Kill Switch en VPN: qué es y para qué sirve

El kill switch en VPN es una función de seguridad que bloquea automáticamente todo el tráfico de internet si la conexión con el servidor VPN se interrumpe o es inestable. Imagina: estás viendo YouTube a través de VPN, y de repente la conexión se cae por unos segundos. Sin el kill switch, tu dirección IP real se vuelve visible para el proveedor. Con el kill switch, todo es simple: internet se bloquea completamente hasta que la VPN se reconecte. Esto es crítico para aquellos que eluden bloqueos de YouTube, TikTok, Instagram, Facebook, Twitter/X y Telegram en países con censura estricta.

En este artículo, analizaremos cómo funciona el kill switch en VPN, si protege contra DPI y Roskomnadzor, cómo configurarlo en Windows, macOS, iOS, Android, y mostraremos pruebas reales de fugas de IP. No es material de marketing: solo información honesta sobre lo que el kill switch puede y no puede hacer.

Qué es el kill switch en VPN y cómo funciona

Definición y principio básico

El kill switch es un filtro de red que se activa cuando hay una interrupción o inestabilidad en la conexión con el servidor VPN. La función es simple: si la conexión se pierde, el kill switch bloquea inmediatamente todo el tráfico saliente hasta que la VPN se restablezca.

Así es como funciona en la realidad. Estás conectado a la VPN a través de WireGuard, tu IP está oculta. El servidor pierde la señal durante 3 segundos. Durante esos 3 segundos, sin el kill switch, tu navegador solicitaría YouTube con tu IP real, y el proveedor registraría el intento de acceso. Con el kill switch, internet simplemente deja de funcionar: ningún paquete pasará hasta que la VPN se reconecte.

Esto NO es magia. El kill switch no cifra el tráfico, no lo oculta de DPI y no protege contra Roskomnadzor. Es simplemente un bloqueo a nivel de sistema operativo o aplicación. Algunas personas piensan que el kill switch las salva de todos los problemas, pero no es así. Contaremos la verdad a continuación.

Diferencia entre el kill switch del sistema y la aplicación VPN

Hay dos formas de implementar el kill switch: a nivel de la aplicación VPN o a nivel del sistema operativo.

Kill switch en la aplicación VPN — es simplemente una opción en la configuración. Activas la casilla, y la aplicación supervisa su conexión. Si la conexión se cae, la aplicación envía un comando al sistema operativo para bloquear todo internet (excepto a sí misma). Es simple, pero incompleto: si la aplicación VPN falla o se congela, el kill switch puede no funcionar.

Kill switch del sistema funciona a nivel del firewall del sistema operativo o incluso del enrutador. Por ejemplo, en macOS puede ser el filtro de paquetes PF, en Windows el Firewall de Windows integrado. El kill switch del sistema funciona independientemente de la aplicación VPN, por lo que es más confiable. Si la aplicación falla, el sistema aún bloqueará la red.

En el enrutador, el kill switch funciona a nivel de red y protege todos los dispositivos conectados al mismo tiempo. Esto es lo más potente, pero requiere una configuración adecuada y una conexión más estable.

Cómo el kill switch bloquea el tráfico al perder la conexión

La mecánica es simple. Cuando la VPN está conectada, tu dispositivo tiene dos actividades de red:

• Tráfico dentro del túnel VPN (protegido)
• Red local (192.168.x.x, impresora, enrutador, etc.)

El kill switch supervisa el túnel VPN. Tan pronto como el túnel se interrumpe, la regla del firewall se activa y bloquea todo el tráfico saliente, excepto lo necesario para reconectarse al servidor VPN.

En la práctica, se ve así: abriste una pestaña con YouTube, pero la VPN se desconectó. Sin el kill switch, el navegador enviaría una solicitud a YouTube con tu IP real, y el proveedor lo vería. Con el kill switch, el navegador no envía nada, internet simplemente no funciona. En 1-5 segundos, la VPN se reconecta (la velocidad depende del protocolo), el kill switch levanta el bloqueo, y YouTube se carga como si nada hubiera pasado.

Kill switch y protección contra bloqueos de proveedores: ayuda real

¿Protege el kill switch contra DPI y la ralentización por parte del proveedor?

Respuesta corta: no, el kill switch no protege contra DPI.

Aquí está el porqué. DPI (Inspección Profunda de Paquetes) es el análisis del tráfico a nivel de paquetes. El proveedor ve que estás usando VPN no porque vea tu dirección IP, sino porque los patrones de tráfico revelan la VPN (paquetes cifrados con un tamaño, frecuencia y metadatos característicos). El kill switch no puede hacer nada aquí: solo bloquea las fugas de IP evidentes a través del navegador.

Si el proveedor quiere bloquear la VPN a través de DPI, bloqueará ya sea el protocolo mismo (por ejemplo, los puertos OpenVPN 1194 o WireGuard 51820), o los patrones de tráfico en general. El kill switch no previene esto. El proveedor aún ve que estás usando VPN y puede ralentizar o bloquear la conexión.

Lo que hace el kill switch es proteger contra la fuga de tu IP real en caso de fallo. Son cosas diferentes. El kill switch es necesario para la privacidad, pero no resuelve el bloqueo por DPI.

Kill switch al eludir YouTube, TikTok, Instagram, Facebook, Twitter/X, Telegram

El kill switch ayuda a eludir estos servicios solo en un escenario: si la conexión VPN se pierde por unos segundos. Imagina: estás viendo TikTok a través de VPN, el proveedor decidió interferir y rompió la conexión (esto es posible a nivel de enrutador). Sin el kill switch, abrirías TikTok con tu IP real en 5-10 segundos, y el proveedor registraría el intento. Con el kill switch, internet simplemente se desconectará, no abrirás nada.

Pero si el proveedor está bloqueando activamente la VPN a través de DPI, el kill switch no ayudará. Por ejemplo, Beeline, Rostelecom y MTS en Rusia utilizan DPI para detectar OpenVPN y WireGuard en puertos estándar. El kill switch no puede eludir este bloqueo: es necesario cambiar el protocolo a Shadowsocks, VLESS/XRay o Amnezia.

Por lo tanto, el kill switch no es la protección principal contra bloqueos, es un nivel adicional de privacidad en caso de fallos de conexión.

Por qué el kill switch no ayuda si el proveedor bloquea los puertos VPN

Si el proveedor bloqueó los puertos (por ejemplo, 1194 para OpenVPN o 51820 para WireGuard), el kill switch no tiene importancia. El kill switch se activa solo si la conexión se estableció y luego se interrumpió. Si no se puede conectar al servidor VPN desde el principio, el kill switch no ayudará.

En este caso, es necesario:

• Cambiar el protocolo a Shadowsocks o VLESS/XRay (más fácil de bloquear)
• Usar puertos no estándar (por ejemplo, WireGuard en 443 en lugar de 51820)
• Probar Amnezia o Stealth VPN, que ocultan el hecho mismo de usar VPN
• Usar servidores proxy intermedios antes de la VPN

El kill switch en este escenario simplemente no es necesario: la conexión no se establecerá.

Pruebas y ejemplos reales: fugas de IP al desconectar la VPN

Cómo verificar que el kill switch funciona (sin kill switch vs con kill switch)

Aquí hay una prueba práctica que puedes hacer ahora mismo. Necesitas un sitio para verificar IP, como whoami.akamai.net o myip.com.

Paso 1: Abre whoami.akamai.net en el navegador. Anota tu dirección IP real (se ve como 192.168.1.100 o xxx.xxx.xxx.xxx).

Paso 2: Conéctate a la VPN (por ejemplo, a través de NvoVPN, ExpressVPN, ProtonVPN, Mullvad o cualquier otro servicio). Abre whoami.akamai.net de nuevo. Deberías ver una dirección IP diferente: esta es la dirección IP del servidor VPN. Si la IP no ha cambiado, la VPN no está funcionando.

Paso 3 (prueba sin kill switch): Desconecta la VPN en la configuración de red (no a través de la aplicación, sino directamente en la configuración de Wi-Fi o Ethernet). Abre inmediatamente whoami.akamai.net. Si el kill switch está desactivado, verás tu dirección IP real: esto es una fuga. Tu proveedor ve que has abierto este sitio.

Paso 4 (prueba con kill switch): Conéctate a la VPN de nuevo, activa el kill switch en la configuración de la aplicación VPN. Repite el paso 3: desconecta la VPN. Esta vez whoami.akamai.net no se cargará en absoluto. Esto es normal, el kill switch bloquea todo el tráfico. Conéctate de nuevo a la VPN y el sitio se cargará.

La diferencia es evidente. Sin el kill switch, ves una fuga de IP en 1-2 segundos. Con el kill switch no hay fugas, porque el navegador no puede enviar nada.

Prueba de fuga de DNS al desconectar la conexión

El kill switch protege contra fugas de IP, pero no siempre contra fugas de DNS. DNS es el servicio que traduce el nombre del sitio (youtube.com) a una dirección IP. Si tu dispositivo utiliza el DNS del proveedor (Rostelecom, Beeline, etc.), puede ver qué sitios visitas, incluso si estás en VPN.

¿Por qué? Porque la consulta DNS puede ir al servidor del proveedor a nivel de configuración de red, eludiendo el túnel VPN. El kill switch no puede interceptar la fuga de DNS a nivel de sistema operativo.

Verifica esto en dnsleaktest.com. Accede a ese sitio a través de la VPN con el kill switch activado. Si ves los servidores DNS del proveedor (Rostelecom, Beeline, MTS) en lugar de los servidores VPN, entonces hay una fuga de DNS. Esto significa que el proveedor ve qué sitios visitas.

Solución: en la configuración de la aplicación VPN, establece los protocolos DNS-over-HTTPS o DNS-over-TLS (normalmente esto es DOH y DOT respectivamente). Esto garantiza que todas las consultas DNS pasen a través del túnel VPN, y no directamente al proveedor. La mayoría de las aplicaciones VPN modernas lo admiten.

Fugas de WebRTC y el papel del kill switch

WebRTC es un protocolo para videollamadas y flujos de medios en el navegador. El problema es que WebRTC puede revelar tu dirección IP real incluso si estás en VPN. Aquí está el porqué:

El navegador utiliza WebRTC para detectar la dirección IP local y pública para optimizar la conexión. Esta información se transmite sin cifrado y puede ser interceptada por el código JavaScript en el sitio. El kill switch NO protege contra fugas de WebRTC, porque el tráfico va dentro del navegador, no a nivel de paquetes de red.

Verifícate en ipleak.net. Si ves tu IP real en la sección de WebRTC, significa que hay una fuga. Solución: desactiva WebRTC en el navegador.

En Firefox es fácil: abre about:config, busca media.peerconnection.enabled y configúralo en false. En Chrome es más complicado: necesitas una extensión como WebRTC Leak Prevent o CyberGhost (bloquean WebRTC a nivel de navegador). El kill switch aquí no ayudará, porque la fuga ocurre dentro del navegador.

Configuración del kill switch en diferentes dispositivos y protocolos

Kill switch en Windows: firewall integrado vs aplicación VPN

En Windows hay dos formas de configurar el kill switch: a través de la aplicación VPN (fácil) o a través del Firewall de Windows (más complicado, pero más confiable).

Método 1: Kill switch en la aplicación VPN (recomendado para la mayoría)

Casi todas las aplicaciones VPN en Windows tienen la opción de Kill Switch. Búscalo en la configuración de la aplicación:

• Abre la aplicación VPN
• Ve a Configuración o Preferencias
• Encuentra la opción "Kill Switch" o "Network Lock" o "Internet Kill Switch"
• Activa la casilla junto a ella

Algunas aplicaciones permiten configurar el comportamiento del kill switch. Por ejemplo, en NvoVPN y ProtonVPN hay opciones:

• "Bloquear todo el tráfico" — bloquea todo el tráfico en caso de fallo
• "Permitir red local" — permite tráfico local (impresión, acceso al router en 192.168.x.x)
• "Aplicaciones en la lista blanca" — excluir ciertas aplicaciones del bloqueo

Recomendamos activar "Permitir red local", de lo contrario no podrás imprimir en la impresora local o conectarte al router mientras el kill switch esté activo.

Método 2: Kill switch a través de Windows Firewall (usuarios avanzados)

Si tu aplicación VPN no tiene un kill switch integrado, puedes configurarlo a través de Windows Firewall:

1. Abre Windows Security (busca en el menú Inicio)
2. Ve a Firewall & protección de red
3. Haz clic en Permitir una aplicación a través del firewall
4. Haz clic en Cambiar configuraciones, luego en Permitir otra aplicación
5. Selecciona tu aplicación VPN
6. Asegúrate de que solo se permiten redes privadas (Private), deja desactivadas las redes públicas (Public)

Este método es más limitado que el kill switch en la aplicación, porque requiere gestión manual de las reglas. El kill switch en la aplicación VPN automatiza todo esto.

Configuración en macOS e iOS: restricciones del sistema

macOS: Kill switch a través de Preferencias del Sistema

En macOS, el kill switch se implementa a través del filtro de paquetes integrado PF (Packet Filter). La mayoría de las aplicaciones VPN (Mullvad, ProtonVPN, Windscribe) tienen un kill switch integrado que activa automáticamente las reglas de PF.

Para activar el kill switch en macOS en la aplicación VPN:

• Abre la aplicación VPN
• Ve a Preferencias o Configuración
• Busca la opción "Kill Switch" o "Network Lock"
• Actívala
• El sistema pedirá la contraseña de administrador — introdúcela

El kill switch en macOS funciona a nivel del sistema a través del firewall PF, por lo que es más confiable que en Windows. Si la aplicación VPN falla, el kill switch seguirá funcionando.

iOS: Kill switch limitado por el sistema

En iOS, el kill switch tiene restricciones estrictas porque Apple no permite que las aplicaciones controlen completamente la red.

El kill switch en iOS solo funciona dentro de la aplicación VPN. Si cierras la aplicación o iOS cambia a otra red (por ejemplo, de Wi-Fi a móvil 4G), el kill switch no podrá interceptar este cambio.

Aquí hay un escenario del problema: estás conectado a VPN a través de Wi-Fi, viendo TikTok, el kill switch está activado. De repente, Wi-Fi se desconecta. iOS cambia automáticamente a la red móvil 4G. El kill switch NO funcionará, porque esta es una acción del sistema, no un error de conexión VPN. Tu IP real será visible para TikTok durante unos segundos, hasta que la aplicación VPN se reconecte.

Solución: apaga manualmente Wi-Fi (a través del Centro de Control) antes de activar la red móvil, si te preocupa la fuga de IP. Esto dará tiempo a la aplicación VPN para reconectarse a la red móvil sin pérdida de tráfico.

Android: cómo encontrar la opción de kill switch en la aplicación VPN

En Android, el kill switch se encuentra en diferentes lugares dependiendo de la aplicación VPN, pero el principio general es el mismo.

Pasos estándar para la mayoría de las aplicaciones VPN:

1. Abre la aplicación VPN
2. Haz clic en el ícono de menú (tres puntos) o ve a Configuración
3. Busca la sección Seguridad, Privacidad o Configuración Avanzada
4. Busca la opción "Kill Switch" o "Network Lock" o "Always-on VPN"
5. Actívala

Configuración adicional en Android:

En Android 10+, puedes activar "Always-on VPN" en la configuración del sistema (Configuración → Avanzado → VPN). Esto garantiza que si la conexión se pierde, todo el tráfico será bloqueado a nivel del sistema.

Para un kill switch más fiable en Android:

• Activa "Bloquear tráfico no cifrado" en la configuración de VPN (si está disponible)
• Activa "VPN siempre activa" en la configuración del sistema
• Desactiva "Permitir eludir VPN" si la opción está disponible

En Android, el kill switch funciona mejor que en iOS, porque el sistema permite más control. Pero aún así hay riesgo al cambiar entre redes.

Kill switch en el router: protección de todos los dispositivos a la vez

El kill switch en el router es el método más potente, porque protege todos los dispositivos conectados al mismo tiempo (smartphones, TV, laptops, impresoras, etc.).

Cómo funciona: si el router pierde la conexión con la VPN, corta el internet para todos los dispositivos en la casa. El kill switch en el router bloquea no una aplicación individual, sino todo el tráfico saliente.

Configuración del kill switch en el router con OpenVPN:

La mayoría de los routers modernos con soporte para OpenVPN (DD-WRT, OpenWrt, Tomato, Asus AiProtection) tienen un kill switch integrado. Busca en la configuración del router:

• Accede al panel de administración del router (normalmente 192.168.1.1 o 192.168.0.1)
• Ve a la sección VPN o OpenVPN
• Encuentra la opción "Kill Switch" o "Bloquear internet si se desconecta la VPN"
• Actívala

Configuración del kill switch en el router con WireGuard:

WireGuard en el router requiere una configuración más compleja. Necesitas crear una regla de firewall que bloquee el tráfico si la interfaz wg0 no está activa:

En OpenWrt (a través de SSH): añade la regla en el archivo /etc/config/firewall:

config rule
    option src 'lan'
    option dest 'wan'
    option target 'REJECT'
    option enabled '0'

Esto es complicado para principiantes, por lo que muchos utilizan un script de monitoreo que verifica el estado de WireGuard cada 10 segundos y corta el internet si se pierde la conexión.

Caso extremo: desconexiones frecuentes del kill switch en el router

Si tu router pierde la conexión con la VPN cada 30 minutos, el kill switch bloqueará todo el internet en la casa durante 30 segundos cada vez. Esto es poco práctico. Solución: mejora la estabilidad de la conexión VPN en el router:

• Revisa los registros del router (Sistema → Registro) para encontrar las causas de las desconexiones
• Cambia el servidor VPN por uno más estable (elige servidores más cercanos a tu ubicación)
• Prueba otro protocolo (WireGuard se reconecta más rápido que OpenVPN)
• Desactiva temporalmente el kill switch y configura el intervalo de reconexión a 5-10 segundos en lugar de esperar indefinidamente

WireGuard vs OpenVPN vs IKEv2 vs Shadowsocks: soporte para kill switch

Los diferentes protocolos tienen diferente soporte para kill switch. Aquí hay una comparación:

WireGuard + kill switch: La mejor opción para la mayoría. El kill switch está integrado en la aplicación, se reconecta rápidamente (1-2 seg). Solo hay un problema: WireGuard es fácil de bloquear a través de DPI, por lo que si el proveedor bloquea activamente, se necesitan puertos no estándar o otro protocolo.

OpenVPN + kill switch: El kill switch en OpenVPN requiere un script adicional killswitch.sh, lo cual es más complicado. La reconexión es más lenta (3-5 seg), por lo que el riesgo de fuga de IP es mayor. Recomendamos solo si otros protocolos no funcionan.

IKEv2 + kill switch: Está integrado en el sistema en iOS y Windows, funciona rápidamente (2-3 seg). Pero IKEv2 no es tan popular y no todos los servicios VPN lo soportan.

Shadowsocks + kill switch: Shadowsocks por sí mismo no es un VPN, es un proxy. El kill switch se implementa a través de una aplicación envoltura externa (por ejemplo, Clash o Quantumult). La reconexión es rápida (0.5-1 seg) y es más difícil de bloquear por el proveedor. Es una buena opción para eludir DPI, pero requiere más configuraciones.

Kill switch en Smart TV, Apple TV, consolas e IoT: características

¿Por qué el kill switch en Smart TV a menudo no funciona?

En la mayoría de los Smart TV (Samsung, LG, Sony, Xiaomi) no hay una aplicación VPN completa con kill switch. Los TV utilizan sistemas operativos como WebOS, TizenOS o Android TV, que tienen fuertes limitaciones en el control de la red.

Solución: configura la VPN a nivel del enrutador, no en la TV misma. Si el enrutador está conectado a la VPN, todos los dispositivos en la casa (incluida la TV) utilizan automáticamente la VPN. El interruptor de apagado funciona a nivel del enrutador, por lo que protege todo.

Así es como se ve en la realidad: su router está conectado a la VPN con el kill switch activado. El Smart TV está conectado al router. Abre YouTube en el TV. Si el router pierde la conexión con la VPN, el kill switch corta toda la internet en la casa. YouTube en el TV mostrará un error en lugar de video. Después de 5-10 segundos, el router se reconectará y YouTube volverá a funcionar.

Esto es bueno para la privacidad (el proveedor no ve su IP real), pero puede ser molesto si la conexión VPN es inestable. Verifique los registros del router y asegúrese de que la VPN se reconecte de manera estable (no más de una vez por hora).

Eludir bloqueos de YouTube, Netflix en TV con VPN

El kill switch ayuda a eludir bloqueos de YouTube y Netflix en TV solo si la conexión VPN se pierde temporalmente. Si el proveedor bloquea activamente el VPN (DPI), entonces:

• YouTube en el TV no se cargará en absoluto
• Netflix mostrará el error "Parece que estás usando un VPN" (algunos servicios bloquean cuentas de VPN)
• TikTok no se abrirá en el TV (no hay aplicación oficial para la mayoría)

El kill switch aquí no ayuda: es una cuestión de bloqueo a nivel de protocolo.

Para que YouTube y Netflix funcionen en TV a través de VPN:

• Asegúrese de que el enrutador esté conectado a VPN (no el TV directamente)
• Elija un servidor VPN en otro país, si YouTube o Netflix están bloqueados en su país
• Utilice el protocolo Shadowsocks o VLESS en lugar del estándar WireGuard/OpenVPN, si el proveedor bloquea
• Si el VPN no se conecta en absoluto, significa que el proveedor ha bloqueado incluso los protocolos ofuscados: se necesitan métodos más avanzados

Kill switch en consolas de juegos (PS5, Xbox Series X)

En las consolas no se puede instalar la aplicación VPN directamente. La única forma de usar VPN en la consola es configurarlo a nivel de enrutador o crear una red Wi-Fi virtual con VPN.

Método 1: VPN en el enrutador (recomendado)

Todas las consolas están conectadas al enrutador por Wi-Fi o Ethernet. Si el enrutador utiliza VPN, la consola está automáticamente protegida. El kill switch funciona a nivel de enrutador, por lo que si la conexión VPN se pierde, toda la internet para la consola se bloquea.

Método 2: red VPN en la computadora

Si su enrutador no admite VPN, puede crear una red Wi-Fi virtual en su computadora (Windows o macOS) y compartir la conexión VPN con la consola. Es más complicado, pero funciona.

El kill switch en este escenario funciona a nivel de computadora y aplicación VPN, pero no a nivel de consola. Si la computadora se desconecta, la consola perderá internet.

El problema con ambos métodos: el proveedor puede bloquear los servicios web de la consola (PS Store, Xbox Game Pass) a nivel de IP o DPI. El kill switch no puede resolver este problema, porque es un bloqueo a nivel de servicio, no una fuga de IP.

FAQ: Preguntas frecuentes sobre el kill switch de VPN explicado