Por qué tu VPN se desconecta sola y cómo hacer que aguante

La mayoría de las «desconexiones» no son el túnel fallando. Son el sistema operativo cerrándolo, o una configuración que nunca le dijo que siguiera hablando cuando está inactivo. Seis causas, en el orden en que conviene revisarlas.

En resumen

• Empieza por el keepalive. Un túnel basado en WireGuard, AmneziaWG incluido, se queda callado detrás de un router doméstico, el router olvida la correspondencia y ya no llega nada hasta que tú envías tráfico. PersistentKeepalive = 25 lo arregla en una línea.
• El MTU es la causa del síntoma más raro: conecta, carga páginas pequeñas y se atasca con las grandes.
• En Android, el ahorro de batería mata clientes de VPN con total normalidad. Hay que excluir la aplicación a mano.
• Cambiar de wifi a datos móviles rompe la sesión salvo que el cliente sepa reconectar solo.
• Si se cae siempre a los pocos segundos y en la misma red, no es un fallo: algo la está cortando a propósito.

Uno: sin keepalive, el router te olvida

El caso más frecuente y el que menos se diagnostica.

Tu router mantiene una tabla de qué conexión interna corresponde a qué conexión externa. Esa entrada caduca si no pasa tráfico durante un rato, a veces en treinta segundos.

Con un túnel tipo WireGuard el problema es que, cuando no haces nada, no se envía nada. El protocolo está diseñado para ser silencioso. El router concluye que la conexión terminó, borra la entrada y los paquetes que llegan del servidor ya no saben a qué dispositivo ir.

Síntoma típico: funciona mientras navegas, dejas el portátil cinco minutos y al volver no hay internet hasta que reconectas.

La solución es una línea en el perfil:

PersistentKeepalive = 25

Cada 25 segundos se envía un paquete mínimo que mantiene viva la entrada del router.

Dos: el dispositivo se durmió

Cuando un portátil o un móvil entra en suspensión, el sistema suspende las interfaces de red. Al despertar, el túnel sigue creído de que existe, pero la sesión de red subyacente ya no está.

Algunos clientes detectan esto y reconectan solos. Otros se quedan en un estado intermedio en el que parecen conectados y no pasa tráfico.

Si pasa siempre al abrir la tapa, no es la red: es la reanudación.

Tres: cambiaste de red

Pasar de wifi a datos móviles, o de una wifi a otra, cambia la dirección local del dispositivo. La sesión anterior deja de ser válida.

Un cliente bien hecho lo detecta y vuelve a levantar el túnel. Si el tuyo no lo hace, se queda colgado hasta que lo reconectas a mano. Es especialmente visible al salir de casa con el móvil en el bolsillo.

Cuatro: el MTU, la causa del síntoma más raro

El MTU es el tamaño máximo de paquete que puede viajar sin fragmentarse. Un túnel añade su propia cabecera, así que dentro del túnel cabe menos que fuera.

Si el valor es demasiado alto, los paquetes grandes no pasan y los pequeños sí. El resultado desconcierta: el túnel figura como conectado, las webs ligeras cargan, y todo lo que implique subir o bajar algo grande se queda colgado para siempre.

Si reconoces ese patrón, prueba a bajar el MTU en el perfil, típicamente a 1420 o algo menos. Es el ajuste que más veces resuelve «la VPN va rara pero está conectada».

Cinco: el móvil mató tu cliente

En Android, la optimización de batería cierra aplicaciones en segundo plano, y un cliente de VPN es exactamente eso. El sistema lo cierra, el túnel cae y a ti no te avisa nadie.

Hay que entrar en los ajustes de batería y excluir la aplicación de la optimización. En algunas marcas, con capas propias de personalización, hay un segundo interruptor escondido en otro menú.

En iOS pasa menos, pero el modo de bajo consumo también puede cortar conexiones en segundo plano.

Seis: algo lo corta a propósito

Si el túnel cae siempre a los diez o treinta segundos, y solo en una red concreta, deja de buscar fallos de configuración. Eso es filtrado.

El equipo de inspección profunda necesita un poco de tráfico para decidir, y la conexión vive exactamente hasta que decide. Es el patrón clásico de una red que identifica y corta protocolos de VPN.

Ahí la solución no es ajustar nada sino cambiar de protocolo. Un protocolo corriente se reconoce en milisegundos; por eso nosotros no vendemos WireGuard a secas, sino VLESS/Reality y AmneziaWG, y por eso los dos vienen en todos los planes: en una red filtrada suele pasar uno y no el otro.

Un orden de diagnóstico que te ahorra una tarde

• ¿Se cae estando inactivo? Keepalive.
• ¿Al despertar el equipo? Reanudación, revisa si el cliente reconecta solo.
• ¿Al cambiar de red? Reconexión automática del cliente.
• ¿Conecta pero se atasca con archivos grandes? MTU.
• ¿Solo en Android y en segundo plano? Batería.
• ¿Siempre a los pocos segundos y solo en esa red? Filtrado: cambia de perfil.

Y después de cualquier cambio, comprueba en el test de fugas que sigue todo donde debe.

Preguntas frecuentes

¿Keepalive gasta batería?

Muy poco. Es un paquete diminuto cada 25 segundos. El coste real es despreciable comparado con reconectar a mano.

¿Por qué solo se desconecta en casa?

Casi siempre es el router olvidando la entrada de NAT. Keepalive.

¿Un cambio de MTU puede empeorar las cosas?

Un valor demasiado bajo fragmenta de más y baja el rendimiento. Baja poco a poco, no de golpe.

Si se cae en el trabajo, ¿hay arreglo?

A veces. Prueba el otro perfil: si la red corta uno de los dos protocolos, el otro puede pasar. Si corta ambos, hablamos y vemos opciones.

¿Reconectar solo es inseguro?

No, siempre que el cliente no deje pasar tráfico fuera del túnel mientras reconecta. Esa ventana existe y es la razón por la que conviene revisar las fugas de vez en cuando.

Dos protocolos, porque uno no basta

VLESS/Reality y AmneziaWG en todos los planes, cambiables cuando la red se pone difícil. Una hora de prueba gratis, planes desde 1,99 $ la semana.