Kill switch: qué es y cómo funciona el bloqueo de la VPN
Equipo FortiSafe ·
Un kill switch, o bloqueo de seguridad, es la función que corta internet en el dispositivo cuando la VPN no está conectada, para que nada salga fuera del túnel sin que lo notes. En Android, la opción viene del propio sistema; en Windows, iPhone y Mac, depende de la aplicación de VPN. En las aplicaciones de FortiSafe, el bloqueo está en desarrollo.
Para qué sirve
La conexión de la VPN puede caerse, por ejemplo cuando el dispositivo cambia de red, pierde señal o el servidor deja de responder. Sin bloqueo, las aplicaciones siguen usando internet por la red común, fuera del túnel, y no siempre hay aviso.
El bloqueo cierra esa brecha: mientras la VPN no está conectada, el tráfico que no pasaría por el túnel se bloquea.
Cómo funciona
El bloqueo usa reglas del sistema o del firewall. En la aplicación oficial de WireGuard para Windows, por ejemplo, las reglas dejan pasar los paquetes del propio túnel, el servidor DNS configurado y el tráfico local necesario, y bloquean todo lo demás.
Ningún bloqueo corta absolutamente todo: cada sistema deja fuera lo que necesita para que la red funcione, como el DHCP, que entrega la dirección del dispositivo en la red local.
Dónde existe el bloqueo hoy
| Sistema | Qué existe | Qué queda fuera |
|---|---|---|
| Android | En las opciones de VPN de los ajustes, la VPN siempre activa (desde Android 7.0) y la opción que bloquea las conexiones sin VPN, cuando la aplicación de VPN lo admite. Con ella, el sistema bloquea todo el tráfico que no usa la VPN. | Si la aplicación de VPN usa una lista de aplicaciones permitidas o bloqueadas, las aplicaciones fuera de la lista se quedan sin conexión. La aplicación también puede no admitirlo, y entonces las opciones quedan desactivadas. |
| Windows, en la aplicación oficial de WireGuard | Bloqueo por reglas de firewall cuando el túnel tiene un único servidor y envía todo el tráfico por él. El editor del túnel tiene una casilla que activa y desactiva ese bloqueo. | Los paquetes del propio túnel, el DNS configurado, el tráfico interno del equipo (loopback), el DHCP y, en IPv6, el NDP. |
| iPhone y Mac | Depende de la aplicación. Apple ofrece a las aplicaciones de VPN una opción que envía casi todo el tráfico por el túnel, disponible desde iOS 14 y macOS 10.15. | El tráfico que mantiene la conexión con la red local, como el DHCP; el portal de inicio de sesión del Wi-Fi; algunos servicios solo de la red celular, como VoLTE; y la comunicación con dispositivos complementarios, como el Apple Watch. |
Cómo activarlo en Android
- En los ajustes del dispositivo, abre la sección de VPN, dentro de Red e internet. Si no la encuentras, busca "VPN" en los ajustes.
- Toca el ícono de ajustes junto a la VPN que usas.
- Activa la VPN siempre activa y, si aparece, la opción que bloquea las conexiones sin VPN (en inglés, Block connections without VPN).
- Android avisa que no tendrás internet mientras la VPN no se conecte. Confirma para continuar.
- Si la VPN se cae o no logra conectarse, aparece una notificación que no se puede descartar. Desaparece cuando la VPN vuelve o cuando desactivas la opción.
- La ruta y los nombres pueden cambiar según el fabricante del dispositivo.
Qué cambia en el día a día
Con el bloqueo activado, si la VPN no está conectada, te quedas sin internet. Es el comportamiento esperado, no una falla: Android lo avisa al activar la opción.
Para usar internet sin VPN, primero hay que desactivar el bloqueo.
¿Y FortiSafe?
El bloqueo de seguridad de las aplicaciones de FortiSafe está en desarrollo y todavía no está disponible.
FortiSafe usa WireGuard. Cómo funciona por dentro está en el artículo sobre el protocolo.
Fuentes
Páginas consultadas el 14 de septiembre de 2026.
- Android Developers — VPN (en inglés) — VPN siempre activa desde Android 7.0, bloqueo de conexiones sin VPN, aviso al activarla, notificación cuando la VPN se cae y aplicaciones que no admiten la función.
- Ayuda de Android — conectarse a una VPN — Dónde está la VPN en los ajustes y la notificación de la VPN siempre activa.
- WireGuard para Windows — comportamiento de red (en inglés) — Cuándo la aplicación activa el bloqueo por firewall y qué deja pasar.
- Apple Developer — includeAllNetworks (en inglés) — Qué va por el túnel y qué queda fuera; desde iOS 14 y macOS 10.15.