Por qué un UniFi Cloud Gateway no es un gateway VPN estable

Los UniFi Cloud Gateway (UCG, UDM, UDM Pro, etc.) son equipos potentes para WiFi, switching y enrutamiento básico.

Sin embargo, muchos usuarios intentan también implementar con ellos escenarios VPN complejos, por ejemplo:

«Toda una red WiFi debe salir a internet de forma permanente con una dirección IP alemana.»

En la práctica, esto suele acabar en un resultado frustrante:

• Funciona durante un tiempo

• Tras un reinicio, una actualización o durante la noche aparecen problemas

• El correo, iCloud, las apps o los servicios de streaming se cortan de forma esporádica

Por qué esto no es casualidad, lo explicamos aquí.

---

El malentendido: «compatible con VPN = gateway VPN»

Un UniFi Cloud Gateway puede:

• Establecer conexiones WireGuard o IPsec

• Enrutar redes y VLAN

• Gestionar firewalls

Pero:

👉 Un gateway VPN completo y con seguimiento de estado (stateful) es otra cosa.

La diferencia decisiva no está en la VPN en sí, sino en el comportamiento del enrutamiento.

---

El problema de fondo: enrutamiento sin vínculo a la sesión

Cómo deberían funcionar unas VPN estables

En las configuraciones VPN estables rige una regla sencilla:

Una conexión decide su camino una vez, y se queda en él.

Esto se llama:

• stateful routing (enrutamiento con estado)

• enrutamiento basado en conntrack

• enrutamiento persistente por sesión

Da igual cuántos paquetes sigan: siempre toman la misma salida.

---

Cómo trabajan los UniFi Cloud Gateway

Los gateways UniFi toman las decisiones de enrutamiento:

• de forma dinámica

• basada en reglas

• sin vínculo a la conexión

Dicho de forma simplificada, esto significa:

• El paquete A va por el túnel VPN

• El paquete B de la misma conexión puede salir de repente por la conexión normal a internet

Para conexiones cortas, esto suele dar igual.

Para conexiones largas es fatal.

---

Por qué los navegadores funcionan, pero el correo y las apps no

Navegadores

• abren muchas conexiones cortas

• se reconectan automáticamente

• los errores suelen pasar desapercibidos

Correo, iCloud, banca, APIs

• mantienen las conexiones abiertas durante mucho tiempo

• esperan una IP, una ruta y unos estados NAT constantes

• reaccionan con sensibilidad a la mínima desviación

Si UniFi cambia la ruta de enrutamiento durante una sesión existente:

• la conexión se corta

• la app a menudo no muestra ningún error

• el usuario se da cuenta mucho más tarde

---

El segundo gran problema: falta de persistencia

Otro punto débil es la falta de resistencia de la configuración.

Lo que ocurre con regularidad en UniFi

• Reinicio del gateway

• Aprovisionamiento automático

• Actualización de firmware

• Cambio de red en el backend

Con ello, internamente:

• se reconstruyen las tablas del firewall

• se recalculan las decisiones de enrutamiento

• se descartan brevemente los estados de la VPN

Para las redes domésticas clásicas no es un problema.

Para el enrutamiento por países basado en VPN es un riesgo.

---

Por qué el problema «aparece y desaparece»

Muchos usuarios cuentan:

• «Ayer todo iba bien»

• «Esta mañana el correo no funciona»

• «Tras reiniciar, otra vez bien»

Esto se debe a que:

• las sesiones se vuelven a establecer

• el enrutamiento encaja durante un rato

• el comportamiento vuelve a cambiar más tarde

👉 El sistema no es lo bastante determinista para este caso de uso.

---

Por qué MTU, MSS y DNS no resuelven el problema

A menudo se intenta:

• reducir la MTU

• forzar la MSS

• cambiar el DNS

• subir los keepalives

Estas medidas pueden aliviar los síntomas, pero no eliminan la causa.

Porque:

• la MTU resuelve problemas de fragmentación

• el DNS resuelve la resolución de nombres

• el keepalive mantiene el túnel abierto

❌ Ninguna de estas medidas fuerza un enrutamiento estable por conexión.

---

Por qué UniFi tampoco se diseñó para esto

Los UniFi Cloud Gateway están concebidos para:

• gestión centralizada

• separación sencilla de redes

• administración cómoda

• redes empresariales y domésticas típicas

No para:

• enrutamiento complejo basado en políticas (policy-based routing)

• enrutamiento por países a través de VPN

• gateways VPN aptos para Apple TV

• enrutamiento multicamino sin asimetrías

Esto no es un fallo, sino una decisión de diseño.

---

La alternativa limpia

Las soluciones estables separan las tareas:

✔️ Gateway VPN dedicado

• establece la conexión WireGuard

• toma las decisiones de enrutamiento por sesión

• se mantiene estable a través de los reinicios

✔️ UniFi detrás

• WiFi

• VLAN

• Switching

• gestión de dispositivos

Así, cada sistema aprovecha lo que mejor sabe hacer.

---

Conclusión

Un UniFi Cloud Gateway es un equipo de red muy bueno,

pero no un gateway VPN fiable para el enrutamiento de internet por países.

Si:

• las apps no funcionan de forma esporádica

• el correo se queda colgado

• los problemas aparecen solo tras horas

normalmente la causa no es la VPN,

sino la forma en que se trata internamente el enrutamiento.

La tecnología funciona mejor cuando no se la obliga a ir más allá de su papel.