Android 15 y 16: Always-on y VPN por aplicación — guía paso a paso con configuración en Pixel

Introducción

En esta guía paso a paso configurarás un VPN estable y seguro en Android 15 o Android 16, activarás el modo Always-on, limitarás el tráfico solo a través del VPN (modo bloqueo), establecerás reglas por aplicación, es decir, dirigirás el VPN solo para apps seleccionadas o, al contrario, las excluirás. Exploraremos dos opciones confiables para clientes en Android — WireGuard y OpenVPN, así como IKEv2 para el cliente integrado. Obtendrás un resultado que funciona siempre, se activa automáticamente tras reiniciar y no permite tráfico fuera del VPN. Además, aprenderás a comprobar que no haya fugas de DNS o IPv6 y a diagnosticar problemas si algo falla.

¿Para quién es esta guía? Para usuarios primerizos que necesitan instrucciones claras desde cero, y para avanzados — hemos incluido bloques con optimización MTU, split tunneling, perfiles corporativos y un breve análisis de los cambios en la API VPN para Android 15/16. Si configuras VPN en un teléfono de trabajo, te serán útiles las secciones sobre Perfil Administrado y política Always-on mediante herramientas de gestión de dispositivos. Si eres desarrollador de clientes VPN, encontrarás consejos prácticos sobre qué tener en cuenta con targetSdk 35/36.

¿Qué necesitas saber antes? Nada complicado. Explicaremos todo en lenguaje sencillo y no omitiremos pasos evidentes. Si alguna vez instalaste una app desde Google Play y entraste en ajustes de Android, podrás hacerlo. Indicaremos detalladamente dónde tocar, qué ingresar y cómo verificar.

¿Cuánto tiempo toma? La configuración básica de WireGuard con Always-on y bloqueo de tráfico sin VPN toma entre 20 y 30 minutos. Para reglas por aplicación y tests, otros 20–30 minutos. Para optimizaciones avanzadas y escenarios corporativos, de 15 a 30 minutos según las tareas.

Preparación previa

Antes de empezar, asegúrate de tener todo lo necesario. Esto te ahorrará tiempo y reducirá riesgos de errores.

Herramientas y accesos necesarios

• Smartphone con Android 15 o Android 16. Para la guía paso a paso usaremos la interfaz de Google Pixel con Android puro. También daremos alternativas para Samsung (One UI) y Xiaomi/POCO/Redmi (HyperOS/MIUI).
• Acceso a internet en el smartphone (Wi-Fi o red móvil).
• Acceso a servidor VPN y configuraciones. Puedes usar configuraciones existentes de WireGuard o OpenVPN, así como parámetros para IKEv2.
• Posibilidad de instalar apps desde Google Play (WireGuard, OpenVPN Connect, OpenVPN for Android) si es necesario.

Requisitos del sistema

• Android 15 o Android 16. Si tienes Android 14, la mayoría de las instrucciones son idénticas, aunque los nombres de menús pueden variar ligeramente.
• Batería del dispositivo con al menos 30%. Recomendamos conectar el cargador antes de comenzar.
• Espacio libre de 50–100 MB para instalar clientes y guardar configuraciones.

Qué descargar e instalar

• WireGuard (cliente oficial). Compatible con archivos .conf e importación por QR.
• OpenVPN Connect (oficial) o OpenVPN for Android (con muchas opciones avanzadas). Compatible con archivos .ovpn.
• Si planeas usar IKEv2, no necesitas app adicional, usarás el cliente integrado de Android, pero necesitarás parámetros y certificados del servidor.

Copias de seguridad

No es necesaria una copia de seguridad del sistema por separado. Sin embargo, es recomendable guardar las configuraciones VPN en un lugar seguro, como un gestor de contraseñas o nube cifrada. Si importarás configuraciones desde otro dispositivo, asegúrate de que no se hayan guardado en la galería de fotos o en carpetas abiertas sin cifrado.

Consejo: Si usas un smartphone de trabajo, consulta con el administrador de TI antes de activar Always-on y modo bloqueo. Algunas políticas corporativas gestionan estos ajustes centralmente y podrían no estar disponibles para el usuario.

Conceptos básicos

Términos clave explicados sencillamente

• VPN — túnel seguro para tu tráfico de internet. Cifra los datos y los envía vía servidor para que proveedores y redes no vean su contenido o destino.
• Always-on VPN — modo en el que el VPN se activa automáticamente tras reiniciar y se mantiene activo siempre.
• Bloqueo sin VPN (a veces llamado Lockdown) — opción que impide que cualquier tráfico salga a internet si el VPN está desconectado. Evita fugas accidentales.
• VPN por aplicación — modo en el que eliges apps específicas cuyo tráfico pasa por VPN o, al contrario, excluyes ciertas apps del túnel.
• Split tunneling — término técnico que significa dividir el tráfico: parte pasa por VPN, parte directo. Es básicamente VPN por aplicación o reglas más complejas.
• Configuración o perfil — archivo con ajustes para el cliente VPN, por ejemplo .conf para WireGuard, .ovpn para OpenVPN, parámetros y certificados para IKEv2.

Qué es importante entender antes de comenzar

• El cliente VPN debe permanecer en memoria para que la conexión no se interrumpa. En Android 15/16 el sistema gestiona bien procesos en segundo plano, pero te diremos cómo garantizar estabilidad.
• Always-on lo gestiona el sistema, pero el canal lo provee la app. Si esta se cierra forzadamente o pierde red, el túnel se corta, pero si está bien configurado se restablece solo.
• VPN por aplicación depende en parte de las capacidades del cliente. Mostraremos el método del sistema donde esté disponible y métodos dentro de los clientes WireGuard/OpenVPN.

⚠️ Atención: Los protocolos PPTP y L2TP sin IPsec se consideran obsoletos o inseguros en Android modernos. Usa WireGuard, OpenVPN o IKEv2/IPsec. Esto es importante tanto para velocidad como para seguridad.

Paso 1: Actualizamos Android y preparamos el dispositivo

Objetivo

Verificar versión de Android, actualizar sistema y preparar el teléfono para la instalación y uso estable de VPN.

Instrucciones detalladas

1. Abre Ajustes en tu smartphone.
2. Desplázate hacia abajo y toca Sistema o Acerca del teléfono según modelo.
3. Busca Versión de Android. Asegúrate que sea 15 o 16.
4. Regresa y entra a Sistema → Actualización del sistema. Toca Buscar actualizaciones. Instala todos los parches de seguridad disponibles. Espera a que finalice.
5. Reinicia el smartphone después de la actualización si se te solicita.
6. Ve a Ajustes → Aplicaciones → Acceso especial → Acceso ilimitado a datos. Busca el cliente VPN futuro (WireGuard u OpenVPN) o regresa aquí después de instalarlo. Activa el interruptor Permitir acceso ilimitado a datos para los clientes VPN.
7. Accede a Ajustes → Batería → Ahorro de energía. Desactiva modos agresivos que afecten el trabajo en segundo plano o añade la app VPN a excepciones. En Pixel: Ajustes → Aplicaciones → Todos → WireGuard → Batería → Sin restricciones. En Samsung: Ajustes → Aplicaciones → WireGuard → Batería → Permitir actividad en segundo plano. En Xiaomi: Ajustes → Batería → Ahorro de batería apps → WireGuard → Sin restricciones.
8. Si usas launcher con optimizaciones, desactiva task killers para el cliente VPN.

Consejo: Añade un acceso directo del cliente VPN a la pantalla principal para reiniciar el túnel rápido con un solo toque si es necesario.

Resultado esperado

Dispositivo actualizado, funcionamiento en segundo plano del cliente VPN sin limitaciones, preparación completada.

✅ Verificación: Abre Ajustes → Aplicaciones → WireGuard (o tu cliente) → Batería. Debe indicar Sin restricciones o Ninguna limitación.

Problemas comunes y soluciones

• No hay actualizaciones disponibles. Causa: el fabricante aún no lanzó el parche. Solución: revisa más tarde, continúa con la configuración en la versión actual.
• No aparece el menú de batería requerido. Causa: otra interfaz o capa. Solución: busca un equivalente usando palabras clave batería o segundo plano en ajustes.

Paso 2: Instalamos cliente VPN e importamos configuración

Objetivo

Instalar el cliente elegido, importar configuración y asegurar que el túnel básico se active.

Instrucciones para WireGuard

1. Abre Google Play, busca WireGuard e instala la app.
2. Abre WireGuard. En la pantalla principal toca el icono de más.
3. Elige Importar desde archivo o archivo comprimido si tienes .conf, o Escanear código QR si tu proveedor ofrece QR.
4. Busca el archivo .conf en el explorador y selecciónalo. Si pide permisos para acceder a archivos, concédelos.
5. Asigna un nombre claro al perfil, por ejemplo WG-Casa o WG-Trabajo.
6. Guarda. Verás un interruptor junto al perfil. Actívalo. Confirma la creación de la conexión VPN en el diálogo del sistema presionando OK.

Instrucciones para OpenVPN

1. Instala OpenVPN Connect u OpenVPN for Android desde Google Play.
2. Abre la app. Toca Importar.
3. Selecciona Importar desde archivo y señala el .ovpn. Si se requieren certificados o usuario/contraseña, la app te lo pedirá. Ingresa y guarda el perfil.
4. Toca Conectar. Confirma creación de la conexión VPN en el diálogo del sistema.

Instrucciones para IKEv2 (cliente integrado de Android)

1. Abre Ajustes → Red e Internet → VPN.
2. Toca el icono de más o Añadir VPN.
3. En Tipo selecciona IKEv2/IPSec PSK o IKEv2/IPSec RSA según el servidor.
4. Escribe Nombre, Dirección del servidor, Identificador, Clave precompartida (si es PSK), elige Certificado de usuario (si RSA). Guarda.
5. Toca el perfil creado → Conectar. Ingresa credenciales si es necesario.

Consejo: Si dudas qué elegir, empieza con WireGuard. Es sencillo, eficiente con la batería y estable en Android.

⚠️ Atención: Antes de importar configuraciones, asegúrate que la fuente sea confiable. Nunca uses claves públicas o usuarios compartidos: esto expone a interceptaciones y bloqueos por parte de servicios.

Resultado esperado

Puedes conectarte manualmente al VPN y ves el estado Conectado. Aparece icono de llave en la barra de estado.

✅ Verificación: Abre el navegador y busca Mi IP. Asegúrate que la dirección externa cambió a la del servidor VPN.

Problemas comunes y soluciones

• No se conecta. Causa: dirección o clave incorrectas. Solución: revisa la configuración, comprueba conexión a internet, reinicia el teléfono.
• OpenVPN pide usuario/contraseña que no conoces. Causa: servidor exige autenticación. Solución: solicita datos al proveedor o usa perfil con certificado.
• WireGuard conecta pero no hay tráfico. Causa: AllowedIPs erróneos o falta ruta 0.0.0.0/0. Solución: corrige configuración en servidor o cliente.

Recomendación práctica para elegir servidor

Si deseas un resultado predecible sin IP compartida ni problemas con otros usuarios, considera el servicio vpn.how. Es ideal para quienes valoran estabilidad y control: servidor VPN personal con IP dedicada, soporte para WireGuard, OpenVPN, IKEv2, L2TP, SSTP (elige según compatibilidad y necesidades), ubicaciones en Moscú, San Petersburgo, Ámsterdam, Frankfurt, Londres, Nueva York, San José, Chicago, Singapur, Sídney, Madrid, Helsinki, Estocolmo, Varsovia, Copenhague, Stavanger, pagos con tarjetas rusas (Tinkoff, Ozon), a través de SBP y USDT/BTC, tarifas desde 490 ₽ por día y desde 2490 ₽ al mes con descuentos para períodos prolongados, arranque automático del servidor en 5 minutos tras pago y política sin registros. En tu cuenta personal en vpn.how tienes archivos de configuración listos para WireGuard, OpenVPN e IKEv2 — solo descargas y los importas al cliente, acelerando el proceso y eliminando errores.

Paso 3: Activamos Always-on VPN y modo bloqueo sin VPN

Objetivo

Lograr que el VPN se active automáticamente y que el tráfico no escape si se desconecta. Esta es la capa principal de seguridad en Android 15/16.

Instrucciones para Google Pixel (Android 15/16)

1. Abre Ajustes → Red e Internet → VPN.
2. Busca la app VPN instalada en la lista. Toca el engranaje junto al nombre o el nombre para acceder a ajustes del perfil.
3. Activa el interruptor Always-on VPN.
4. Activa el interruptor Bloquear conexiones sin VPN (a veces llamado Lockdown o bloqueo VPN). Confirma la advertencia de que el tráfico se bloqueará sin VPN.
5. Sal de ajustes y reinicia el teléfono para confirmar que el perfil se inicia automáticamente.

Instrucciones para Samsung (One UI)

1. Abre Ajustes → Conexiones → Ajustes de conexión avanzados → VPN.
2. Toca el icono de engranaje junto al perfil deseado.
3. Activa Siempre activo.
4. Activa Bloquear sin VPN, si está disponible. Confirma.
5. Reinicia el dispositivo para verificar el inicio automático.

Instrucciones para Xiaomi/POCO/Redmi (HyperOS/MIUI)

1. Abre Ajustes → Conexiones y uso compartido → VPN.
2. Toca el perfil o el icono de opciones.
3. Activa Always-on o similar (el nombre puede variar).
4. Busca y activa Bloquear tráfico sin VPN si está presente.
5. Reinicia el teléfono y verifica el icono de llave tras activar Wi-Fi o red móvil.

Consejo: Si no ves opción Bloquear sin VPN, verifica en ajustes generales de seguridad o en opciones avanzadas del perfil. En algunos fabricantes está oculta en submenús adicionales.

Resultado esperado

Después de reiniciar, el icono de VPN aparece solo. Cualquier intento de acceder a internet sin VPN activo es bloqueado por el sistema.

✅ Verificación: Apaga el VPN en la app. Intenta abrir un sitio web. Debería aparecer error de conexión hasta que enciendas el VPN nuevamente. Luego activa VPN y asegúrate que las páginas cargan.

Problemas comunes y soluciones

• VPN no arranca tras reiniciar. Causa: restricciones de batería o Always-on en perfil incorrecto. Solución: revisa configuración de batería en paso 1; confirma que Always-on está activo para el perfil correcto.
• No aparece opción Bloquear sin VPN. Causa: capa oculta o política del dispositivo. Solución: usa cliente con kill-switch interno (OpenVPN for Android tiene bloqueo de rutas), o revisa Ajustes → DNS Privado y desactiva configuraciones que interfieran con VPN.

Paso 4: Configuramos VPN por aplicación a nivel del sistema y en clientes

Objetivo

Que el VPN se aplique a todas las apps o solo a algunas, o que se excluyan ciertas apps. Útil para banca, juegos o apps locales que no deben pasar por VPN.

Ajustes del sistema para VPN por aplicación en Android 15/16 (si están disponibles)

1. Entra en Ajustes → Red e Internet → VPN.
2. Toca el nombre de tu VPN y abre Ajustes avanzados. En algunos dispositivos hay una opción Apps que usan VPN o Excepciones de apps.
3. Si existe, marca las apps que deben evitar VPN o al contrario, usar VPN. Guarda los cambios.

Nota. La disponibilidad de lista de apps para VPN por aplicación depende del fabricante y del cliente VPN. En Android puro esta función suele delegarse al cliente VPN. A continuación, el método garantizado en las apps WireGuard y OpenVPN.

VPN por aplicación en WireGuard

1. Abre WireGuard → toca perfil → icono de lápiz (Editar).
2. Desplázate hasta Opciones del túnel. Busca Aplicaciones que usan VPN o Allowed applications. Puede estar en submenús según versión.
3. Añade apps que DEBEN usar VPN si activas lista permitida, o especifica exclusiones para la opción opuesta. Guarda.
4. Desconecta y vuelve a conectar el perfil para aplicar cambios.

VPN por aplicación en OpenVPN for Android

1. Abre OpenVPN for Android → mantén pulsado perfil → Editar.
2. Ve a sección Comportamiento o Enrutamiento (a veces Apps).
3. Abre Gestión de aplicaciones. Escoge Modo solo apps seleccionadas usan VPN o Excluir apps seleccionadas del VPN. Marca las apps necesarias. Guarda.
4. Reconecta el perfil para aplicar.

Consejo: Si no sabes cómo empezar, usa el modo Excluir del VPN para banca y apps locales sujetas a geobloqueo o antifraude.

Resultado esperado

Has creado una lista de apps cuyo tráfico pasa por túnel y excluiste las que no necesitan VPN. Sistema y cliente aplican reglas de forma estable.

✅ Verificación: Abre una app excluida y verifica su IP externa con navegador integrado o botón de comprobar conexión si hay. Luego abre una app forzada a VPN y confirma que la IP corresponde al servidor VPN.

Problemas comunes y soluciones

• No se ve opción VPN por aplicación en WireGuard. Causa: versión del cliente o build. Solución: actualiza cliente o usa OpenVPN for Android que ofrece reglas más flexibles.
• Una app sigue pasando por VPN. Causa: caché de rutas o comportamiento. Solución: reconecta el perfil, reinicia la app, limpia su caché y prueba otra vez.

Paso 5: Perfiles de trabajo y escenarios multiusuario

Objetivo

Configurar VPN para perfiles de trabajo, segundos usuarios o modos infantiles sin conflictos ni caídas de túnel.

Perfil de trabajo (Managed Profile) y Always-on

1. Si tu teléfono está gestionado por IT con agente corporativo, abre Ajustes de trabajo o App de administración de dispositivos.
2. Ve a política de red o VPN. Busca opción Always-on VPN para perfil de trabajo.
3. Elige app VPN gestionada y activa Bloquear sin VPN dentro del perfil. Guarda política.
4. Sincroniza el dispositivo con el servidor de gestión. Espera a que se aplique la política.

Si eres administrador, Device Policy Controller puede forzar Always-on a través de política e incluir bloqueo. En ese caso, ajustes de usuario pueden estar bloqueados o en solo lectura.

Modo multiusuario

1. Abre Ajustes → Sistema → Varios usuarios. Activa si hace falta.
2. Crea un segundo usuario. Cambia a él.
3. Instala el cliente VPN y configura su perfil aparte. Cada usuario tiene configuraciones VPN independientes, incluyendo Always-on y bloqueo.
4. Repite pasos para usuario principal si quieres políticas diferentes.

Consejo: Para niños configura Always-on y bloqueo, limitando cambios con Perfil infantil o Enlace familiar, asegurando que el tráfico pase a través de servidor filtrado.

Resultado esperado

Perfiles de trabajo y personales usan distintos perfiles VPN con reglas propias. Conflictos mínimos, túnel estable.

✅ Verificación: Cambia entre usuarios o perfiles y comprueba estado de VPN e IP externa. En perfil laboral, confirma que la política bloquea tráfico sin VPN.

Problemas comunes y soluciones

• Usuario no ve opción bloqueo. Causa: política bloquea ajuste. Solución: modifica política en DPC o consulta con administrador.
• Cambiar usuario rompe túnel. Causa: cada usuario tiene su propio stack. Solución: esperado; configura Always-on por perfil separado.

Paso 6: Verificamos tráfico, configuramos MTU y diagnosticamos fugas

Objetivo

Confirmar que el VPN funciona rápido y seguro, sin fugas DNS o IPv6, con MTU optimizado y estabilidad en Android 15/16 según tus expectativas.

Verificación de velocidad y ping

1. Conéctate al VPN.
2. Abre app de test de velocidad de un proveedor confiable o usa el test integrado de tu navegador.
3. Mide ping, descarga y subida. Guarda resultados.
4. Desconecta VPN y repite test en la misma red. Compara.

Una diferencia del 5–25% en velocidad cuando usas VPN es normal; depende mucho del servidor, rutas y protocolo. WireGuard suele ser más rápido que OpenVPN y consume menos batería.

Comprobación de fugas DNS e IPv6

1. Conéctate al VPN.
2. Abre navegador y realiza tests online de IP y DNS en servicios reconocidos. Observa qué resolutores DNS muestra.
3. Si ves DNS públicos del proveedor de la red móvil en lugar de DNS a través del VPN, configura servidores DNS forzados en el cliente (OpenVPN for Android) o en servidor (WireGuard, push DNS para OpenVPN).
4. Revisa si hay dirección IPv6. Si el servidor no la provee, pero la red sí, asegúrate que el cliente bloquee fugas IPv6. En WireGuard puedes quitar IPv6 de AllowedIPs o enrutar correctamente ::/0.

Consejo: La forma más segura de evitar fugas DNS es configurar un resolutor en el servidor y emitir direcciones DNS en la configuración del cliente. En OpenVPN usa directivas dhcp-option DNS, en WireGuard dirige todo el tráfico por servidor y establece DNS en la app.

Configuración MTU para estabilidad

1. Si experimentas cortes o carga lenta de ciertos sitios, reduce MTU en 20–40 bytes respecto al valor estándar. En WireGuard en cliente suele funcionar bien MTU entre 1280 y 1380.
2. En WireGuard para Android: abre perfil → Editar → Avanzado → MTU y escribe 1280. Guarda y reconecta.
3. En OpenVPN for Android: perfil → Editar → Opciones → MSS-fix o parámetros fragment/tun-mtu si el servidor lo soporta. Prueba paso a paso.

Consejo: Verifica que tu router o operador móvil no limiten MTU. A veces el problema es solo en red móvil y en Wi-Fi el comportamiento es estable.

Resultado esperado

La velocidad cumple expectativas, DNS pasan por VPN, no hay fugas IPv6, MTU está ajustado, la conexión es estable y sin interrupciones inesperadas.

✅ Verificación: Repite tests de velocidad y DNS después de ajustar MTU. Si empeora, vuelve a valores previos.

Problemas comunes y soluciones

• Persisten fugas DNS. Causa: cliente ignora DNS del perfil. Solución: configura DNS en app o servidor, confirma enrutamiento completo 0.0.0.0/0 y ::/0.
• Algunos juegos no funcionan vía VPN. Causa: antitrampas o restricciones geográficas. Solución: excluye el juego en VPN por aplicación o usa servidor más cercano al centro de datos del juego.

Verificación final

Lista de comprobación

• Puedes conectar y desconectar VPN manualmente.
• Always-on está activo y funciona tras reiniciar.
• Bloqueo sin VPN activo, no hay tráfico con VPN apagado.
• Reglas VPN por aplicación aplicadas correctamente y exclusiones funcionan.
• No hay fugas DNS/IPv6, MTU está optimizado.
• En perfil laboral, políticas no entran en conflicto.

Cómo probar

1. Reinicia el teléfono y espera que el icono VPN aparezca sin intervención.
2. Apaga el VPN y confirma que internet se bloquea (si bloqueo está activo).
3. Revisa IP en apps excluidas y en las que usan VPN; deben ser distintas según corresponda.
4. Realiza pruebas de velocidad y DNS.

Indicadores de éxito

• El cambio entre Wi-Fi y red móvil no interrumpe túnel salvo por segundos.
• No hay picos de consumo excesivo de batería en cliente VPN.
• Apps excluidas de VPN funcionan estable con su región.

Errores comunes y soluciones

• Problema: VPN no se activa automáticamente. Causa: perfil incorrecto en Always-on. Solución: Ajustes → Red e Internet → VPN → selecciona el perfil adecuado y activa Always-on ahí, desactiva en perfil antiguo.
• Problema: Internet funciona con VPN apagado pero bloqueo activo. Causa: bloqueo desactivado tras actualización o perfil activo sin bloqueo. Solución: verifica flag Bloquear sin VPN en perfil activo, reinicia dispositivo.
• Problema: App no respeta reglas VPN por aplicación. Causa: caché de rutas o limitación del cliente. Solución: actualiza cliente, limpia caché de app, reinicia teléfono y aplica reglas otra vez.
• Problema: Velocidad lenta con VPN. Causa: servidor saturado, protocolo inadecuado, paquetes grandes. Solución: cambia a servidor cercano, usa WireGuard, ajusta MTU a 1280–1380.
• Problema: No se pueden abrir dispositivos locales en red. Causa: todo el tráfico va por túnel. Solución: agrega subredes locales 192.168.0.0/16, 10.0.0.0/8, 172.16.0.0/12 a exclusiones o usa split tunneling.
• Problema: App bancaria da error con VPN. Causa: antifraude o bloqueo geográfico. Solución: excluye app bancaria en VPN por aplicación, reinicia y vuelve a iniciar sesión.
• Problema: Cortes al bloquear pantalla. Causa: ahorro agresivo de batería. Solución: pon cliente en modo Batería → Sin restricciones, desactiva optimización del fabricante y da permiso para actividad en segundo plano.

Funciones adicionales y configuraciones avanzadas

Split tunneling inteligente

Para una enrutación precisa combina exclusiones del sistema con reglas dentro del cliente. Por ejemplo, dirige todo el tráfico por VPN, pero subredes locales y apps bancarias quedan en lista blanca. Así reduces riesgos de fugas y obtienes comportamiento predecible.

Automatización

• Tasker u otras apps pueden activar/desactivar perfil al conectar a Wi-Fi específico.
• Algunos clientes ofrecen Tiles en configuraciones rápidas para control instantáneo del perfil.

Optimización para streaming

• Elige servidor cercano a CDN del servicio que usas.
• En OpenVPN usa UDP si no hay bloqueos. En redes inestables prueba TCP aunque tiene más overhead.

Compatibilidad IPv6

• Si servidor y proveedor soportan IPv6, asegura que ::/0 esté en el perfil.
• Si no, bloquea IPv6 desde cliente para evitar fugas.

Configuración fina de OpenVPN

• Activa compresión solo si es necesaria, generalmente mejor desactivada.
• En redes móviles usa reneg-sec con moderación y keepalive por defecto.

Para desarrolladores de clientes VPN: aspectos a considerar en Android 15/16

• VPN por aplicación y Always-on siguen basándose en VpnService. Maneja correctamente Builder.setAllowedApplications y Builder.addDisallowedApplication según uso. Revisa comportamiento con targetSdk 35/36 considerando limitaciones en servicios de fondo y notificaciones.
• Toma en cuenta políticas de batería y foreground service. Emite notificación en primer plano para túnel activo, responde adecuadamente a cambios de red.
• Verifica compatibilidad con perfiles de trabajo y configuraciones multiusuario. Separa almacenamiento de claves y credenciales por perfil.
• Implementa manejo estable de DNS, especialmente con DoH/DoT a nivel sistema. Indica claramente qué resolutores se usan en el túnel.
• Prueba comportamiento con bloqueo sin VPN activo y cambio de Always-on entre perfiles.

Nota. Los cambios específicos en API para Android 15/16 pueden variar según build y fabricante. Los modelos estables para VpnService, aplicaciones permitidas/no permitidas, notificaciones en primer plano y trabajo en perfiles siguen vigentes; los riesgos clave están en las restricciones de actividad en segundo plano y políticas de seguridad que se endurecen con cada versión. Testea clientes con los niveles de SDK objetivo y cubre todos los escenarios de esta guía en pruebas automatizadas.

Preguntas frecuentes (FAQ)

Pregunta: ¿Cómo activar Always-on VPN en Android 16 si no encuentro la opción?
Respuesta: Abre Ajustes → Red e Internet → VPN → toca engranaje junto al perfil → activa Always-on VPN. Si no ves la opción, entra en Avanzado o actualiza la app VPN.

Pregunta: ¿Cómo configurar VPN por aplicación si no hay lista en ajustes del sistema?
Respuesta: Hazlo dentro del cliente. En WireGuard abre perfil → Editar → Allowed apps. En OpenVPN for Android usa Gestión de apps y marca exclusiones.

Pregunta: ¿Qué elegir, WireGuard o OpenVPN?
Respuesta: Empieza con WireGuard. Es más rápido, sencillo y eficiente en batería. Si necesitas compatibilidad con servidores antiguos o características especiales, usa OpenVPN for Android.

Pregunta: ¿Para qué sirve el bloqueo sin VPN?
Respuesta: Para que el tráfico no se filtre en desconexiones accidentales. Es esencial para privacidad o cumplimiento de políticas corporativas.

Pregunta: ¿Por qué la banca no funciona con VPN?
Respuesta: Por antifraude o restricciones regionales. Excluye la app bancaria en VPN por aplicación y reconecta el perfil.

Pregunta: ¿Es necesario usar DNS privado junto con VPN?
Respuesta: Generalmente no. Es mejor usar los DNS que provee el VPN para evitar fugas e inconsistencias.

Pregunta: ¿Cómo importar perfil IKEv2?
Respuesta: Ve a Ajustes → VPN → Añadir VPN → selecciona IKEv2/IPSec, ingresa dirección, identificadores, clave o certificados y guarda. Conéctate y verifica IP.

Pregunta: ¿Qué hacer ante cortes en red móvil?
Respuesta: Activa acceso ilimitado a datos para el cliente, desactiva ahorro agresivo de batería, reduce MTU a 1280 y elige un servidor cercano.

Pregunta: ¿Se puede compartir internet con VPN activado via hotspot?
Respuesta: Android generalmente no enruta tráfico VPN al hotspot. Depende del dispositivo y cliente. Considera usar VPN en el dispositivo cliente o router con VPN.

Pregunta: ¿Cómo cambiar rápido entre servidores?
Respuesta: Crea varios perfiles en el cliente para diferentes ciudades y agrega el tile de configuración rápida. Cambia en dos toques.

Conclusión

Has completado la configuración completa de VPN en Android 15/16: instalaste y conectaste el cliente, activaste Always-on, habilitaste bloqueo sin VPN, definiste reglas por aplicación, configuraste perfiles para uso personal y laboral, optimizaste rendimiento y verificaste ausencia de fugas. Ahora tu smartphone usa VPN de forma estable y segura, restaura protección automáticamente tras reinicio y no permite tráfico fuera del túnel. Si quieres IP dedicada predecible y configuraciones listas para distintos protocolos, considera un servidor personal con un proveedor confiable que te ofrece parámetros individuales y despliegue rápido. Luego, puedes profundizar en automatización, scripts de monitoreo en servidor, configuraciones avanzadas de split tunneling y probar nuevas versiones de Android anticipando cambios en políticas de servicios en segundo plano y perfiles. Ya has logrado lo principal: construir una base sólida de seguridad en tu Android.

Consejo: Revisa las configuraciones VPN una vez al mes para confirmar que los perfiles están actualizados y que actualizaciones de cliente no hayan desactivado flags clave de Always-on y Bloquear sin VPN.

⚠️ Atención: Cualquier cambio en el perfil desactiva el túnel por unos segundos. Antes de cambios críticos, conéctate a Wi-Fi y desactiva temporalmente bloqueo sin VPN para no perder acceso a recursos críticos. Luego vuelve a activar bloqueo.

✅ Verificación final: Al final confirma que tras reiniciar el teléfono el icono VPN aparece automáticamente, los sitios web abren y las apps excluidas funcionan directo como configuraste.