Split tunneling para bancos en Egipto: incluir solo lo que necesita el túnel

La aplicación bancaria ya estaba excluida. También la cartera digital, el servicio de transporte y un segundo banco local. Cuando intenté pedir comida a domicilio y la plataforma rechazó el pago por detectar una ubicación incoherente, entendí que había construido el split tunneling al revés.

El impulso habitual al viajar o residir en Egipto es meter todo el teléfono dentro de una conexión cifrada y empezar a rescatar, una por una, las herramientas cotidianas que protestan. El resultado es una lista interminable de excepciones frágil y agotadora de mantener. No necesitas añadir una sexta o séptima aplicación a tu lista de descartes: necesitas invertir la regla desde el principio.

Decide primero por dónde debe salir la banca

Antes de perder horas probando servidores extranjeros con la esperanza de que tu banco no sospeche, conviene dar un paso atrás y hacer una prueba básica sin mover un solo céntimo:

1. Apaga por completo la VPN.
2. Desconecta el Wi-Fi y activa los datos móviles del teléfono.
3. Abre la aplicación de tu entidad financiera y consulta el saldo o una sección meramente informativa.

Si la aplicación no carga ni siquiera mediante la conexión móvil directa, el túnel no es el culpable. El problema puede residir en un bloqueo temporal de la cuenta, un dispositivo no reconocido, la itinerancia de datos o una actualización pendiente del sistema. En cambio, si la banca funciona con total fluidez de forma directa y solo falla al activar el cifrado, la decisión operativa es evidente: conserva para el banco la ruta que ya funciona de forma nativa. Las entidades aplican controles de riesgo automatizados ante accesos desde direcciones IP remotas o centros de datos; forzar el tráfico bancario a través de un túnel lejano solo multiplica las fricciones.

Ahora bien, hay una frontera de seguridad crítica que no se debe cruzar. Dejar una aplicación bancaria fuera del túnel significa entregar su tráfico directamente a la red subyacente. Entidades como Commercial International Bank en Egipto, dentro de sus recomendaciones de seguridad, insisten en evitar las redes Wi-Fi públicas para realizar transacciones y priorizar siempre conexiones seguras o datos móviles de confianza.

Excluir el banco del túnel es una excelente idea si estás conectado a tu red 4G/5G local, pero es una imprudencia grave si el teléfono está enlazado al Wi-Fi abierto de una cafetería o un aeropuerto.

Una lista larga de exclusiones es el split tunneling al revés

En los sistemas operativos modernos existen dos filosofías para dividir el tráfico:

• Modo de exclusión: Todo el teléfono navega a través de la VPN, salvo las aplicaciones marcadas expresamente en una lista negra. Resulta adecuado si necesitas proteger el 95% de tu actividad y solo liberas una herramienta puntual.
• Modo de inclusión: Todo el teléfono navega de forma directa a través de tu conexión local, y únicamente las aplicaciones seleccionadas entran al túnel.

La documentación técnica de Android para desarrolladores detalla que el sistema admite listas de aplicaciones permitidas o no permitidas, pero nunca ambas a la vez. Además, estas directivas se fijan en el momento exacto en que se levanta la interfaz virtual: cualquier cambio en la lista exige reconstruir el túnel desde cero.

En Egipto, informes como el de Freedom House reflejan bloqueos y restricciones sobre determinados servicios de mensajería, llamadas de voz sobre IP o portales de información. Es comprensible que necesites una ruta externa para seguir comunicándote o trabajando con normalidad. Pero que necesites un túnel para dos aplicaciones de mensajería o tu gestor de correo profesional no justifica que obligues a tus bancos, billeteras de pago y mapas locales a pasar por el extranjero.

Si solo vas a hacer una consulta bancaria puntual al mes y ninguna otra tarea en segundo plano depende del túnel, la solución más sencilla sigue siendo pausar la VPN durante dos minutos. Sin embargo, si necesitas mantener tus canales de comunicación abiertos todo el día sin que tus gestiones locales se rompan, el split tunneling por inclusión es la única arquitectura limpia.

Cuando la lista importante es la corta

Configurar una regla de inclusión debe ser un proceso inmediato, no un ejercicio de administración de sistemas. Aquí es donde destaca OnlydogVPN^↗: su cliente para Android permite invertir el modelo de enrutamiento con un solo ajuste, pasando de una lista caótica de excepciones a una lista breve de aplicaciones autorizadas.

En lugar de perseguir cada servicio egipcio que falla, el procedimiento queda reducido a lo esencial:

Activa en la aplicación el modo de inclusión selectiva.

Marca únicamente las dos o tres herramientas (trabajo, videollamadas o plataformas restringidas) que necesitan cruzar el túnel.

Deja fuera tus bancos, billeteras electrónicas y servicios de transporte locales.

Desconecta y vuelve a conectar el servicio para que Android reconstruya la tabla de rutas.

Cierra y vuelve a abrir las aplicaciones para que asuman la nueva conexión.

Al centrarse en una lista corta, evitas el mantenimiento perpetuo. Además, su enrutamiento automático adapta los saltos de red de forma transparente, reduciendo las microinterrupciones si la señal móvil fluctúa en zonas urbanas densas.

Existe, no obstante, una incompatibilidad fundamental que debes revisar en los ajustes de Android. El sistema cuenta con una opción de seguridad avanzada llamada «Bloquear conexiones sin VPN». Como documenta Google, si esta casilla está activada, el teléfono cortará inmediatamente el acceso a Internet a cualquier aplicación que no viaje por dentro del túnel.

Si intentas dejar tu banco en ruta directa mientras esa casilla permanece encendida, la banca se quedará completamente sin red. La elección es obligatoria: si deseas un carril directo para tus finanzas locales, debes mantener desactivado el bloqueo total del sistema. Cambiar de servidor o reinstalar la app no resolverá ese conflicto, pues se trata de una directiva estricta del sistema operativo.

Comprueba los dos carriles antes de aprobar un pago

Nunca pongas a prueba una configuración de red en medio de una transferencia urgente. La verificación de ambos carriles toma menos de dos minutos y no requiere arriesgar dinero:

1. Conecta el servicio una vez guardadas las aplicaciones incluidas.
2. Abre un navegador que hayas incluido en la lista y visita cualquier página de comprobación de IP; debe reflejar la ubicación del servidor VPN.
3. Abre otro navegador distinto que hayas dejado fuera de la lista; debe reflejar tu dirección IP egipcia habitual.
4. Cierra por completo la aplicación de tu banco desde la vista de multitarea y vuelve a abrirla.
5. Inicia sesión y revisa un saldo o un extracto.
6. Confirma que la aplicación que tienes dentro del túnel sigue enviando y recibiendo datos al mismo tiempo.
7. Desconecta y reconecta la herramienta una vez más para cerciorarte de que la regla persiste tras un reinicio.

Si la aplicación bancaria no tiene conexión, revisa de inmediato si tienes activo el bloqueo de conexiones sin VPN en Android. Si ambos navegadores muestran la misma dirección extranjera, la regla de inclusión no se guardó o no reiniciaste el túnel. Y si la ruta directa funciona bien pero la aplicación falla justo al autorizar un pago con tarjeta, comprueba si el proceso te redirige a un navegador externo o a una pasarela de autenticación que haya quedado atrapada en una regla distinta.

Cuando cambia la red o el teléfono, cambia la respuesta

La regla de inclusión es la más limpia, pero su viabilidad depende del entorno físico y del dispositivo que sostengas:

• Android con datos móviles: Es el escenario idóneo. La herramienta canaliza tus aplicaciones de trabajo por la VPN, mientras tus finanzas viajan cifradas por la red celular directa de tu operador local.
• Android sobre Wi-Fi público: Si te conectas a una red abierta en un hotel o una cafetería, la banca directa queda expuesta. En ese caso, la pauta prudente no es meter el banco al túnel, sino apagar el Wi-Fi del teléfono por completo y realizar tus operaciones bancarias utilizando tus datos móviles.
• En un iPhone personal: Las directivas de red de Apple no ofrecen de forma nativa un selector libre aplicación por aplicación para perfiles de usuario estándar. Las opciones de VPN por app en iOS están reservadas casi exclusivamente a perfiles empresariales gestionados (MDM). Si viajas con un iPhone, alternar el encendido y apagado manual seguirá siendo la vía más fiable.
• En teléfonos corporativos: Respeta siempre las políticas impuestas por el departamento de sistemas, que pueden sobrescribir cualquier ajuste personal.

Para el usuario cotidiano en Android, la solución más sólida nunca fue añadir una sexta aplicación local a una lista interminable de excepciones. La verdadera estabilidad consiste en dejar que todo tu tráfico diario respire por la conexión directa de confianza, y utilizar el túnel únicamente como un carril especializado para las pocas herramientas que de verdad lo necesitan.