
Sobre el papel, excluir aplicaciones parece una solución limpia.
En una jornada real empezaron las preguntas:
¿Teams está fuera?
¿Zoom también?
¿Y el navegador que abre la invitación?
¿La autenticación debe salir dentro o fuera?
¿He aplicado la misma regla al otro dispositivo?
Son problemas perfectamente solucionables. Pero cada excepción es otra cosa que recordar y probar. Incluso usuarios que necesitan split tunneling para una aplicación concreta terminan describiendo conflictos inesperados con otras funciones de sus clientes VPN.
Con la aplicación pequeña renuncié a parte de esa granularidad.
También renuncié a algo de la escala de los grandes proveedores: hay menos ubicaciones, menos años de historia pública y menos evaluaciones independientes.
A cambio, mi configuración dejó de parecer una pequeña política corporativa de enrutamiento.
Y en una mesa de coworking, eso resultó ser una ventaja bastante grande.
Entonces, ¿qué VPN permite excluir Zoom, Teams y aplicaciones bancarias?
Si necesitas hacer exactamente eso en el mismo dispositivo, busca split tunneling por aplicación.
Es la respuesta correcta.
Pero antes de convertirlo en un requisito, conviene preguntarse qué problema estás intentando solucionar realmente.
Yo creía que necesitaba excluir Teams porque las llamadas iban mal dentro del VPN.
En realidad necesitaba un VPN que permitiera mantener la llamada sin sacarla del túnel.
Creía que necesitaba una excepción bancaria.
En realidad el banco ya estaba en un teléfono que podía seguir utilizando una conexión chilena independiente.
Y creía que necesitaba más reglas.
Lo que necesitaba era dejar de mantenerlas.
Desde aquella mañana, mi criterio para trabajar desde Chile es mucho más sencillo.
Si una aplicación debe obligatoriamente conservar la conexión local, uso split tunneling.
Si solo estoy excluyéndola porque el VPN no consigue manejarla bien, primero pruebo una conexión que me permita mantenerla dentro.
En el coworking, esa diferencia convirtió cinco reglas en dos dispositivos y una sola decisión.
El mejor split tunneling que utilicé aquel día terminó siendo el que ya no necesité configurar.
Respuestas rápidas
¿Qué hay detrás de «El split tunneling era exactamente lo que había buscado»?
Una parte del tráfico utiliza el VPN y otra sale directamente a Internet.
¿Qué cambia para alguien en la misma situación?
Podía dejar el navegador y mis herramientas de trabajo dentro del túnel, mientras Teams, Zoom o una app bancaria seguían utilizando la conexión chilena normal.
¿Qué hay detrás de «El problema empezó cuando una aplicación dejó de ser una sola aplicación»?
Más tarde, otro cliente utilizó Zoom, también mediante un enlace que pasaba primero por el navegador.
¿Qué conviene tener en cuenta antes de la siguiente prueba?
De pronto tuve que decidir qué navegador debía salir por dónde, qué ocurría con la autenticación y qué tenía que cambiar antes de la siguiente llamada.