¿Por qué mi VPN no funciona en el wifi del hotel, la universidad o la oficina?
Actualizado el
También en: English
Muchas redes wifi de invitados o gestionadas bloquean las VPN reconociendo el handshake del protocolo o cerrando todos los puertos salvo los web (80 y 443). WireGuard y OpenVPN se detectan fácilmente. Un protocolo que parece HTTPS normal en el puerto 443, como VLESS con Reality, suele conectar, siempre que la red lo permita.
Te conectas al wifi del hotel, aceptas las condiciones en la página de acceso, abres la app de la VPN y se queda en «Conectando…» para siempre. Sin la VPN, las webs cargan bien. Es uno de los problemas de VPN más habituales, y casi nunca es culpa de tu móvil ni del servidor VPN: es la red que hay en medio la que filtra la conexión.
En esta guía verás qué bloquea realmente una red así, cómo saber en qué caso estás y qué cambiar en Android para volver a conectarte.
Resumen rápido
| Lo que ves | Causa más probable | Lo que suele funcionar |
|---|---|---|
| La VPN nunca conecta; sin ella las webs funcionan | La red reconoce y descarta el handshake de la VPN (inspección profunda de paquetes) | Un protocolo que parezca HTTPS: VLESS con Reality, en el puerto 443 |
| La VPN nunca conecta; incluso sin ella fallan algunas apps | Solo están abiertos los puertos 80 y 443 | Cualquier modo de VPN que funcione sobre TCP 443 |
| Conecta y se corta a los pocos segundos | El tráfico UDP se ralentiza o se corta tras los primeros paquetes | Pasar de WireGuard (UDP) a un modo basado en TCP |
| No funciona nada, ni siquiera las webs | No has terminado la página de acceso del wifi (portal cautivo) | Desactiva la VPN, abre cualquier web, acepta las condiciones y vuelve a conectar |
| Funciona con datos móviles y falla solo en un wifi | Las normas de esa red | Revisa primero las normas; si se permiten las VPN, prueba el modo que parece HTTPS |
¿Por qué algunas redes wifi bloquean las VPN?
Hoteles, aeropuertos, trenes, universidades y oficinas tienen un cortafuegos delante de su red. Los motivos suelen ser prosaicos: ahorrar ancho de banda, evitar que los clientes usen torrents o normas de seguridad de la empresa que obligan a que todo el tráfico pase por un proxy de inspección. Bloquear las VPN es un efecto secundario de esas reglas o, a veces, una política explícita.
Hay tres técnicas habituales:
- Bloqueo de puertos. El cortafuegos solo deja pasar los puertos web (80 para HTTP, 443 para HTTPS) y el DNS. El puerto UDP 51820, el predeterminado de WireGuard, y el 1194 de OpenVPN están directamente cerrados.
- Huella del protocolo (DPI). La inspección profunda de paquetes examina los primeros paquetes de una conexión. El handshake de WireGuard tiene un tamaño y una estructura fijos, y OpenVPN tiene una cabecera reconocible, así que un cortafuegos puede identificarlos en cualquier puerto y descartarlos.
- Limitación del UDP. Algunas redes dejan pasar el UDP pero lo ralentizan o cortan las sesiones largas. WireGuard solo funciona sobre UDP, así que es el primero en sufrirlo.
¿Cómo sé qué está bloqueando mi red?
En Android puedes acotarlo en dos minutos:
- Descarta la página de acceso. Desactiva la VPN y abre
http://neverssl.comen el navegador. Si aparece una página de acceso del hotel o de la universidad, acéptala y vuelve a probar la VPN. La mayoría de los casos de «la VPN no funciona» se acaban aquí. - Compara con los datos móviles. Desactiva el wifi y conéctate con datos móviles. Si la VPN conecta al instante, el problema es la red wifi, no la app ni el servidor.
- Prueba un modo TCP en el puerto 443. Si tu app te deja elegir el protocolo, cambia de WireGuard a un modo que funcione sobre TCP 443. Si así conecta, la red bloqueaba el UDP o la huella de WireGuard.
- Revisa la fecha y la hora. Si el reloj del móvil va muy desfasado, los handshakes cifrados fallan. Pon la fecha y hora en automático.
¿Qué protocolo VPN funciona mejor en un wifi restrictivo?
El protocolo importa más que la ubicación del servidor. Así se comportan los más comunes en una red filtrada:
| Protocolo | Transporte | Puerto predeterminado | Facilidad de detección | Velocidad |
|---|---|---|---|---|
| WireGuard | UDP | 51820 (cualquiera) | Fácil: patrón de handshake fijo | La más rápida |
| OpenVPN | UDP o TCP | 1194 (cualquiera) | Fácil: cabecera reconocible | Media |
| IKEv2 / IPsec | UDP | 500, 4500 | Fácil: puertos estándar, a menudo cerrados | Rápida |
| VLESS con Reality | TCP | 443 | Difícil: el handshake es un handshake TLS real con un sitio conocido | Rápida |
¿Qué es Reality? Reality es un transporte del proyecto Xray. Cuando tu móvil se conecta, el handshake es un handshake TLS 1.3 auténtico que presenta el certificado de un sitio web real y popular. Para un cortafuegos parece una visita normal a ese sitio en el puerto 443. Solo un cliente con la clave correcta obtiene un túnel VPN; a cualquier otro se le pasa al sitio web real. Por eso sigue funcionando en redes que bloquean WireGuard y OpenVPN.
WireGuard sigue siendo la mejor opción cuando la red lo permite: es más sencillo y algo más rápido. Lo práctico es usar WireGuard por defecto y recurrir a Reality solo cuando WireGuard no consigue conectar.
¿Puedo usar una VPN en el wifi de la universidad o del trabajo?
Depende de las normas de la red, y debes respetarlas. Muchas empresas exigen que el tráfico corporativo pase por sus propias herramientas de seguridad, y algunos centros de estudios prohíben las VPN en sus normas de uso. Si una red bloquea las VPN a propósito y has aceptado sus condiciones, pregunta al administrador o usa los datos móviles para tu navegación privada.
En el wifi de hoteles, cafeterías, aeropuertos y trenes la situación es distinta: compartes la red con desconocidos, el operador no necesita ver lo que haces y una VPN es una forma razonable de mantener tu tráfico privado. Ahí los bloqueos de VPN suelen ser un efecto secundario de la configuración genérica de un cortafuegos, no una política dirigida a ti.
Cómo gestiona SimpleV las redes restrictivas
SimpleV VPN para Android incluye los dos protocolos y elige entre ellos por ti:
- El modo Automático prueba primero WireGuard y cambia a Xray Reality (VLESS con Reality) sobre TCP 443 cuando WireGuard no consigue pasar.
- También puedes fijar un protocolo en Ajustes si ya conoces la red.
- Los dos protocolos están disponibles en el plan gratuito: 500 MB de datos cada día, sin cuenta ni email.
- Premium elimina el límite diario y desbloquea 33 ubicaciones en 20 países en hasta 5 dispositivos. Un pase de 7 días que no se renueva viene muy bien para un solo viaje.
Preguntas frecuentes
¿Por qué mi VPN conecta con datos móviles pero no con wifi?
Porque la red wifi filtra el tráfico VPN y tu operador móvil no. El móvil y el servidor VPN están bien. Prueba un protocolo que funcione sobre TCP 443 y parezca HTTPS, como VLESS con Reality, o termina antes la página de acceso del wifi si la hay.
¿Cambiar la ubicación del servidor VPN arregla un wifi bloqueado?
Normalmente no. El cortafuegos bloquea el protocolo o el puerto, no un país concreto. Lo que marca la diferencia es cambiar de protocolo (por ejemplo, de WireGuard a Reality en el puerto 443).
¿VLESS Reality es más lento que WireGuard?
Un poco, porque funciona sobre TCP y añade el encapsulado TLS. En una conexión normal de hotel u oficina la diferencia apenas se nota, y una conexión que funciona siempre es más rápida que una que nunca conecta. Nuestra comparativa WireGuard vs OpenVPN vs VLESS Reality entra en detalle.
¿Puede una red saber que estoy usando Reality?
Ve una conexión cifrada en el puerto 443 hacia lo que parece un sitio web conocido, que es el aspecto de la mayor parte de su tráfico. Las redes muy estrictas pueden bloquear igualmente todos los destinos desconocidos, así que ningún protocolo puede prometer que funcione en todas partes.
¿Necesito una VPN de pago para esto?
No. En SimpleV, tanto WireGuard como Reality funcionan en el plan gratuito, con 500 MB de datos al día. Premium añade datos ilimitados, todas las ubicaciones y hasta 5 dispositivos.