¿Tu Apple Watch usa la conexión VPN del iPhone?

El reloj no tiene ningún ajuste de VPN que puedas abrir, y eso es lo primero que hay que entender. Toda la configuración de VPN vive en el iPhone emparejado, en un perfil o dentro del Network Extension de una app. Que el tráfico del reloj cruce realmente ese túnel depende de qué enlace esté usando el reloj en ese momento. Ese único hecho explica la mayoría de los informes confusos sobre un reloj que sigue funcionando mientras el teléfono está en una VPN, o al revés.

watchOS no tiene ningún cliente VPN al que apuntar

watchOS llega sin pantalla de configuración de VPN, así que no hay túnel por reloj que activar ni depurar. Un perfil instalado en el iPhone se aplica al iPhone, y el reloj solo hereda comportamiento a través de las rutas que comparten los dos dispositivos. Trata cualquier afirmación sobre un ajuste de VPN en el reloj como señal de que la persona describe la pantalla del teléfono.

Por eso también los equipos de MDM no pueden enviar una carga de VPN a un reloj como la envían a un teléfono.

Lo que sí tiene el reloj es un conjunto de transportes, y elige entre ellos constantemente: Bluetooth al teléfono cercano, una red Wi-Fi compatible para la que tiene credenciales, o celular en un modelo con plan. Cada elección cambia quién lleva los paquetes, y esa es la parte que importa para tu túnel.

Bluetooth: el teléfono lleva los paquetes

Cuando el teléfono está cerca, el reloj prefiere Bluetooth porque consume mucha menos energía que el Wi-Fi o el celular. Los datos de una app del reloj salen por ese enlace, llegan al teléfono y luego siguen las reglas de enrutamiento y de túnel del teléfono como cualquier otro tráfico que el teléfono origine o retransmita. En ese estado la VPN del teléfono está realmente en la ruta. Por eso una app del reloj puede fallar con el túnel activo aunque el reloj nunca abriera una conexión propia.

Esa retransmisión no es lo mismo que el reloj se una al túnel. El túnel pertenece a la pila de red del teléfono, y el reloj no tiene ninguna visión de él: ni asignación de dirección, ni rutas propias, ni estado del túnel que leer. No encontrarás el tráfico del reloj como una sesión aparte dentro del túnel.

Una prueba útil es desactivar el Bluetooth solo en el teléfono y repetir la acción que falla. Si empieza a funcionar, la ruta era la retransmisión del teléfono.

Wi-Fi y celular: el reloj sale del túnel

Si el Bluetooth sale de alcance o se desactiva, el reloj prueba una red Wi-Fi compatible que ya conoce, y un modelo celular con servicio puede recurrir al operador. La guía de conectividad del reloj de Apple describe ese orden y señala que el icono de Wi-Fi significa que el reloj está en Wi-Fi y no hablando con el iPhone. El tráfico en esas rutas termina en el reloj, no en el teléfono.

Así que el túnel del teléfono no llega hasta ahí. Las conexiones propias del reloj las hace watchOS, con las radios del reloj y las credenciales que guarda, y el teléfono no las reenvía. Este es el caso en el que una VPN estricta de todo el tráfico en el teléfono puede funcionar perfectamente mientras una app del reloj sigue llegando a internet.

La queja inversa es más común: una app del reloj falla en cuanto sube el túnel del teléfono.

Qué cubre includeAllNetworks y qué no

La documentación de enrutamiento de Apple para Network Extension incluye la comunicación con dispositivos acompañantes, también el tráfico hacia un Apple Watch, entre las excepciones que establece al describir includeAllNetworks. La intención es que un túnel amplio no rompa el enlace local entre los dos dispositivos. Léelo en sentido estricto: protege el canal del acompañante, no cada servicio que una app del reloj pueda llamar.

Tampoco certifica ningún producto VPN concreto, y no dice nada sobre qué transporte eligió el reloj en el momento del fallo. Una notificación que llega tarde no es prueba de que el túnel la haya descartado.

Ni la excepción convierte un reloj en su propio Wi-Fi o celular en un cliente dentro del túnel. Si necesitas esa garantía, el túnel tiene que terminar en algún punto por el que pase de verdad el tráfico del reloj, y el teléfono no está en esa ruta.

Lee la ruta antes de cambiar el perfil

Antes de tocar la configuración de la VPN, anota tres cosas: la conexión que informa el reloj (teléfono, Wi-Fi o celular), si el teléfono está dentro del alcance del Bluetooth y una acción concreta que falla. Luego repite esa acción con la ruta sin cambios y la VPN desactivada, si la política lo permite. Un resultado que solo aparece con el túnel activo es un problema de túnel, y un resultado que aparece en ambos casos no lo es.

Mantén los dos dispositivos en el mismo sitio en las dos pruebas, o estarás midiendo la habitación en lugar del túnel.

Cuando el fallo sobrevive a esa comparación, el informe útil a un administrador de red es estrecho: esta app, esta acción, este transporte, túnel activado y desactivado. Las afirmaciones generales sobre la incompatibilidad del reloj con la VPN no se pueden comprobar, y suelen esconder un portal cautivo o un servicio bloqueado detrás de una afirmación sobre la radio.