Apple IncludeAllNetworks: qué sigue evitando la VPN

Abres el perfil en la consola MDM, ves IncludeAllNetworks marcado y das por hecho que cada paquete de ese dispositivo entra ya en el túnel. El propio esquema de Apple no promete eso. El ajuste encamina el tráfico por la VPN con exclusiones: algunas son interruptores opcionales y otras son necesarias para que el sistema siga funcionando. El recorrido siguiente sigue ese documento desde el perfil hacia fuera, así que lo primero que lees es el propio ajuste y no una captura de un dispositivo que nadie ha identificado todavía.

Dos de esas exclusiones explican la mayor parte de la confusión, y ambas tienen que ver con el servicio móvil.

Empieza por el perfil gestionado, no por una captura

Abre el esquema del perfil de VPN gestionado y lee la descripción de la propiedad antes de leer cualquier registro de paquetes. Fíjate en que la descripción trata del enrutamiento con exclusiones, no de una garantía de túnel completo. Esa sola frase decide cómo interpretarás todo lo que veas después.

Anota tres cosas mientras estás en la consola: el identificador de carga que lleva el ajuste, la versión gestionada del sistema operativo en el dispositivo y qué implementación de VPN está realmente instalada. Que una clave aparezca descrita en la documentación no dice nada sobre si un cliente de terceros la expone en su propia interfaz de configuración.

Lee la exclusión móvil como dos casos distintos

En configuraciones compatibles, ExcludeCellularServices excluye el tráfico de servicios móviles enrutable por internet, pero solo cuando está activado junto a IncludeAllNetworks. El esquema pone Wi-Fi Calling, IMS y los servicios relacionados con mensajería como ejemplos de esa categoría. Esos flujos pueden salir del túnel por diseño, y ninguna revisión del perfil los hará pasar por él mientras la exclusión esté activa.

El segundo caso es distinto y no depende de ningún interruptor. Algunos operadores entregan los servicios móviles directamente por su propia red en lugar de por internet, y Apple documenta esa categoría como siempre excluida del túnel. No es el caso condicional enrutable por internet de arriba, así que un perfil que vacíe todas las casillas de exclusión tampoco lo capturará. Tratar los dos como una sola función es donde empiezan la mayoría de las discusiones sobre una fuga.

Si tu requisito es literalmente que ningún paquete salga nunca del túnel, este segundo caso ya hace imposible ese requisito en un dispositivo móvil. Necesitas saberlo antes de la revisión de diseño, no después.

Comprueba qué claves expone realmente tu plataforma

El esquema también describe el tráfico necesario de conexión de red y de redes captive, además de controles separados para otras categorías como redes locales y comunicación entre dispositivos. Son relaciones de configuración documentadas, no observaciones de tu dispositivo. Confirma cada una contra la versión del sistema operativo que gestionas, porque la disponibilidad cambia entre versiones y una clave de perfil ignorada en silencio se ve exactamente igual que una que hace su trabajo.

Una carga mínima para esta decisión suele parecerse a esto, con el indicador móvil explícito en lugar de heredado de una plantilla:

<key>IncludeAllNetworks</key><true/>
<key>ExcludeCellularServices</key><true/>
<key>ExcludeLocalNetworks</key><true/>

Si falta una clave en el perfil entregado, el dispositivo vuelve al valor predeterminado de esa clave, que no es necesariamente el valor que el autor de la plantilla tenía en mente. Compara la carga entregada con la plantilla en lugar de leer solo la plantilla.

Determina qué es un nombre de host desconocido

Cuando aparece un nombre sospechoso, establece qué representa realmente la observación: un nombre que pidió el sistema, el resolutor que respondió, un destino de conexión o una etiqueta impresa por una herramienta. Un nombre relacionado con el operador no identifica por sí solo ni el proceso de origen ni la excepción aplicada. Perseguirlo como prueba de una evasión es como un hilo de soporte pasa una semana en la capa equivocada.

Usa diagnósticos compatibles y habla con el administrador que posee el perfil, y luego compara el flujo con la política prevista. Esa comparación, no el nombre de host, te dice si el tráfico era esperado.

Resuelve el requisito en lugar de debilitar el sistema

No instales un certificado raíz sin explicación ni desactives servicios del sistema solo para que una captura quede más silenciosa. Silenciar la captura elimina la prueba y deja la exclusión en su sitio, que es un lugar peor que la pregunta original. Si una norma de cumplimiento prohíbe una categoría que la plataforma excluye deliberadamente, lleva ese conflicto a los responsables del dispositivo y de la red con la sección del esquema en la mano.

Cierra el recorrido anotando qué excepción explicaba el tráfico, a qué versión del sistema operativo se aplica y qué valor del perfil lo produjo. Un icono de conexión no puede conciliar dos suposiciones incompatibles sobre hasta dónde llega el alcance del tráfico del sistema operativo.