Controlar qué aplicaciones pueden conectarse a Internet en Android se ha convertido en una necesidad para muchos usuarios que quieren proteger su privacidad, reducir el consumo de datos y frenar la avalancha de publicidad. En los ordenadores llevamos años usando firewalls y bloqueadores de anuncios, pero en el móvil la cosa siempre ha sido más complicada, sobre todo si no queríamos rootear el dispositivo.
En los últimos años han ido apareciendo soluciones capaces de ofrecer algo muy parecido a un cortafuegos de escritorio sin necesidad de permisos de superusuario. Entre ellas destaca NetGuard, que se apoya en la API de VPN de Android para actuar como cortafuegos agresivo sin root, con opciones avanzadas para bloquear publicidad, rastreadores y el acceso a la red de cualquier app. Vamos a ver con calma cómo funciona, qué ventajas e inconvenientes tiene y cómo configurarlo para exprimirlo al máximo.
Bloquear publicidad y controlar el tráfico sin root: el papel de NetGuard
En el escritorio estamos acostumbrados a extensiones y programas que permiten bloquear anuncios de forma selectiva, filtrar dominios sospechosos y controlar el tráfico de cada aplicación. En Android, durante mucho tiempo, la opción “seria” pasaba por apps que requerían root y modificaban el sistema a bajo nivel, con los riesgos que eso supone.
NetGuard cambia bastante las reglas del juego porque funciona como un firewall completo sin necesidad de root, utilizando una conexión VPN local para interceptar y gestionar todo el tráfico que sale de tu móvil. Esta técnica es similar a la que usan servicios como Opera Max para ahorrar datos, pero en este caso se aprovecha para filtrar conexiones y, si se configura bien, para bloquear publicidad y dominios problemáticos.
La gracia de este enfoque es que, desde la perspectiva del sistema, solo tienes una app que crea una VPN. Dentro de esa VPN, NetGuard puede decidir qué aplicaciones tienen permiso para usar la red, si pueden hacerlo por WiFi, por datos móviles o por ninguna de las dos, y además aplicar reglas adicionales como bloquear en roaming, con la pantalla apagada o pasado cierto tiempo de inactividad.
Eso sí, este truco tiene una contrapartida importante: Android solo permite tener activa una VPN al mismo tiempo. Si usas NetGuard, no puedes tener a la vez otra VPN o un cliente WireGuard conectado. Y al revés: si enciendes WireGuard, NetGuard deja de filtrar porque pierde el control del túnel.
Limitaciones de Google Play y diferencias entre versiones de NetGuard
La relación de Google con el bloqueo de publicidad es, siendo amables, peculiar. Por un lado, muchas apps cuya función principal es bloquear anuncios han sido expulsadas de Google Play. Por otro, navegadores que integran bloqueadores o soluciones “suaves” siguen estando disponibles sin problema.
En ese contexto, NetGuard ha optado por una estrategia relativamente conservadora en su versión de la Play Store. Allí lo encontrarás principalmente como firewall para gestionar el acceso a Internet de las aplicaciones. Puedes permitir o denegar la conexión de cada app tanto en WiFi como en datos, pero no incluye de forma directa la parte de bloqueo de dominios publicitarios vía listas hosts.
Si quieres un NetGuard más “agresivo” que incorpore bloqueo de publicidad a nivel de sistema, el propio desarrollador ofrece una versión APK descargable desde GitHub u otros repositorios confiables. A nivel de interfaz es prácticamente igual, pero añade las opciones para trabajar con archivos hosts y filtrado de dominios.
En la práctica, la diferencia clave es que esa versión extendida permite descargar listas de dominios a bloquear y procesarlas directamente desde NetGuard. En Google Play, por las políticas de la tienda, esa funcionalidad está limitada o directamente no disponible. El resto de características de firewall (control por app, reglas avanzadas, etc.) se mantienen en ambas ediciones.
Este modelo tiene otra consecuencia interesante: al ser un proyecto de código abierto, todo el mundo puede revisar cómo funciona. El desarrollador documenta ampliamente en GitHub y en foros como XDA qué hace la app, qué datos maneja y, sobre todo, qué datos NO envía a ninguna parte. Si eres desconfiado (con razón) y tienes conocimientos técnicos, puedes auditar el código o compilar tu propia versión.
Cómo funciona NetGuard internamente: VPN local y privacidad
NetGuard aprovecha la API de conexión VPN introducida a partir de Android 5.0 Lollipop. Por eso, uno de los requisitos básicos para usarlo es tener Android 5.0 o superior. Lo que hace la app cuando la activas es crear una interfaz VPN local, sin túnel a servidores externos, y enrutar todo el tráfico de red a través de ella.
A nivel conceptual, esto significa que tu móvil “crée” que está conectado a una VPN, pero el tráfico nunca sale hacia otro servidor: se queda en el propio dispositivo. NetGuard actúa como un pequeño servidor de VPN local, inspecciona las peticiones de salida de cada app y decide si las deja pasar o las descarta según las reglas activas (firewall por app, bloqueo de dominios, condiciones de pantalla, etc.).
Cuando enciendes el gran interruptor principal de NetGuard, el sistema te mostrará un aviso típico de VPN advirtiendo de que una app podría ver tu tráfico. Es un mensaje estándar de Android que aparece siempre que se crea una VPN. En este caso, el funcionamiento documentado indica que no se registra ni se vende el tráfico, ni se envía a servidores de terceros. Todo se procesa localmente.
Si te interesa ir un paso más allá y comprobarlo, tienes la opción de descargar el código fuente completo desde GitHub y revisar el camino que siguen los datos. De esta manera puedes verificar que no hay llamadas ocultas a servidores remotos ni técnicas de tracking integradas. Para un firewall que controlará todo el tráfico del dispositivo, esta transparencia es un plus importante.
Justo por esta arquitectura basada en VPN es por lo que NetGuard choca de frente con otras herramientas similares. Por ejemplo, si quieres usar un cliente WireGuard o una VPN corporativa al mismo tiempo, Android no te lo va a permitir: solo un servicio de VPN puede estar activo a la vez. De ahí que, para algunos usuarios, el uso de NetGuard implique renunciar temporalmente a otras VPN o estar cambiando manualmente entre unas y otras.
Configurar NetGuard como firewall agresivo sin root
El primer paso es instalar NetGuard. Puedes hacerlo desde Google Play si te basta con el firewall básico, o bien descargar el APK desde GitHub para acceder a las opciones de bloqueo de publicidad por dominios. Siempre es recomendable usar fuentes oficiales del proyecto para evitar versiones modificadas o maliciosas.
Una vez instalada la aplicación, al abrirla verás una lista con todas las apps instaladas en tu dispositivo. Junto a cada una aparecen iconos que permiten autorizar o denegar el acceso a Internet por separado en WiFi y en datos móviles. Lo que muchos usuarios hacen para configurar un firewall agresivo es partir de una política muy estricta: todo bloqueado por defecto y, a partir de ahí, ir concediendo permisos solo a lo imprescindible.
Esta estrategia supone que, inicialmente, ninguna aplicación del sistema ni de usuario podrá conectarse a la red salvo que tú le des el visto bueno. Es una manera muy eficaz de evitar sorpresas tipo “¿por qué mi linterna necesita conectarse a Internet?” o apps que consumen datos en segundo plano sin que tú lo sepas. Con dos toques puedes cortarles el grifo y listo.
Para que NetGuard funcione, tienes que activar el interruptor principal situado normalmente en la parte superior de la interfaz. Al hacerlo, Android mostrará la clásica ventana pidiéndote que confirmes la creación de una conexión VPN. Aceptas, y NetGuard levantará el túnel local automáticamente. Desde ese momento todo el tráfico pasará por él y se someterá a las reglas que hayas definido.
En muchos terminales modernos conviene además ajustar las opciones de optimización de batería. Si Android decide “matar” NetGuard en segundo plano, el firewall dejará de filtrar. Por eso, es buena idea ir a los ajustes de batería, localizar NetGuard y marcarlo como “No optimizar” o similar. Así te aseguras de que el servicio VPN siga activo constantemente.
Bloqueo de anuncios con listas hosts y filtrado de dominios
Más allá del control por aplicación, uno de los grandes atractivos de NetGuard (en su versión completa) es la posibilidad de bloquear publicidad y otros dominios molestos usando archivos hosts. Se trata de un mecanismo muy antiguo, heredado del mundo de los ordenadores, que sigue siendo tremendamente útil.
El archivo hosts permite hacer un “bypass” a la resolución DNS normal: cuando una app intenta acceder a un dominio concreto, el sistema mira primero en ese archivo y, si encuentra una entrada, puede redirigirlo a otra dirección o hacer que parezca que el dominio no existe. Usándolo bien, es posible bloquear páginas maliciosas, redes publicitarias o dominios utilizados para rastrear tu actividad.
NetGuard, por defecto, no incluye una lista precargada muy extensa, pero te da las herramientas para incorporar las tuyas propias. Dentro de los ajustes, si haces scroll hasta la sección de copia de seguridad o similares, encontrarás opciones como “Import hosts file” (importar archivo hosts) y “Download hosts file” (descargar archivo hosts). La primera sirve para usar un archivo que tú mismo tengas preparado; la segunda, para bajarte listas mantenidas por terceros.
Si eliges la descarga desde Internet, NetGuard obtendrá una lista consolidada de dominios a bloquear, normalmente generada a partir de varias listas negras de proveedores de anuncios y rastreadores fusionadas en un único documento. Si te sobra tiempo y curiosidad, puedes abrir ese archivo y revisar a mano qué dominios bloquea, pero ya te aviso de que suelen ser cientos o miles.
Después de tener la lista, todavía queda un detalle clave: activar el filtrado de dominios. En la configuración avanzada, tienes que asegurarte de tener marcada la opción de “Filtrar tráfico” y, además, la casilla “Block domain names” o equivalente. De lo contrario, NetGuard no procesará el archivo hosts y no bloqueará las peticiones a los dominios incluidos en la lista.
Cuando todo está bien configurado, cualquier intento de acceder a los dominios bloqueados será redirigido internamente a direcciones no válidas, de manera que las apps ya no podrán cargar los banners o scripts de seguimiento alojados en esos servidores. En la práctica, en lugar de ver anuncios aparecerán espacios en blanco, cuadros de error o simplemente menos elementos cargados en la página o dentro de la aplicación.
Opciones avanzadas de firewall y control de comportamiento
Lo que se ve a primera vista en NetGuard (iconos de WiFi y datos al lado de cada app) es solo la parte más visible. Si entras un poco más en la configuración, descubrirás que el firewall es bastante más flexible y granular de lo que parece al principio, permitiéndote adaptar las reglas a tu manera de usar el móvil.
Entre las opciones avanzadas puedes encontrar parámetros para forzar bloqueos en situaciones concretas: por ejemplo, cortar automáticamente el acceso a Internet cuando la pantalla está apagada, impedir conexiones cuando estás en roaming o aplicar reglas tras un tiempo determinado sin usar el teléfono. Esto ayuda mucho a reducir consumo de datos en segundo plano y a limitar la actividad de apps insistentes.
Además del filtrado por condiciones globales, NetGuard permite gestionar aplicaciones del sistema (si habilitas la opción correspondiente en ajustes) y afinar aún más el comportamiento de cada app. Puedes decidir que una app solo tenga acceso bajo WiFi, bloquearle el uso de datos móviles o configurar combinaciones específicas según lo que más te interese proteger.
En dispositivos con muchas apps preinstaladas, estas opciones resultan especialmente útiles. Hay aplicaciones de sistema que, a pesar de parecer inofensivas, envían periódicamente información o descargan datos que no necesitas. Con NetGuard puedes localizarlas en la lista y cortarles el acceso con un simple toque, sin necesidad de root ni de desinstalarlas.
Por otro lado, desde la propia pantalla de detalles de cada aplicación (accesible normalmente tocando el engranaje o el nombre de la app dentro de NetGuard) puedes revisar y gestionar otros parámetros como los permisos estándar de Android, los comportamientos por defecto al abrir enlaces o el tipo de notificaciones que puede mostrar. Aunque no todas estas opciones pertenecen al firewall puro, ayudan a concentrar el control en un solo sitio.
Compatibilidad con otras VPN, WireGuard y alternativas sin root
Uno de los puntos conflictivos para ciertos perfiles de usuario es la imposibilidad de usar NetGuard simultáneamente con otros clientes VPN, como WireGuard. La limitación no es de NetGuard en sí, sino del propio Android: solo puede haber una VPN activa a la vez. En cuanto activas WireGuard, el sistema desactiva NetGuard, y viceversa.
Si tu caso de uso pasa por tener siempre un túnel cifrado con WireGuard y, al mismo tiempo, un firewall por app, lo vas a tener complicado sin root. La solución más sencilla es alternar: activar NetGuard cuando quieras tener control total del tráfico a nivel local y desactivarlo cuando te haga falta usar WireGuard. El problema es que este baile acaba siendo pesado, y mientras uses WireGuard las apps se saltarán el filtro de NetGuard.
Muchos usuarios se preguntan si existe alguna aplicación con funciones similares a NetGuard que no se base en VPN. Sin root, las opciones puras son muy limitadas, porque Android no permite interceptar y filtrar todo el tráfico de red sin usar la API de VPN o sin privilegios elevados. De ahí que prácticamente todos los firewalls sin root usen el mismo enfoque.
Entre las alternativas sin root que siguen esta filosofía están herramientas como NoRoot Firewall o Mobiwol. Funcionan de forma parecida: crean su propia VPN local, listan las apps instaladas y te permiten controlar si pueden conectarse por WiFi o datos. La mecánica general es casi la misma, aunque la interfaz y algunas opciones pueden variar.
Sin embargo, si lo que buscas es un equilibrio entre transparencia (código abierto), posibilidades avanzadas (filtrado por dominios, reglas complejas) y facilidad de uso, NetGuard sigue estando un paso por delante. Otras apps pueden ser algo más sencillas, pero a menudo son menos potentes o menos claras respecto a lo que hacen con tus datos. Por eso, para un firewall agresivo sin root, NetGuard suele ser la primera recomendación.
Rendimiento, experiencia de uso y casos en los que NetGuard brilla
Usar NetGuard como firewall agresivo tiene muchas ventajas, pero no todo es perfecto. Al obligar a que todo el tráfico pase por una capa adicional de filtrado basada en VPN, pueden sentirse ciertos efectos secundarios en el día a día, especialmente en dispositivos más modestos o con muchas apps accediendo a la red a la vez.
Algunos usuarios comentan que la experiencia con NetGuard no siempre es tan fluida y rápida como les gustaría. No se trata de una catástrofe de rendimiento, pero sí de pequeñas demoras: tener que abrir la app, activar el interruptor, esperar a que se conecte la VPN, resolver conflictos puntuales con algunas apps que detectan el uso de VPN, etc. Son unos segundos que, si andas con prisa, se notan.
A eso se suma la gestión de permisos app por app. Al principio, configurar un firewall agresivo con todo bloqueado por defecto implica invertir tiempo en ir dando acceso solo a lo que realmente necesitas. Es una inversión que merece la pena a medio plazo, pero los primeros días es fácil cansarse de avisos, errores de conexión de apps que se ‘rompen’ porque no tienen Internet y pequeños ajustes constantes.
Por todo ello, hay quien prefiere usar NetGuard solo en contextos concretos: por ejemplo, cuando sabe que va a visitar páginas llenas de publicidad intrusiva, webs poco fiables o apps cargadas de banners engañosos. En esos casos, activar NetGuard se convierte en una especie de “modo blindaje” temporal, que refuerza muchísimo la seguridad y la privacidad mientras dura la sesión.
Otro escenario típico en el que NetGuard destaca es el control del consumo de datos. Al poder bloquear aplicaciones concretas solo en redes móviles, o incluso impedir que se conecten cuando la pantalla está apagada, es sencillo evitar sorpresas en la factura de datos y reducir al mínimo el tráfico en segundo plano. También resulta muy útil en roaming, donde cada mega cuenta.
Entre las ventajas menos visibles pero importantes está el hecho de que NetGuard no incluye anuncios, no solicita permisos raros más allá de los necesarios para su función y no intenta “monetizar” tu tráfico mediante analítica invasiva. En un entorno saturado de apps que viven de los datos del usuario, esta postura más respetuosa es un punto a favor.
Al final, la decisión de usar o no NetGuard a diario dependerá de cuánto valoras el control frente a la comodidad. Para quien quiere tener su móvil “atado corto” y saber exactamente qué se conecta y cuándo, un firewall agresivo sin root como NetGuard es casi imprescindible; para quien prioriza la simplicidad absoluta, puede resultar algo más molesto de lo deseable.
Con todo, contar con una herramienta gratuita, de código abierto y relativamente sencilla de configurar que te permite convertir tu Android en un dispositivo mucho más controlado, limitar drásticamente las fugas de datos y reducir la publicidad sin root es, hoy por hoy, un lujo al alcance de cualquiera que esté dispuesto a dedicarle unos minutos a ajustarla a su gusto.
