Si usas Android a diario y te preocupa la privacidad, seguro que más de una vez te has preguntado si toda la conexión pasa realmente por la VPN o si Android deja escapar tráfico por otros sitios. La realidad es bastante más compleja de lo que parece a primera vista: hay opciones como “VPN siempre activada” y “Bloquear conexiones sin VPN”, funciones extra de los proveedores (kill switch, protección de red) y, aun así, existen fugas de datos por decisiones de diseño del propio sistema.
Este artículo está pensado para administradores de TI y usuarios avanzados que quieren configurar una VPN en Android y minimizar al máximo el tráfico que se sale del túnel. Vamos a desgranar cómo funciona la VPN en el sistema, qué aportan las apps de terceros como ExpressVPN, NordVPN, Mullvad o Rethink DNS + Firewall, qué limitaciones tiene Android (incluidas filtraciones detectadas en Android 14) y qué puedes hacer en la práctica para acercarte a la máxima privacidad posible en tu móvil.
Qué es una VPN en Android y qué hace realmente
En un móvil Android, una VPN crea un túnel cifrado entre el dispositivo y un servidor remoto. Todo lo que el sistema envía a través de esa interfaz virtual se encapsula y viaja cifrado hasta el servidor VPN, que es el que sale a Internet con su propia IP.
Para las webs y servicios a los que te conectas, el origen de la conexión será la IP del servidor VPN y no la de tu red doméstica, la oficina o el WiFi de turno. Eso dificulta el rastreo por dirección IP y protege mucho en redes abiertas, pero no significa anonimato absoluto: el proveedor de la VPN puede ver tu tráfico a la salida del túnel, y sigues dejando otros rastros (cookies, cuentas logueadas, huella del navegador, etc.).
Conviene no mezclar conceptos: el APN de tu operador define cómo te conectas a la red móvil, mientras que la VPN define por dónde sale tu tráfico hacia Internet. Comparten zona en los ajustes de Android, pero son cosas distintas. También es importante recordar que una VPN no es un antivirus ni un cortafuegos total, sino una capa de cifrado y encapsulado más un cambio de IP pública.
Opciones de VPN integradas en Android y apps de terceros
Android incorpora desde hace años un cliente VPN nativo compatible con PPTP, L2TP/IPSec e IPSec. A partir de Android 4.0, además, permite que las aplicaciones de terceros implementen sus propias VPN usando la API del sistema, lo que ha dado lugar a todo el ecosistema de apps comerciales (NordVPN, ExpressVPN, X‑VPN, etc.) y herramientas avanzadas como Rethink DNS + Firewall.
El cliente integrado es suficiente si quieres conectarte a una VPN corporativa o a un servidor sencillo que controles tú, pero se queda corto en funciones modernas: no suele ofrecer kill switch configurable, ni túnel dividido avanzado, ni bloqueos de publicidad o malware integrados, ni gestión centralizada desde EMM más allá de lo que permita Android Enterprise.
Por eso, muchos escenarios requieren una app dedicada. Este tipo de aplicaciones permiten usar protocolos más modernos y eficientes como OpenVPN o WireGuard, integrar filtrado DNS (por ejemplo, con NextDNS), añadir cortafuegos a nivel de aplicación y ofrecer interfaces más amigables para usuarios finales que no quieren pelearse con certificados y claves compartidas.
A nivel empresarial, las soluciones de gestión de movilidad (EMM / MDM) pueden definir perfiles de VPN, empujarlos a los dispositivos, instalar certificados y bloquear cambios en la configuración para evitar que los usuarios desactiven la protección o se salgan del túnel con apps no autorizadas.
Cómo configurar una VPN en Android: app oficial vs. ajuste manual
A la hora de usar una VPN en un móvil Android tienes dos caminos principales: usar la app oficial del proveedor o configurar la conexión manualmente desde los ajustes del sistema. Cada método tiene sus ventajas y limitaciones, y no afectan igual al tema de “bloquear el tráfico sin VPN”.
El camino más cómodo suele ser instalar la aplicación oficial desde Google Play. Abres la app, inicias sesión con tu cuenta, otorgas los permisos necesarios y eliges un servidor en un mapa o lista. Cuando tocas el botón de conexión, la app solicita a Android que cree una interfaz VPN y, tras aceptar la ventana de confirmación del sistema, el propio Android enruta el tráfico por ese túnel según las reglas que haya definido la app.
Si prefieres tener el control a bajo nivel, puedes ir a Ajustes → Redes e Internet → VPN (la ruta puede variar según fabricante) y añadir una nueva conexión VPN manualmente. Ahí introduces un nombre, el tipo de VPN (por ejemplo, L2TP/IPSec), la dirección del servidor, el usuario y la contraseña, y cualquier clave compartida o certificado adicional. Una vez guardado el perfil, podrás conectarte tocando su nombre y marcando si quieres que sea la VPN “siempre activada”.
En ambos casos, la casilla clave para nuestro tema es la combinación de “VPN siempre activada” y “Bloquear conexiones sin VPN”, disponible a partir de Android 7.0/8.0 dependiendo del dispositivo. Estas opciones influyen directamente en si Android debería permitir que el tráfico se salga del túnel o no cuando la VPN no está disponible.
“VPN siempre activada” y “Bloquear conexiones sin VPN” en Android
Android incluye desde hace varias versiones la opción de designar una “VPN siempre activada”. Esto significa que el sistema intenta mantener ese servicio VPN levantado de forma permanente mientras el dispositivo o el perfil de trabajo estén activos. Si reinicias el móvil, Android lanza la app VPN y establece la conexión sin que tengas que abrirla a mano.
Junto a esta función aparece la casilla crítica “Bloquear conexiones sin VPN”. Sobre el papel, lo que promete Google en su documentación es sencillo: si esta opción está habilitada, cualquier tráfico de red que no pase por la VPN se bloquea. Es decir, o el paquete va por el túnel, o no se envía. Es lo más parecido a un “cortafuegos de salida absoluto” que ofrece el sistema a usuarios y administradores.
Para un usuario exigente en privacidad (periodistas, activistas, personal que maneja datos delicados, etc.), activar ambas casillas es casi obligatorio, porque evitas que el móvil se conecte alegremente sin cifrado si la VPN falla o si, por error, se desconecta. También para empresas que quieran que el tráfico corporativo salga siempre por una VPN gestionada.
El problema es que, como han demostrado proveedores como Mullvad, Android no cumple al 100 % con la promesa de que “todo lo que no va por la VPN se bloquea”. Hay excepciones diseñadas a propósito en el sistema, y eso tiene implicaciones de privacidad que conviene conocer.
El tráfico que Android deja escapar aunque bloquees conexiones sin VPN
Mullvad VPN realizó una auditoría técnica donde analizó cómo se comporta Android cuando se combina “VPN siempre activada” con “Bloquear conexiones sin VPN”. Sus pruebas mostraron que, cada vez que el dispositivo se conecta a una red WiFi, el sistema envía tráfico fuera del túnel VPN de forma deliberada, incluso con ambas opciones activas.
Ese tráfico no es cualquier cosa: incluye peticiones de comprobación de conectividad, consultas DNS, tráfico HTTPS con metadatos y probablemente solicitudes NTP para sincronizar la hora. Es decir, no se trata simplemente de un ping neutral, sino de un conjunto de comunicaciones que pueden filtrar información sobre tu IP real, los servidores a los que preguntas y la red WiFi a la que te conectas.
Google ha definido así el comportamiento por diseño, no es un bug despistado. El sistema necesita verificar si hay Internet, detectar portales cautivos (las típicas redes de hotel o aeropuerto que te sacan un formulario de inicio de sesión) y actualizar estados de red. Para ello, Android decide enviar esas comprobaciones fuera del túnel, reduciendo la fiabilidad de la promesa de bloqueo total.
Desde la perspectiva de Mullvad, la descripción que hace Google de “Bloquear conexiones sin VPN” es engañosa, porque no menciona estas excepciones. Han pedido que se corrija la documentación para dejar claro que el tráfico de comprobación de conectividad no se ve afectado por el bloqueo, y que se ofrezca un ajuste extra para desactivar también esas verificaciones en perfiles que requieran máxima privacidad.
Qué datos se filtran y qué se puede inferir de ellos
Las fugas asociadas a estas comprobaciones pueden parecer pequeñas, pero los metadatos que salen fuera del túnel dan mucho juego a un atacante con capacidad de vigilancia. Entre otras cosas, se pueden exponer direcciones IP de origen, dominios consultados, destinos HTTPS y sincronizaciones temporales.
Las direcciones IP de origen permiten vincular tu ubicación física aproximada (casa, trabajo, cafetería concreta) con el dispositivo, incluso cuando el resto del tráfico lo estás sacando por un servidor VPN remoto. Las consultas DNS, aunque a veces se hagan a servidores cifrados, siguen dando pistas sobre qué servicios usas, sobre todo si apuntan a proveedores concretos.
En el caso del tráfico HTTPS, el contenido va cifrado, pero se pueden ver patrones de tamaño, tiempos, SNI y direcciones de destino. Estos patrones son útiles para reconstruir qué aplicaciones están hablando con qué servidores. El tráfico NTP, por su parte, revela sincronizaciones de hora y, combinado con otros datos, sirve para correlacionar sesiones y apariciones del dispositivo en redes distintas.
Con todo ello, un actor potente (por ejemplo, un operador de red, una gran plataforma o un organismo con acceso al backbone) puede correlacionar la IP real y el comportamiento del dispositivo con la actividad que aparentemente iba protegida por la VPN, reduciendo tu anonimato real aunque el contenido del tráfico siga cifrado.
Fugas adicionales detectadas en Android 14 al cambiar de servidor VPN
Las verificaciones de conectividad no son el único problema. Mullvad ha reportado que en Android 14, al cambiar de servidor VPN o reconfigurar el túnel, el sistema puede dejar escapar consultas DNS fuera de la VPN incluso cuando está habilitado el bloqueo de conexiones sin VPN o el kill switch de la app.
Esto ocurre en el momento delicado en el que el túnel anterior se está cerrando y el nuevo todavía no está plenamente operativo. En esa ventana, el dispositivo llega a resolver dominios usando la conexión directa, cosa que rompe la expectativa del usuario que ha activado todas las protecciones pensando que ningún paquete saldrá sin cifrado.
Para mitigar este comportamiento, Mullvad propone un truco: durante estos cambios internos, la app podría mantener una VPN “ficticia” o de transición para que Android crea que el túnel sigue activo y no saque tráfico por el canal normal. Es un parche ingenioso, pero no resuelve la raíz del problema, que está en la lógica interna de Android.
En última instancia, la corrección real debe venir de Google a nivel de sistema operativo. Mientras eso no ocurra, las apps de VPN están atadas a las limitaciones del framework VPNService y al comportamiento que decide el propio Android para la verificación de red y la gestión de túneles.
Limitaciones estructurales: lo que las apps VPN no pueden controlar
Un punto que suele pasar desapercibido es que las aplicaciones VPN en Android, por muy buenas que sean, no tienen control absoluto sobre todo el tráfico del sistema. Se apoyan en la API que ofrece Android: crean una interfaz virtual, definen rutas, piden que el sistema les entregue paquetes… pero hay componentes del sistema que pueden seguir usando caminos propios.
La comprobación de conectividad, la detección de portales cautivos y otros servicios internos pueden bypassear el túnel sin que la app pueda interceptarlos. Tampoco es trivial para una app reescribir cómo se comporta el framework cuando la red cambia de WiFi a datos o cuando aparece un nuevo perfil de red.
Por eso, aunque los proveedores añadan funciones sofisticadas (kill switch, firewall, protección contra fugas DNS, túnel dividido, etc.), existe un límite duro: si el sistema operativo decide enviar algo por fuera, la app no puede evitarlo del todo. Lo máximo que puede hacer es intentar rodear esas decisiones con artificios, ser transparente con el usuario y presionar a Google para que mejore la API.
Este tipo de limitaciones no son exclusivas de Android. En iOS, por ejemplo, proveedores como NordVPN también han descrito problemas serios con el comportamiento de la API VPN de Apple, hasta el punto de que nuevas funciones para evitar ciertas fugas han terminado causando bloqueos de Internet y errores en las actualizaciones de cliente. El sistema operativo siempre marca el terreno de juego.
El papel de los kill switch y la “protección de red” de ExpressVPN
Para compensar en parte esas carencias del sistema, muchos servicios incluyen su propio mecanismo de corte de emergencia o kill switch. En el caso de ExpressVPN, esta función se llama “protección de red” en la app de Android y viene activada por defecto en móviles y tablets compatibles.
La idea es sencilla: si la VPN se cae de manera inesperada (por un fallo de red, un cambio brusco de conexión, un bug, etc.), la app bloquea inmediatamente el tráfico de Internet de las aplicaciones que dependen del túnel. De esa forma, evitas que esos datos salgan sin cifrado por la red normal mentre el cliente intenta reconectar.
Un matiz importante es que, con esta protección de red, las apps que hayas excluido de la VPN mediante túnel dividido siguen teniendo conexión aunque el túnel se rompa, mientras que las apps que iban por la VPN se quedan sin Internet. Además, ExpressVPN deja claro que, si desconectas la VPN manualmente, la protección de red no se activa; el sistema asume que has sido tú quien ha decidido navegar sin protección.
Más allá de la protección propia, ExpressVPN recomienda activar también las opciones del sistema Android: “VPN siempre activada” y “Bloquear conexiones sin VPN” para la app. En ese escenario, Android corta cualquier tráfico cuando la VPN no está levantada, incluso si la desconectas manualmente, y se deshabilita el túnel dividido y el acceso a dispositivos locales (impresoras, PCs, televisores, etc.). A nivel de privacidad, es una postura bastante restrictiva.
NordVPN, vulnerabilidades de túnel y medidas en otros sistemas
Otros proveedores han abordado problemas de fugas desde perspectivas distintas. NordVPN ha documentado vulnerabilidades como TunnelCrack y TunnelVision, que afectan a la industria VPN en general. Estos ataques se basan en trucos de red (por ejemplo, jugar con direcciones IP fuera de los rangos privados estándar o manipular DHCP) para forzar que parte del tráfico del usuario se salga del túnel.
En sistemas como macOS e iOS, NordVPN ha introducido funciones como “Permanece invisible en una red local”, que ajusta los parámetros de la interfaz VPN para reducir la exposición del dispositivo en la LAN y bloquea caminos potenciales de bypass. También ofrece avisos cuando te conectas a redes potencialmente peligrosas y detección de rangos de IP sospechosos.
Sin embargo, en iOS se han encontrado con limitaciones fuertes y bugs de Apple que provocan bloqueos de conexión o fallos en las actualizaciones del cliente cuando esta función está activa. NordVPN reconoce que, mientras Apple no arregle su propia API, el margen de maniobra es limitado, lo que vuelve a mostrar que el sistema operativo es quien manda.
En cambio, en Linux y Windows, NordVPN y otros servicios tienen más margen para modificar el cortafuegos del sistema y crear reglas que bloqueen cualquier tráfico fuera de la VPN. Ahí es más factible conseguir un “todo por el túnel o nada”, porque se pueden programar reglas de iptables, nftables o firewall de Windows de forma mucho más granular que en Android.
Opciones avanzadas para empresas: VPN siempre activa, VPN por aplicación y EMM
En entornos corporativos, Android ofrece una serie de herramientas pensadas para que los administradores de TI puedan obligar a pasar el tráfico de trabajo por una VPN y reducir los errores de los usuarios. Estas herramientas se gestionan normalmente desde una consola EMM (Enterprise Mobility Management) o MDM.
El administrador puede definir una VPN siempre activada a nivel de dispositivo o de perfil de trabajo, de forma que Android levante automáticamente la conexión en cuanto el perfil se inicia. Además, puede inhabilitar los ajustes de VPN del sistema para que los empleados no puedan añadir, modificar ni desactivar conexiones por su cuenta.
Otra función útil es la VPN por aplicación. Con ella, el administrador define una lista de apps que usarán la VPN o una lista de apps que quedarán excluidas. No se pueden tener las dos listas a la vez: o listas blancas o listas negras. Si no se define ninguna, todo el tráfico se manda por la VPN. Esto permite, por ejemplo, que solo las apps corporativas utilicen la VPN, mientras que las apps personales del usuario sigan saliendo por la conexión normal.
Las restricciones de sistema también varían según la versión de Android. En 5.0 y 6.0, si se bloquea la configuración de VPN, las aplicaciones VPN no llegan a iniciarse; en 7.0 y superiores, en dispositivos totalmente gestionados, sí puede arrancar la app marcada como VPN siempre activada por el controlador de políticas, pero ninguna otra. Todo esto da a las empresas un grado razonable de control sobre qué tráfico puede escapar de la VPN en dispositivos de trabajo.
Rethink DNS + Firewall, NextDNS y el bloqueo de tráfico sin VPN
Más allá de los proveedores clásicos, existen herramientas como Rethink DNS + Firewall, que se apoyan en la API de VPN de Android para crear una especie de cortafuegos local con filtrado DNS avanzado. Es habitual combinarlo con servicios como NextDNS para bloquear anuncios, rastreadores, ciertos puertos (como el 80) o protocolos (como UDP salvo DNS y NTP) y para evitar fugas de DNS.
Una configuración típica de usuario avanzado sería: Rethink como VPN local, NextDNS como proveedor DNS personalizado, bloqueo de puertos críticos, prevención de fugas DNS activada y listas personalizadas de bloqueo. Sobre esto se pueden añadir reglas de firewall por app, por ejemplo, bloqueando el teclado Gboard para que no tenga acceso a la red o excluyendo un navegador para usar otro perfil de NextDNS como entorno de pruebas con anuncios y rastreadores permitidos.
El comportamiento que muchos usuarios han observado es que, al activar solo “VPN siempre activada”, todo parece funcionar razonablemente bien, pero cuando se marca también “Bloquear conexiones sin VPN” empiezan los problemas de conexión en determinadas apps. Algunas dejan de cargar contenido, otras solo cargan parcialmente recursos como imágenes o scripts.
Esto no significa necesariamente que esas aplicaciones intenten “bypassear” Rethink de forma maliciosa. En muchos casos, lo que ocurre es que usan mecanismos de red que chocan con el firewall estricto y con la política de bloqueo total: por ejemplo, servicios que necesitan descubrir dispositivos locales, comprobar conectividad directa para streaming o emplear protocolos que no están permitidos por la VPN o el firewall.
Por qué algunas apps fallan cuando bloqueas conexiones sin VPN
Desde el punto de vista de una app, lo normal es que el sistema le ofrezca una pila de red relativamente transparente. Pero cuando tienes una VPN siempre activa que además bloquea conexiones sin túnel y un firewall tipo Rethink filtrando por aplicación y protocolo, cualquier comportamiento de red mínimamente diferente puede chocar con esa configuración dura.
Muchas apps modernas dependen de servicios auxiliares de Google (por ejemplo, Play Services) o de fabricantes para comprobar el estado de la red, hacer fallback de DNS, usar QUIC/HTTP3 por UDP o descubrir dispositivos locales. Si tu VPN/firewall bloquea UDP, filtra NTP, limita DNS a un proveedor concreto y, encima, Android no permite salidas fuera del túnel, algunas de esas rutas alternativas dejan de funcionar.
El resultado visible para ti es que ciertas aplicaciones parecen quedarse “sin Internet” o sólo consiguen cargar partes de su interfaz. No siempre es porque estén intentando activamente saltarse la VPN: a menudo es simplemente que esperan tener acceso a canales que tú has decidido cerrar por seguridad. El conflicto entre funcionalidad y privacidad extrema aquí es inevitable.
La realidad es que, aún con esa combinación de ajustes, seguirás teniendo las excepciones que Android se reserva para sí (conectividad, DNS puntuales, etc.), pero algunas apps de usuario sí verán cortados caminos legítimos que intentaban usar. Afinar reglas de firewall, revisar qué puertos y protocolos bloqueas y ajustar listas de apps que pueden usar la VPN puede suavizar estos problemas sin renunciar del todo a un nivel alto de protección.
Cómo desactivar y gestionar la VPN en Android cuando algo falla
En ocasiones, para diagnosticar problemas o recuperar funcionalidad en una app concreta, no queda otra que desactivar temporalmente la VPN o suavizar las restricciones. Android permite hacerlo de varias formas: desde la app de la VPN, desde los ajustes rápidos de la barra de estado o desde la sección de configuraciones de red.
La vía más habitual es abrir la propia app de la VPN (por ejemplo, X‑VPN, ExpressVPN, NordVPN) y tocar el gran botón de conexión/desconexión. En la mayoría de interfaces, el estado pasa de “conectado” a “desconectado” y el icono de VPN desaparece de la barra de estado. Si el botón no responde, puedes forzar cierre de la app, reiniciar el móvil o, como última opción, desinstalarla.
Otra opción rápida es usar el icono de la VPN en los ajustes rápidos de la barra de estado. Dependiendo de la marca (Samsung, Pixel, OnePlus, Xiaomi, Motorola, etc.), ese icono permitirá desconectar de un toque o simplemente abrir la app. En algunos modelos, solo se muestra cuando hay una conexión VPN activa, y desaparece al desconectarla.
Por último, siempre puedes ir a Ajustes → Redes e Internet → VPN (la ruta varía) y desactivar desde ahí la conexión. Si ves que el interruptor se vuelve a activar solo, revisa las opciones de “VPN siempre activada”: cuando está habilitada, Android reintenta levantar la VPN automáticamente, así que tendrás que desmarcar esa casilla en cada perfil para conseguir desconectarla de verdad.
Cuándo tiene sentido desactivar la VPN o relajar el bloqueo
Aunque el objetivo aquí es evitar que el tráfico se salga de la VPN, hay situaciones reales en las que puede tener sentido desconectar la VPN o desactivar temporalmente el bloqueo de conexiones sin túnel. No se trata de renunciar a la seguridad, sino de equilibrarla con la usabilidad.
Algunos servicios bancarios o de streaming aplican sistemas de detección de VPN muy agresivos. Si detectan que te conectas detrás de un servidor compartido o en una ubicación sospechosa, pueden bloquear el acceso o mostrar errores. En esos casos, si estás haciendo una gestión puntual y controlada, puede ser razonable conectar directamente, siempre que lo hagas en una red de confianza y durante el mínimo tiempo posible.
En viajes, hay países donde el uso de VPN está muy restringido o directamente prohibido. Para cumplir la normativa local, puede que tengas que apagar la VPN en determinados momentos, o usar únicamente servicios aprobados. De nuevo, lo importante es ser consciente del riesgo y tomar precauciones extra (no acceder a cuentas críticas, evitar operaciones sensibles, etc.).
Otra situación habitual es cuando notas caídas bruscas de velocidad o picos de latencia, por ejemplo, al jugar online o hacer streaming en alta calidad. A veces basta con cambiar de servidor o de protocolo (WireGuard suele ir más ligero que OpenVPN), pero en conexiones muy exigentes algunos usuarios optan por desactivar la VPN para esa tarea concreta, especialmente si no están en una red pública.
Alternativas a apagar la VPN: protocolos, túnel dividido y buen proveedor
Antes de rendirte y navegar sin protección, merece la pena explorar alternativas menos drásticas. Una de las más efectivas es cambiar de protocolo VPN: pasar de uno más pesado como OpenVPN a otro más ligero como WireGuard o IKEv2 suele mejorar velocidad y estabilidad sin sacrificar demasiado la seguridad.
Otra opción clave es el túnel dividido (split tunneling). Esta función te permite elegir qué aplicaciones pasan por la VPN y cuáles salen directo. Así, por ejemplo, puedes hacer que solo tus apps sensibles (correo, mensajería, navegador principal) vayan por el túnel, mientras que juegos o servicios muy quisquillosos con las VPN usan la conexión normal. Algunos servicios como X‑VPN incluso permiten reglas por URL, afinando aún más el control.
También es fundamental escoger un proveedor serio. Un buen servicio VPN se preocupa de minimizar fugas, mantener clientes actualizados, documentar límites y no saturar servidores. En cambio, muchas VPN gratuitas se sostienen con publicidad agresiva, telemetría o modelos poco claros, lo que va justo en contra del objetivo de privacidad.
Si combinas un buen proveedor con protocolos modernos, ajustes de sistema bien configurados (VPN siempre activada + bloqueo) y herramientas adicionales como Rethink o NextDNS cuando te haga falta, puedes reducir significativamente la cantidad de tráfico que se sale de la VPN sin tener que vivir desconectando y conectando todo el día.
En definitiva, entender cómo Android maneja la VPN, qué excepciones aplica y hasta dónde llegan realmente las opciones de “VPN siempre activada” y “Bloquear conexiones sin VPN” te permite tomar decisiones más informadas: configurar tu móvil para que casi todo pase por el túnel, asumir que hay algunas fugas de diseño que hoy no se pueden eliminar del todo y combinar apps, protocolos y buenos hábitos para que tu privacidad esté lo mejor protegida posible dentro de las limitaciones reales del sistema.