Cómo el firewall de Repel funciona sin ocupar tu VPN

Android tiene una regla que condiciona a todas las apps de privacidad: solo una app a la vez puede usar el servicio de VPN. Si pagas una VPN de privacidad, ella ocupa ese hueco, y la mayoría de los firewalls sin root necesitan el mismo hueco para funcionar. Así que la gente acaba eligiendo entre su VPN y su firewall. Cuando empezamos Repel, no tener que elegir fue lo primero que quisimos arreglar.

Este artículo explica con palabras sencillas cómo lo consigue el firewall de Repel y cómo funciona su filtro DNS.

¿Por qué la mayoría de los firewalls necesitan el hueco de la VPN?

En un móvil sin root, una app normal no tiene ni voz ni voto sobre el tráfico de red de otras apps. El servicio de VPN de Android es la única puerta que se abre: una app que se convierte en la VPN puede ver el tráfico y decidir qué hacer con él. Un firewall construido así puede descartar el tráfico de cualquier app que elijas. Es un diseño ingenioso, y ha funcionado bien durante años, como contamos en Repel vs NetGuard.

El precio es el hueco. Mientras ese firewall es la VPN, nada más puede serlo. Activas tu VPN de privacidad y el firewall se para, o al revés.

¿Cómo bloquea Repel apps sin una VPN?

Android tiene un interruptor que apaga la red de una sola app. Forma parte de los controles de red del propio sistema, y en Android 13 y posteriores se puede accionar desde la línea de comandos del móvil, el mismo nivel de acceso que tienen las herramientas de desarrollo. Las apps normales no llegan a él, así que Repel necesita una forma de conseguir ese nivel de acceso sin ordenador y sin root.

Esa forma es el Modo avanzado. Una sola vez, durante la configuración, activas la Depuración inalámbrica y vinculas Repel con el código que Android muestra en el móvil. Después Repel arranca un pequeño asistente propio con acceso a la línea de comandos. El asistente hace una lista corta y fija de tareas y nada más. No acepta órdenes arbitrarias y comprueba cada nombre de app que recibe.

Cuando desactivas una app en la pestaña Apps de Repel, el asistente le pide a Android que apague la red de esa app. A partir de ahí, el bloqueo vive en las reglas de red del propio Android, no en un túnel. Eso tiene varias consecuencias que nos gustan:

• Tu VPN sigue conectada. El firewall nunca toca el servicio de VPN, así que una VPN de privacidad puede funcionar a su lado.
• Las reglas se mantienen con Repel cerrado. El bloqueo está en el sistema, así que sigue en pie aunque Repel no se esté ejecutando.
• Se respetan otros firewalls. Algunas otras apps usan los mismos controles del sistema. Repel lee lo que ya está bloqueado antes de cambiar nada, así que no desactiva reglas que puso otra app.

Pro añade reglas más inteligentes, como conexión solo con wifi, solo con datos móviles, nunca en roaming, con la pantalla apagada o a la hora de dormir, además de perfiles para Casa, Trabajo y Viaje.

¿Qué hace el filtro DNS?

El firewall decide si una app puede conectarse a internet o no. El filtro DNS trabaja a un nivel más fino: a qué sitios puede llegar una app.

Antes de que una app se conecte a un servidor, pregunta por su dirección a partir del nombre, por ejemplo un dominio de rastreo o de analítica. Esa pregunta es una consulta DNS. El filtro de Repel ejecuta una VPN local en el móvil que gestiona las consultas DNS y nada más. Cada consulta se comprueba con las listas de bloqueo que elijas, como HaGeZi, OISD, 1Hosts o StevenBlack, que cubren rastreadores, malware, phishing, tiendas fraudulentas y la telemetría de los fabricantes. Una consulta bloqueada no recibe respuesta, así que la app nunca llega a ese dominio. Una consulta permitida sale cifrada con DNS sobre HTTPS al servidor que hayas elegido.

El resto de tu tráfico nunca pasa por el filtro, y no se nos envía nada. El registro de actividad, que muestra qué app consultó qué dominio y si se bloqueó, se queda en el móvil.

Esta es la única capa que sí usa el hueco de la VPN. Android solo deja que una app vea las consultas DNS de otras apps si las enruta a través de sí misma, y el servicio de VPN es la forma de hacerlo sin root. Así que si usas una VPN de privacidad todo el día, lo práctico es combinar el firewall con el DNS privado, y los dos dejan libre el hueco.

¿Dónde encaja el DNS privado?

Android tiene un ajuste de DNS privado integrado que envía todas las consultas, cifradas, a un proveedor que elijas. Si eliges un proveedor con filtrado como AdGuard DNS o Quad9, bloquea por su parte los dominios de rastreo y malware, para todas las apps y sin ninguna VPN. Repel puede activar ese ajuste por ti con un toque, y sigue funcionando con Repel cerrado. Nuestra guía sobre el DNS privado en Android explica el ajuste con más detalle.

Hubo un detalle que tuvimos que cuidar. Cuando el DNS privado está fijado en un proveedor concreto, las consultas van directas a él y se saltan cualquier filtro del móvil. Por eso, mientras el filtro de Repel está activo, Repel aparta tu elección de DNS privado y la restaura cuando el filtro se detiene. Cualquier cambio que hagas mientras tanto espera hasta entonces.

¿Qué pasa cuando algo sale mal?

Un filtro DNS está en el camino de todas las conexiones, así que sus fallos importan más que la mayoría. Si el servidor DNS que usa Repel se cae, el filtro se aparta en lugar de dejarte sin conexión. Repel también te avisa cuando falla la descarga de su lista de bloqueo, reintenta por su cuenta y explica qué hacer cuando Android no permite la VPN.

También somos claros sobre lo que un filtro DNS no puede hacer. Trabaja con nombres de dominio, así que no puede tocar nada que se sirva desde el mismo lugar que el contenido que pediste. En Android TV, por ejemplo, no puede quitar los anuncios dentro de los vídeos en streaming. Bloquea dominios de rastreo y malware, y así es como lo describimos.

¿Qué capas deberías usar?

Puedes usar una capa o las tres. Nuestra guía para bloquear rastreadores sin VPN repasa las combinaciones, y Repel vs RethinkDNS compara otro enfoque del mismo problema. Elijas lo que elijas, no hay cuenta y no hay anuncios, algo que explicamos en por qué nuestras apps no tienen anuncios.