VPN para excluir Zoom, Teams y banca desde México: Proton gana, pero el iPhone cambia la respuesta

La casilla de Microsoft Teams estaba marcada en la lista de exclusiones y, aun así, la videollamada seguía entrecortada, viajando por un servidor intermedio a miles de kilómetros.

Para quien trabaja a distancia desde México, la necesidad parece simple: mantener el tráfico profesional dentro de un túnel cifrado, pero permitir que las reuniones de Zoom, las llamadas de Teams y la banca en línea utilicen la conexión local directa. La intuición sugiere que basta con abrir los ajustes de la VPN, marcar tres iconos y obtener el mismo resultado en cualquier pantalla. En la práctica, esa frontera casi nunca funciona como un interruptor universal.

Excluir el icono no siempre excluye toda la llamada

El nombre comercial de un programa no siempre coincide con la frontera real de sus datos. Herramientas complejas como Zoom o Microsoft Teams no operan como un único bloque de tráfico; combinan flujos de audio y vídeo en tiempo real, pantallas de autenticación web, mensajería instantánea, descargas de archivos en la nube y llamadas a servicios auxiliares.

Pensemos en una reunión cotidiana:

• La llamada de voz y vídeo intenta tomar la conexión mexicana directa para reducir la latencia.
• El inicio de sesión previo se procesa mediante una ventana web segura.
• Los documentos compartidos se descargan desde SharePoint u otros repositorios corporativos.
• Una invitación externa de Zoom abre primero un enlace de confirmación en el navegador predeterminado.

Si una regla local solo desvía el ejecutable principal, el audio puede salir por la red doméstica mientras el resto del ecosistema sigue atrapado en el túnel. De hecho, las directrices de conectividad de Microsoft para entornos profesionales no aconsejan excluir Teams de manera indiscriminada; su recomendación oficial consiste en otorgar salida directa prioritaria a los destinos de red específicos catalogados como "Optimize" dentro de Microsoft 365.

Zoom, por su parte, distribuye sus funciones entre rangos de direcciones IP y puertos claramente diferenciados. Intentar resolver este rompecabezas excluyendo todo el navegador web suele generar un problema mayor: dejar sin protección corporativa portales internos confidenciales que debían permanecer estrictamente dentro de la VPN. En ordenadores administrados por una empresa, esta arquitectura no debe improvisarse: corresponde al equipo de soporte de TI definir las rutas en el cortafuegos.

La misma exclusión cambia de significado según el dispositivo

El sistema operativo sobre el que corre la aplicación define qué es técnicamente posible. Un servicio de VPN no puede romper las reglas impuestas por la plataforma donde se instala.

• Windows: soporte completo y documentado; permite crear listas de aplicaciones y direcciones IP excluidas o incluidas.
• Android: soporte nativo del sistema operativo; admite listas de aplicaciones permitidas o excluidas mediante la API oficial de red.
• macOS: soporte parcial o experimental; funciona con ejecutables independientes, pero falla ante WebKit, Safari y llamadas del sistema.
• iPhone / iPad (iOS): restringido a entornos MDM; no existe un selector universal libre para usuarios estándar y Apple reserva la VPN por app a software corporativo gestionado.

La afirmación comercial «compatible con iPhone» solo garantiza que el servicio cifra el dispositivo completo; no significa que permita seleccionar qué aplicaciones viajan por fuera del túnel.

La banca se prueba aparte porque su fallo tiene otra causa

Mientras que Zoom y Teams sufren por retraso en la señal cuando usan una ruta indirecta, las aplicaciones bancarias fallan por un motivo distinto: controles estrictos de seguridad y prevención de fraudes. Un banco mexicano suele bloquear accesos, solicitar verificaciones extraordinarias o suspender la sesión si detecta una dirección IP asociada a centros de datos extranjeros.

Para resolver incidencias bancarias sin comprometer la seguridad, conviene realizar un descarte metódico:

1. Prueba base: Confirme que la aplicación bancaria opere sin contratiempos con la VPN apagada.
2. Diagnóstico con túnel: Conecte la VPN y verifique si el acceso se interrumpe o genera alertas de ubicación.
3. Exclusión dedicada: En un sistema compatible (como Windows o Android), agregue exclusivamente la aplicación bancaria a la lista fuera del túnel.
4. Reinicio limpio: Reconecte el enlace seguro y reinicie por completo la aplicación financiera.
5. Comprobación cruzada: Confirme mediante un navegador que las herramientas confidenciales de trabajo continúan mostrando la dirección IP pública del servidor seguro.

Si las gestiones financieras se realizan a través de un navegador web, excluir Chrome o Edge completos dejaría expuestas todas las demás pestañas de trabajo. En esos casos, la alternativa más ordenada consiste en utilizar la aplicación nativa del banco o reservar un segundo navegador web exclusivamente para la operativa financiera. Asimismo, si la única opción disponible fuera excluir la banca en una red Wi‑Fi pública o desconocida, siempre resultará más prudente apagar la VPN unos minutos utilizando los datos móviles del teléfono.

Qué permite cada opción en la práctica

Cuando se evalúan proveedores comerciales con soporte formal de exclusión por aplicación e IP, Proton VPN es la opción que este texto encuentra mejor documentada para Windows y Android.

Por el contrario, opciones orientadas a la navegación simplificada como OnlydogVPN^↗ no son recomendables para este objetivo específico. Aunque el proveedor ofrece perfiles preconfigurados, asignación automática de rutas y compatibilidad multiplataforma, sus especificaciones oficiales no contemplan túnel dividido ni exclusiones manuales de tráfico por aplicación. Asignarle capacidades técnicas que no documenta conduciría a una compra equivocada.

Para configurar la separación en Proton de forma estable, conviene seguir este flujo:

1. Ingrese a los ajustes avanzados de la aplicación y active la función de túnel dividido (split tunneling).
2. Seleccione el modo para excluir aplicaciones y añada únicamente los programas estrictamente necesarios.
3. Guarde la configuración y desconecte la sesión de la VPN.
4. Cierre y vuelva a abrir Teams, Zoom o el software bancario para obligar a que sus conexiones tomen la nueva tabla de enrutamiento local.
5. Vuelva a conectar la VPN y confirme que sus herramientas confidenciales retienen la IP externa protegida.
6. Reinicie el equipo para validar que las excepciones persistan tras un reinicio en frío.

Conviene considerar un compromiso de seguridad: el interruptor de corte de emergencia (kill switch). Mientras que en Windows es posible mantener activo el bloqueo contra fugas junto con el túnel dividido, en otros sistemas operativos ambas funciones entran en conflicto técnico. Si la prioridad absoluta es blindar el tráfico laboral ante cualquier desconexión imprevista, mantener el kill switch encendido puede obligar a prescindir de las exclusiones locales.

La frontera depende del equipo

No existe un túnel dividido universal que resuelva todos los escenarios con un solo clic. La respuesta final depende del dispositivo exacto que tenga sobre el escritorio:

• En un PC con Windows personal: Proton es la solución más sólida. Configure las exclusiones manuales y confirme que el resto de las tareas corporativas permanezcan protegidas.
• En un teléfono o tableta con Android: Proton aprovecha las funciones nativas del sistema para aislar la banca o las videollamadas con estabilidad.
• En una computadora Mac: Pruebe la función experimental de Proton con las aplicaciones de escritorio de Teams o Zoom, pero no asuma que las llamadas o portales abiertos en Safari y WebKit respetarán el aislamiento.
• En un iPhone o iPad personal: No adquiera ninguna VPN esperando exclusión por aplicaciones individuales. Apple restringe este comportamiento a dispositivos corporativos controlados mediante perfiles de gestión centralizada (MDM). En terminales personales, la solución práctica es pausar brevemente el túnel o gestionar la banca mediante datos celulares.
• En un portátil corporativo administrado: No intente forzar configuraciones locales en clientes comerciales; solicite al departamento de sistemas que aplique las directivas de salida directa recomendadas para los servicios de Microsoft 365.

Un botón denominado split tunneling no representa un contrato idéntico en todos los sistemas operativos. La herramienta adecuada gana únicamente en las plataformas donde el entorno permite trazar la frontera solicitada.