Solucionar rutas ignoradas en túnel dividido VPN tras suspensión en Windows 11

Solución rápida: Después de la suspensión, la tabla de enrutamiento de Windows se reconstruye parcialmente — a veces se pierden las rutas de túnel dividido VPN añadidas mediante route add. Vuelve a establecer la conexión VPN o configura una tarea en el Programador de tareas activada por “Al reactivarse” que vuelva a ejecutar tu script de enrutamiento automáticamente.

Tu cliente VPN utiliza túnel dividido: solo subredes específicas pasan por la VPN, todo lo demás se enruta normalmente. Antes de la suspensión, la configuración era correcta — route print mostraba las rutas VPN para tu subred corporativa, y el resto del tráfico iba directo. Después de despertar de la suspensión, esas rutas VPN han desaparecido. El tráfico que debería ir por la VPN ahora intenta alcanzar la subred corporativa directamente y falla.

Por qué desaparecen las rutas de túnel dividido

Cuando Windows se suspende, el adaptador de red a menudo se desasocia — especialmente en portátiles donde el Wi-Fi se desactiva para ahorrar energía. Al despertar, el adaptador se reconecta y Windows reconstruye la tabla de enrutamiento a partir de la configuración base DHCP/estática. Las rutas inyectadas por la VPN que se añadieron mediante route add después de que el túnel VPN se estableciera no están en la configuración base; se pierden. El túnel VPN en sí normalmente se reconecta, pero las rutas que dirigían el tráfico hacia él no.

La mayoría de los clientes VPN manejan esto con su propio watchdog: detectan cambios de estado del adaptador y vuelven a añadir las rutas. El problema surge con VPN que no lo hacen (o con configuraciones manuales de route add).

Método 1: Reestablecer la VPN para repoblar las rutas

1. Desconecta la VPN desde la interfaz del cliente.
2. Vuelve a conectarla.
3. Abre el Símbolo del sistema como administrador y ejecuta route print. Confirma que las rutas de tu subred VPN han vuelto.
4. Prueba haciendo ping a una IP solo interna — debería funcionar.

Esta es la solución rápida cada vez. El cliente VPN vuelve a ejecutar su script posterior a la conexión que añade las rutas. Muchos usuarios hacen esto rutinariamente después de cada reactivación; los siguientes métodos lo automatizan.

Método 2: Configurar una tarea programada al despertar de la suspensión

Automatiza la corrección de rutas activando un script al reactivarse el sistema.

1. Crea tu script de rutas C:\Scripts\vpn-routes.cmd:
   
   @echo off

route add 10.0.0.0 mask 255.255.0.0 10.99.99.1 if X

route add 172.16.0.0 mask 255.240.0.0 10.99.99.1 if X
   
   (Reemplaza 10.0.0.0, 10.99.99.1 (puerta de enlace VPN) y X (índice de interfaz) con tus valores. Obtén el índice de interfaz con route print.)
2. Abre el Programador de tareas. Crea una tarea nueva.
3. En Desencadenadores, haz clic en Nuevo. Establece iniciar la tarea en Al producirse un evento. Registro: System; Origen: Power-Troubleshooter; Id. de evento: 1. Esto se activa cuando el sistema se reanuda de la suspensión.
4. En Acciones, haz clic en Nuevo. Acción: Iniciar un programa. Programa: C:\Scripts\vpn-routes.cmd.
5. En General, marca Ejecutar con los privilegios más altos.
6. Guarda y prueba suspendiendo y despertando el portátil.

El script se ejecuta inmediatamente después de la reactivación. Si tu VPN se reconecta automáticamente, las rutas se añaden sobre eso — la tabla de enrutamiento se ve idéntica a antes de la suspensión en segundos.

Método 3: Configurar el comportamiento de reconexión del cliente VPN

Diferentes clientes VPN manejan la reactivación de manera distinta. Optimiza el que uses.

1. OpenVPN GUI: edita tu configuración .ovpn y añade persist-tun, persist-key y resolv-retry infinite. Establece --script-security 2 y usa el hook --up para añadir rutas — esto se ejecuta en cada reconexión, incluida la posterior a la suspensión.
2. WireGuard: las rutas añadidas mediante AllowedIPs persisten durante el ciclo de vida de la interfaz — normalmente no se necesita configuración adicional. Si las rutas aún desaparecen, configura la interfaz para reconectarse automáticamente al despertar (haz clic derecho en el túnel en la interfaz de WireGuard → Establecer activación a petición).
3. Cisco AnyConnect: habilita la configuración de perfil “VPN automática” y configura la detección de red de confianza para que el cliente se restablezca inmediatamente.
4. VPN integrada de Windows: establece la reconexión automática mediante PowerShell: Set-VpnConnection -Name “YourVPN” -RememberCredential $True -AutoTriggerEnabled $True.

La configuración correcta del lado del cliente elimina el paso manual. Configúralo una vez y olvídate.

Cómo verificar que la solución funcionó

• Ejecuta route print antes de la suspensión. Anota tus rutas VPN.
• Suspende durante 5 minutos y luego despierta.
• Espera 10 segundos para que se complete la reconexión.
• Ejecuta route print de nuevo. Las mismas rutas VPN presentes.
• Haz ping a una IP solo interna. Funciona.
• Repite con una suspensión más larga (30+ minutos) y verifica que las rutas sigan volviendo.

Si nada de esto funciona

Si las rutas no se vuelven a añadir incluso con el Método 2 aplicado, es posible que el desencadenador del Programador de tareas no se esté activando — revisa el Programador de tareas → pestaña Historial para tu tarea. Si no aparecen eventos en el historial, el desencadenador no coincide con el evento real. Prueba un desencadenador más amplio como “Al iniciar sesión”, combinado con un retraso. Para configuraciones VPN corporativas donde el cliente VPN del departamento de TI debería manejar esto automáticamente, escala a TI — pueden tener un perfil mal configurado. Para OpenVPN específicamente, revisa el archivo de registro en busca de errores de “route add” que sugieran que la ruta no se ha añadido porque la interfaz aún no está lista — añade un retraso de suspensión antes de los comandos de ruta en el script --up.

En resumen: Las rutas de túnel dividido desaparecen porque la tabla de enrutamiento se reconstruye al despertar. Reestablece la VPN manualmente, automatízalo mediante el Programador de tareas en el evento de reactivación, o configura el cliente VPN para que lo maneje. El enfoque del Programador de tareas es la solución más universal.