Un VPN en el router traslada el túnel de los dispositivos individuales al punto de entrada a internet: detrás de él queda toda la casa: teléfonos, portátiles, televisor, consolas y electrodomésticos inteligentes. Explicamos cuándo tiene sentido, qué router elegir y cómo instalar un VPN personal en OpenWrt.
Este artículo está pensado para quien esté dispuesto a entrar en la interfaz web del router y configurarlo todo de una vez. Si solo necesitas VPN para el televisor, al final hay una vía más sencilla con aplicaciones para Apple TV y Android TV.
Para qué sirve un VPN en el router
Una aplicación en el teléfono protege un teléfono. Un router con VPN protege todo lo que está conectado a la red doméstica, y lo hace de forma transparente para los propios dispositivos: ellos ven un Wi-Fi normal, mientras que el cifrado y el enrutamiento ocurren en el router.
- El televisor, la consola, el reproductor multimedia y los electrodomésticos inteligentes sin cliente de VPN obtienen la misma IP que el teléfono.
- En los portátiles y teléfonos no se gasta batería ni hay que vigilar si el túnel está activo.
- Los invitados y los dispositivos nuevos quedan protegidos nada más conectarse al Wi-Fi.
- Los ajustes viven en un solo lugar, no en una decena de aplicaciones.
También tiene un coste: la velocidad está limitada por el procesador del router, y cualquier problema con el túnel afecta a toda la casa a la vez. Por eso es importante elegir bien el equipo y pensar de antemano qué hacer si se corta la conexión.
Qué router elegir
MeduzaVPN ofrece un paquete listo para OpenWrt, el firmware abierto que se instala en cientos de modelos de router. El paquete está compilado para tres plataformas, que son las que verificamos, y para el resto hay compilaciones estáticas del demonio.
| Plataforma | Formato | Dispositivos típicos | Velocidad esperada |
|---|---|---|---|
| x86/64 | Paquete listo | Mini PC, máquinas virtuales, routers industriales con Intel/AMD | Cientos de Mbit/s y más |
| MediaTek Filogic | Paquete listo | Routers Wi-Fi 6 modernos con MT7981/MT7986 | Cientos de Mbit/s |
| MT7621 | Paquete listo | Routers masivos de 2018 a 2023 | Decenas de Mbit/s |
| arm64, armv7, mips | Compilación estática del demonio | Otras plataformas de OpenWrt, instalación manual | Depende del procesador |
Memoria y almacenamiento
El requisito clave es el espacio de almacenamiento. El paquete con sus dependencias necesita 40–46 MB. Un router con 16 MB de memoria flash no sirve: tras instalar el propio firmware quedan solo unos pocos megabytes. Busca modelos con 128 MB o más, o configura extroot en una memoria USB si el router tiene puerto. Conviene tener al menos 256 MB de RAM; si no, con muchas conexiones simultáneas el demonio y la interfaz web competirán por los recursos.
Antes de comprar, revisa la tabla de hardware de OpenWrt: no solo importan el procesador y la memoria, sino también que el modelo esté soportado por la rama actual del firmware. Las ramas antiguas pueden carecer de las dependencias necesarias.
Instalación del paquete en OpenWrt
Se asume que OpenWrt ya está instalado y el router tiene salida a internet. La instalación del paquete lleva unos minutos.
- Abre la página VPN para el router y descarga el paquete de tu plataforma.
- Comprueba que tienes al menos 50 MB libres: la sección «Sistema → Software» de LuCI muestra el espacio disponible.
- Sube el paquete desde esa misma sección de LuCI o por SSH con el comando de instalación de opkg.
- Espera a que se instalen las dependencias; en el primer arranque el demonio crea su propia configuración.
- Abre la nueva página de MeduzaVPN en el menú de LuCI e inicia sesión con el código QR.
- Elige la ubicación y el protocolo, activa la conexión y comprueba la IP desde cualquier dispositivo de la red.
Compilaciones estáticas para otras plataformas
Si tu router funciona con arm64, armv7 o mips, usa la compilación estática del demonio. No depende de las bibliotecas del firmware y se ejecuta como un servicio normal. En este caso no hay página en LuCI: el inicio de sesión y la elección de ubicación se hacen con comandos por SSH, y los parámetros se guardan en un archivo de configuración. Este camino está pensado para quien se maneja con soltura en la consola.
Inicio de sesión por código QR y la página en LuCI
El router no tiene un teclado cómodo, y no conviene guardar en él la contraseña de la cuenta. Por eso el acceso funciona igual que en el televisor: la página de MeduzaVPN en LuCI muestra un código QR, lo escaneas con el teléfono donde tienes la aplicación o abres el enlace en el navegador y confirmas el acceso. El router recibe su propia clave de acceso, que puedes revocar desde la cuenta en cualquier momento.
En la propia página tienes disponibles:
- el estado de la conexión, la ubicación actual y la IP externa;
- la elección entre más de 60 ubicaciones y el cambio de protocolo: MeduzaVPN ULTRA, WireGuard, VLESS y otros;
- la activación del kill switch;
- la elección de qué dispositivos o subredes pasan por el túnel;
- el registro de los últimos eventos de conexión.
El router es un dispositivo más en la cuenta. No consume una suscripción aparte ni ocupa una «plaza»: no hay límite en el número de dispositivos. Si compartes el VPN con la familia, mira cómo funciona el acceso compartido.
Kill switch y división del tráfico
Kill switch
Si el túnel se corta, el router puede dejar pasar el tráfico directamente o bloquearlo hasta que se restablezca. El segundo modo es el kill switch. En el router afecta a todos, así que decide de antemano: si tienes dispositivos para los que el internet continuo es importante (videovigilancia, domótica), quizá sea mejor dejarlos fuera del túnel y activar el bloqueo solo para el resto.
División por dispositivos
En OpenWrt el tráfico se divide fácilmente por clientes. Una opción práctica son dos redes Wi-Fi: una va por el VPN, la otra directa. El televisor y el decodificador se conectan a la primera; los dispositivos de trabajo con su propio VPN corporativo, a la segunda. Es el mismo principio que el split tunneling en las aplicaciones, solo que el límite lo marca la red y no la lista de programas.
DNS
Comprueba que las consultas DNS también pasan por el túnel. Si el router sigue preguntando al servidor DNS del proveedor, los sitios verán la IP del VPN pero el proveedor verá la lista de dominios. El paquete de MeduzaVPN configura el DNS dentro del túnel por defecto, pero conviene revisarlo si has hecho cambios manuales en dnsmasq.
Limitaciones y qué tener en cuenta
- Velocidad. El cifrado lo hace el procesador del router. En MT7621 el techo práctico son decenas de megabits por segundo; en Filogic y x86, cientos. Para vídeo en 4K es suficiente; para un canal de un gigabit, no.
- Una sola ubicación para todos. El router está conectado a un único servidor. Si un dispositivo necesita Ámsterdam y otro Tokio, habrá que cambiar de ubicación o dejar la aplicación en el propio dispositivo.
- Condiciones de los servicios. Una VPN protege la conexión y no sustituye la suscripción a un servicio. Respeta las condiciones de uso de cada servicio.
- Cambio de protocolo según la red. Si un protocolo es inestable en tu red, en el router eso se nota de inmediato en toda la casa. Ten a mano la página de LuCI para cambiar, por ejemplo, de WireGuard a MeduzaVPN ULTRA.
- Actualizaciones. El paquete se actualiza con opkg, como el resto de componentes de OpenWrt. Conviene revisar si hay versiones nuevas cada pocos meses.
- Punto único de fallo. Un error al configurar el router deja sin internet a todos. Guarda una copia de seguridad de la configuración antes de hacer cambios.
Alternativas al router
El router no siempre es necesario. Si la tarea es solo el televisor o el decodificador, es más sencillo instalar la aplicación directamente en ese dispositivo.
| Criterio | VPN en el router | Aplicaciones en los dispositivos |
|---|---|---|
| Alcance | Todos los dispositivos de la red, incluidos los que no tienen cliente | iPhone, Android, macOS, Windows, Linux, Apple TV, Android TV, Fire TV |
| Velocidad | Limitada por el procesador del router | Limitada por el canal y el servidor |
| Ubicaciones | Una para todos | Propia en cada dispositivo |
| Configuración | Requiere OpenWrt y la interfaz web | Instalación desde la tienda, acceso por código o por cuenta |
| Fuera de casa | No funciona | Funciona en cualquier red |
Para televisores, MeduzaVPN tiene aplicaciones para Apple TV, Android TV y Fire TV: acceso mediante código desde el teléfono, elección de ubicación con el mando y el mismo servidor personal. Muchos combinan ambos enfoques: el router para los aparatos sin cliente, y las aplicaciones para los teléfonos y portátiles que salen de casa.
Conclusión
Un VPN en el router con OpenWrt es una forma de proteger toda la casa con una sola conexión y cubrir los aparatos que no tienen cliente propio. Las condiciones principales: 40–46 MB de almacenamiento, una plataforma compatible y entender cómo se comportará la red si se corta el túnel.
En el plan PERSONAL, MeduzaVPN en el router usa el mismo servidor propio con su IP que las aplicaciones, y hay una sola cuenta para todos los dispositivos. Las suscripciones incluyen 7 días sin cobro y devolución en un plazo de 15 días. Elegir plan.
Preguntas frecuentes
¿Para qué poner un VPN en el router si hay aplicaciones para todos los dispositivos?
El router cifra el tráfico de todos los dispositivos de la casa con una sola conexión, incluidos los aparatos sin cliente de VPN propio: televisores sin aplicaciones, consolas de videojuegos, altavoces inteligentes y dispositivos de invitados. Además, no gasta batería en los teléfonos y portátiles ni obliga a vigilar el estado del túnel en cada uno.
¿En qué routers funciona el paquete de MeduzaVPN para OpenWrt?
Hay paquetes listos para OpenWrt en x86/64, MediaTek Filogic y MT7621. Para el resto de plataformas en arm64, armv7 y mips existen compilaciones estáticas del demonio que se instalan a mano. El requisito común es 40–46 MB de espacio libre y un firmware OpenWrt de la rama actual.
¿Es suficiente un router con 16 MB de memoria flash?
No. El paquete con sus dependencias necesita unos 40–46 MB de almacenamiento, y en dispositivos con 16 MB de flash apenas quedan unos pocos megabytes tras instalar el propio firmware. Esos routers solo sirven para configuraciones mínimas; para un VPN personal es mejor elegir un modelo con 128 MB o más, o añadir una memoria USB para extroot.
¿Cómo se inicia sesión en el router si no tiene navegador ni teclado?
En la interfaz web LuCI aparece una página de MeduzaVPN que muestra un código QR. Lo escaneas con el teléfono donde tienes la aplicación instalada, o abres el enlace en el sitio web, confirmas el acceso, y el router obtiene su propio acceso al VPN personal sin escribir ninguna contraseña en el propio dispositivo.
¿Qué pasa con el internet de casa si se corta el VPN en el router?
Lo determina el kill switch. Con el bloqueo de emergencia activado, el router no deja pasar tráfico fuera del túnel y los dispositivos se quedan sin internet hasta que la conexión se restablece. Con el bloqueo desactivado, el tráfico va directo por el proveedor. La elección depende de qué te importa más: la protección continua o el acceso continuo.
¿Bajará la velocidad de internet en casa?
Sí, el cifrado lo realiza el procesador del router, que es más débil que el de un teléfono. En MT7621 el límite práctico suele ser de decenas de megabits por segundo; en Filogic y x86, cientos. Para vídeo en streaming es suficiente; para descargar archivos grandes por un canal de un gigabit, no.
¿Se puede pasar por el VPN solo el televisor y no todos los dispositivos?
Sí. En OpenWrt el tráfico se puede repartir por dispositivos o subredes: parte de los clientes va por el túnel, otra parte va directo. Una forma sencilla es crear una red Wi-Fi o una VLAN aparte para los dispositivos que necesitan el VPN. Es el equivalente del split tunneling, pero a nivel de toda la red doméstica.
¿Hay alternativa si el router no sirve?
Para televisores y decodificadores existen aplicaciones separadas de MeduzaVPN para Apple TV, Android TV y Fire TV, con inicio de sesión mediante un código desde el teléfono. Para el resto de dispositivos hay aplicaciones para iPhone, Android, macOS, Windows y Linux. Una sola cuenta funciona en todos, sin límite en el número de dispositivos.