¿Por qué mi VPN funciona con datos móviles pero no con wifi, o al revés?
Actualizado el
También en: English
Si la VPN funciona en una red y falla en otra, el móvil y el servidor están bien: la diferencia es la red. Con wifi suele ser el cortafuegos del router, el UDP bloqueado, una página de acceso o el control parental. Con datos móviles, la app sin permiso de datos, una red solo IPv6 o el tamaño de paquete (MTU).
Con datos móviles la VPN conecta al instante, pero en casa se queda en «Conectando…». O al revés: con wifi va bien y con 4G o 5G no hay manera. Las dos situaciones son habituales y apuntan a lo mismo: una de las dos redes trata el tráfico VPN de forma distinta. Reinstalar la app casi nunca sirve. Lo que suele funcionar es averiguar qué hace la red y cambiar un ajuste.
Esta guía cubre los dos casos, con una tabla para encontrar el tuyo rápido y comprobaciones paso a paso en Android.
Diagnóstico rápido: síntoma, causa y solución
| Síntoma | Causa probable | Solución |
|---|---|---|
| Falla solo en un wifi (hotel, oficina, universidad); con datos móviles funciona | El cortafuegos de esa red bloquea los protocolos VPN o todo salvo los puertos web | Usa un protocolo sobre TCP 443 que parezca HTTPS, como VLESS con Reality |
| Falla solo con el wifi de casa | Cortafuegos del router, «VPN passthrough» desactivado, filtrado de UDP o control parental en el router | Revisa los ajustes del router (más abajo) o cambia a un protocolo sobre TCP 443 |
| En un wifi nuevo no carga nada, con VPN o sin ella | Portal cautivo: una página de acceso o de condiciones que no has aceptado | Desactiva la VPN, abre http://neverssl.com, acepta la página y vuelve a conectar |
| Conecta con wifi, pero algunas webs se cuelgan o cargan a medias | MTU: en algún punto del camino se descartan los paquetes grandes | Prueba otro protocolo; reinicia el router; baja la MTU del router solo si sabes hacerlo |
| Conecta, pero en una red no abre ninguna web | DNS privado o un filtro DNS en esa red | Pon el DNS privado en Automático y vuelve a probar |
| Funciona con wifi y nunca conecta con datos móviles | La app de la VPN no tiene acceso a los datos móviles o el Ahorro de datos la bloquea | Permite los datos móviles y el uso de datos sin restricciones para la app de la VPN |
| Funciona con wifi; con datos móviles conecta pero no carga nada | Red del operador solo IPv6 o NAT del operador (CGNAT) que descarta el UDP inactivo | Cambia de protocolo; revisa el APN; reinicia los datos móviles |
| Funciona con wifi y falla con datos móviles en el extranjero | Itinerancia desactivada o una red asociada que filtra el tráfico | Activa la itinerancia de datos; prueba un protocolo sobre TCP 443 |
| Falla con datos móviles solo con una tarifa o una tarjeta prepago | El operador restringe la VPN o la conexión compartida en esa tarifa | Revisa las condiciones de la tarifa o pregunta al operador |
Cuando la VPN funciona con datos móviles pero no con wifi
La red wifi bloquea el tráfico VPN
Las redes de invitados y las redes gestionadas a menudo solo permiten los puertos web (80 y 443) o reconocen los handshakes de WireGuard y OpenVPN y los descartan. Nuestra guía sobre VPN que fallan en el wifi del hotel o de la oficina explica cómo funciona. La solución corta es un protocolo que vaya sobre TCP en el puerto 443 y parezca HTTPS normal. Respeta las normas de la red: si tu empresa o tu centro de estudios prohíbe las VPN en su wifi, usa los datos móviles.
Ajustes del router de casa
En tu propio wifi puedes revisar el router directamente. Entra en su página de administración (la dirección suele venir en una pegatina del router) y busca:
- Nivel del cortafuegos. En algunos routers, los perfiles «alto» o «estricto» bloquean el UDP saliente en puertos poco habituales. WireGuard usa UDP. Pon el cortafuegos en el nivel predeterminado.
- VPN passthrough. Muchos routers tienen interruptores de passthrough para IPsec, PPTP y L2TP. Importan para esos protocolos antiguos, y desactivarlos puede romperlos. WireGuard y Reality son tráfico UDP y TCP normal y no necesitan passthrough, pero si el passthrough está desactivado y las VPN fallan, a menudo es señal de que hay un perfil más estricto activo.
- Control parental o «protección familiar». Estas funciones suelen bloquear las VPN a propósito, porque una VPN se saltaría el filtro. Si tu router o tu proveedor de internet tiene una función así, es ella la que decide qué se permite en esa red.
- Firmware del router. El firmware antiguo tiene fallos con las sesiones UDP. Actualizarlo arregla más cosas de las que parece.
Una prueba rápida: reinicia el router. Así se vacían las tablas de conexiones atascadas, que pueden hacer fallar WireGuard tras muchas horas encendido.
Portales cautivos
Hoteles, cafeterías y trenes muestran una página de acceso antes de dejarte navegar. Mientras no la aceptas, la red bloquea todo, también la VPN. Desactiva la VPN (y, si usas la VPN siempre activada, desactiva un momento «Bloquear conexiones sin VPN»), abre http://neverssl.com, acepta las condiciones y vuelve a conectar.
DNS privado
El DNS privado de Android (Ajustes → Redes e Internet → DNS privado) cifra las consultas DNS. Si escribiste el nombre de host de un proveedor concreto y ese proveedor no es accesible desde una red, los nombres dejan de resolverse en esa red y parece que la VPN está rota. Ponlo en Automático, que es la opción predeterminada de Android, y vuelve a probar (ayuda de Google sobre los ajustes de red).
Cuando la VPN funciona con wifi pero no con datos móviles
La app de la VPN no puede usar los datos móviles
Android puede negarle a una app los datos móviles por completo. Abre Ajustes → Aplicaciones → tu app de VPN → Datos móviles y Wi-Fi (el nombre cambia según el móvil) y comprueba que estén permitidos los datos móviles y los datos en segundo plano. Si el Ahorro de datos está activado, las apps solo reciben datos móviles en segundo plano si están marcadas como sin restricciones (ayuda sobre el Ahorro de datos). Activa el uso de datos sin restricciones para la app de la VPN.
Redes solo IPv6 y NAT del operador
Muchos operadores ya dan a los móviles solo una dirección IPv6 y la traducen a IPv4 dentro de su red. La mayoría de las apps no lo notan, y tampoco las apps de VPN modernas que usan la pila de red normal del móvil. Los problemas aparecen cuando esa traducción descarta las sesiones UDP largas o cuando una app espera IPv4 en todas partes.
Los operadores también comparten una misma dirección IPv4 pública entre muchos clientes (CGNAT, NAT a nivel de operador). Su NAT olvida enseguida las sesiones UDP inactivas. Las VPN lo compensan con paquetes de mantenimiento (keepalive) cada 20 o 30 segundos. Si el túnel conecta y luego se queda mudo, cambiar a un protocolo basado en TCP suele resolverlo.
Ajustes del APN
El APN le indica al móvil cómo llegar a la red de datos del operador. Un APN incorrecto o desactualizado puede dejarte un navegador que funciona pero romper otro tráfico. Abre Ajustes → Redes e Internet → SIMs → Nombres de puntos de acceso y elige Restablecer ajustes predeterminados. No cambies valores salvo que te los dé tu operador.
Problemas de MTU
Cada red tiene un tamaño máximo de paquete. La VPN añade su propia cabecera, así que un paquete de tamaño completo ya no cabe. Si la red descarta en silencio los paquetes demasiado grandes, el túnel conecta, las peticiones pequeñas funcionan y las páginas grandes o las descargas se cuelgan. Las redes móviles con túneles adicionales dentro del operador son las sospechosas habituales. Por eso las VPN bien configuradas eligen una MTU de túnel conservadora. Por tu parte, la prueba práctica es cambiar de protocolo.
Restricciones del operador
Algunas tarifas prepago y de bajo coste restringen el uso de VPN, y unos pocos operadores ralentizan o filtran el tráfico que no saben clasificar. Revisa las condiciones de tu tarifa. Si la VPN está permitida pero un protocolo falla, prueba otro.
Itinerancia (roaming)
En el extranjero, la itinerancia de datos tiene que estar activada, y la red asociada puede tratar el tráfico de forma distinta a tu operador. Consulta cómo usar una VPN con datos móviles en roaming.
Paso a paso en Android
- Compara las dos redes. Desactiva el wifi y conéctate con datos móviles, y luego al revés. Apunta cuál falla.
- Descarta una página de acceso. En el wifi que falla, desconecta la VPN y abre
http://neverssl.com. - Cambia de protocolo. En tu app de VPN, pasa de WireGuard a un modo sobre TCP 443 o a la selección automática.
- Revisa el acceso a datos de la app. Ajustes → Aplicaciones → app de la VPN → datos móviles y uso de datos sin restricciones activados.
- Pon el DNS privado en Automático.
- Reinicia la parte de la red. Activa el modo avión diez segundos (datos móviles) o reinicia el router (wifi de casa).
- Pon la fecha y la hora en automático. Un reloj desfasado rompe los handshakes cifrados en cualquier red.
Si la VPN conecta pero las páginas siguen sin cargar, nuestra guía sobre VPN conectada pero sin internet va más allá. Si se corta cada pocos minutos, consulta por qué la VPN se desconecta sola en Android.
Cómo gestiona SimpleV las distintas redes
- Protocolo Automático. SimpleV prueba primero WireGuard. Si WireGuard no recibe respuesta al handshake en unos segundos, conecta con Xray Reality (VLESS con Reality), que funciona sobre TCP en el puerto 443 y parece HTTPS normal. Después de un fallo de WireGuard, Automático va directo a Reality durante un tiempo, para que no esperes en cada reconexión.
- Protocolo fijo. Puedes elegir WireGuard o Xray Reality en Ajustes → Protocolo. Si fijaste WireGuard y la red lo bloquea, la app te lo indica y te sugiere Automático.
- Ajustes pensados para el móvil. WireGuard funciona con una MTU de 1280 bytes y un mensaje de mantenimiento cada 25 segundos, lo que encaja con las redes de operador de paquetes pequeños y tiempos de NAT cortos. El tráfico IPv6 también pasa por el túnel.
- Plan gratuito: 500 MB al día sin cuenta, con los dos protocolos. Premium: sin límite diario, más ubicaciones y hasta 5 dispositivos.
Preguntas frecuentes
¿Por qué mi VPN funciona con datos móviles pero no con el wifi de casa?
Tu router o tu proveedor de internet trata el tráfico VPN de forma distinta a tu operador móvil. Revisa el nivel del cortafuegos y el control parental del router, reinícialo y prueba un protocolo sobre el puerto TCP 443.
¿Por qué mi VPN funciona con wifi pero no con datos móviles?
Normalmente la app de la VPN no tiene permiso para usar los datos móviles, el Ahorro de datos la limita o la red del operador descarta el protocolo. Permite el uso de datos sin restricciones para la app y prueba otro protocolo.
¿Tengo que activar el VPN passthrough en el router?
Solo para protocolos antiguos como IPsec, L2TP y PPTP. WireGuard y VLESS con Reality son tráfico UDP y TCP normal y funcionan sin él.
¿Puede mi operador móvil bloquear las VPN?
Algunas tarifas las restringen en sus condiciones, y algunas redes filtran el tráfico que no saben clasificar. Un protocolo que parece HTTPS normal en el puerto 443 es el menos afectado, pero revisa lo que permite tu tarifa.
¿El DNS privado da problemas con la VPN?
No con su opción predeterminada, Automático. Un nombre de host de DNS privado personalizado que no es accesible en una red puede impedir allí todas las consultas de nombres, y eso parece un fallo de la VPN.