Cómo elegir un cliente VPN para Mac para la puerta de enlace que ya tiene

Seis aplicaciones VPN para Mac aparecen en una página de descarga y ninguna dice cuál aceptará la puerta de enlace de su empresa. No es un hueco en la tienda; es un hueco en la entrega. Una VPN SSL es una familia de productos, no un protocolo, así que dos puertas de enlace con pantallas de acceso idénticas pueden exigir clientes distintos. Este es el orden que sigo cuando alguien me entrega un Mac y una dirección de servidor: establecer qué habla la puerta de enlace, elegir el cliente que encaja y luego verificar rutas y DNS antes de confiarle trabajo al túnel.

Empiece por la puerta de enlace, no por la tienda de aplicaciones

La aplicación se ejecuta en su Mac, pero otra cosa debe aceptar la conexión y conceder acceso: una puerta de enlace con operador, dirección, ajustes compatibles y una forma de autorizarle. Un cliente gratuito puede ser buen software y no aportar nada de eso. El acceso laboral, una puerta de enlace doméstica y una salida comercial a internet son tres puntos de partida distintos que casualmente comparten una página de descarga.

Antes de instalar o sustituir algo, obtenga cuatro respuestas de quien opera el servicio:

• Modo de acceso: portal en el navegador, acceso a aplicaciones seleccionadas o túnel de red completo. Eso decide si necesita un cliente.

• Familia de la puerta de enlace y versión admitida: el producto, el servicio habilitado y una versión de cliente que aún admita su compilación de macOS y su hardware Mac.

• Autenticación: contraseña más MFA, inicio de sesión en el navegador, certificado de dispositivo o una comprobación de postura. Un cliente sin el flujo aprobado se conectará y luego será rechazado.

• Propiedad: la fuente de descarga o gestión de confianza, el perfil previsto y quién lo mantiene cuando falla.

La propiedad es el punto que la gente salta. En un Mac gestionado el perfil suele llegar por el sistema de gestión de la organización, y una configuración hecha a mano puede ser sustituida en la siguiente comprobación. Pregunte si se espera que instale algo usted mismo antes de buscar una aplicación de terceros.

VPN SSL es una etiqueta de familia, no un protocolo

TLS puede proteger una conexión mientras un intercambio específico del producto dentro de ella gestiona el inicio de sesión, la asignación de sesiones y el tráfico del túnel. Ese intercambio interno es lo que un cliente debe implementar. Un navegador que llega a la página de acceso HTTPS de la puerta de enlace demuestra la cadena de certificados y el servidor web; no demuestra que una aplicación VPN ajena pueda construir un túnel hacia la misma máquina.

OpenConnect es el ejemplo más claro que conozco. Su documentación del proyecto enumera modos de protocolo separados para distintas familias de puertas de enlace y separa la interoperabilidad del soporte oficial del fabricante. Si todas las VPN SSL hablaran un solo protocolo, esos modos serían innecesarios.

Un perfil OpenVPN tiene la misma limitación al revés: es un formato de importación para un despliegue compatible con OpenVPN. Compartir TLS como bloque de construcción no lo convierte en un archivo de configuración para una puerta de enlace corporativa cualquiera. Por eso un inicio de sesión en el navegador que funciona es un falso positivo: el acceso al portal puede tener éxito mientras no existe túnel, y un túnel levantado puede ser rechazado después por una comprobación de postura.

Ajuste el cliente a lo que habla la puerta de enlace

Una vez conocida la familia, la elección se estrecha rápido. Esta es la correspondencia que reviso primero, y la última columna importa más que cualquier valoración de aplicación.

Dos filas merecen una advertencia. El cliente integrado de macOS es una implementación real de IKEv2, no un cliente SSL VPN genérico: un servicio diseñado para él necesita el perfil correcto, la identidad de servidor esperada y credenciales, y en una máquina gestionada ese perfil puede estar bloqueado. OpenConnect cubre varios protocolos de fabricante con un solo binario, pero su propio proyecto no reclama soporte del fabricante; el escaneo de host, las reglas de túnel dividido enviadas por la puerta de enlace o un flujo SSO concreto pueden existir solo en el cliente del fabricante.

WireGuard tiene la misma forma. El servicio aporta pares, el cliente aporta el túnel y un perfil OpenVPN no es un sustituto. Un detalle de macOS: el cliente del App Store guarda sus túneles dentro de una extensión de red, así que wg show desde las herramientas de Homebrew puede no informar nada mientras la interfaz está activa. Verifique con rutas y tráfico.

Configure y luego verifique en un orden fijo

Instale un cliente y un perfil, y anote qué cambió. Antes de conectar, capture una línea base para saber qué altera el túnel:

scutil --nc list
networksetup -listallnetworkservices
netstat -rn | grep -E "^default|utun"
scutil --dns

Conéctese con el perfil entregado y repita los mismos comandos. En un túnel completo la ruta predeterminada debe apuntar a una interfaz utun; con túnel dividido solo deben enrutarse los prefijos internos y su salida pública debe verse igual. El DNS es la mitad que suele quedar rota: scutil --dns lista los resolutores en el orden en que el sistema los usará, y un resolutor interno bajo uno público enviará los nombres internos al servidor equivocado.

Para un servicio OpenVPN, Tunnelblick es un cliente razonable sin coste, y su propia guía es directa sobre la mitad que falta: no aporta ningún servicio VPN. Haga doble clic en el .ovpn que le dieron, deje que Tunnelblick lo instale y compruebe la versión frente a su versión de macOS antes de confiar en ella.

Para una puerta de enlace de fabricante a menudo pruebo con OpenConnect desde la línea de comandos:

brew install openconnect
sudo openconnect --protocol=anyconnect --user=you vpn.example.com

La herramienta imprime el certificado que recibió y espera antes de confiar en una cadena desconocida; ese aviso es una función, y fijar con --servercert pin-sha256:... es mejor que aceptar una advertencia que no leyó. Ctrl-C derriba el túnel, porque un openconnect en primer plano no tiene ni interruptor de emergencia ni lógica de reconexión. Eso está bien para una sesión de diagnóstico y es un mal valor por defecto para el trabajo diario.

Cuando no hay puerta de enlace con la que ajustar

Algunas personas llegan con el problema contrario: sin operador, sin dirección, sin servicio. Una aplicación gratuita para Mac no puede crear accesibilidad entrante en un router doméstico. Si quiere su propia red desde un hotel, alguien debe operar una puerta de enlace en casa, mantenerla actualizada, publicar o resolver su dirección y decidir qué dispositivos son accesibles.

Si quiere una salida a internet distinta en lugar de acceso a una red privada, elija el servicio antes que el cliente. Una lista de perfiles vacía en un cliente autónomo a menudo no es una suscripción gratuita rota; puede que no haya suscripción ni servidor asociado. Mantenga también los costes separados: una licencia de cliente, un plan de servicio y una puerta de enlace autogestionada son tres compras distintas.

Un Mac de trabajo añade una capa de política. Una aplicación gratuita puede ser incorrecta incluso cuando conecta, porque el cliente aprobado puede imponer comprobaciones del dispositivo o un flujo de autenticación que la alternativa no tiene. Pida una alternativa aprobada en lugar de copiar credenciales entre aplicaciones no relacionadas, y no trate desactivar las protecciones de la plataforma como una solución de compatibilidad.

Un visor de escritorio remoto también es otro producto. Le muestra una sesión en otro ordenador; no da a las aplicaciones locales de su Mac la ruta de red que aporta un túnel.

Una lista de comprobación breve antes de la primera sesión real

Nombre por escrito la familia de la puerta de enlace y el modo de acceso, instale solo el cliente que encaje con ellos y registre el perfil que usó. Luego confirme tres cosas con tráfico real: las rutas que instaló el túnel, el orden de los resolutores y una aplicación interna alcanzada por nombre y no por IP.

Si algo falla, cambie una variable cada vez: cliente, perfil, flujo de autenticación. Un portal que carga mientras el túnel se niega a arrancar separa un problema de servidor web de uno de compatibilidad del cliente. Cuando el servicio laboral responde y la ruta pública se comporta como se esperaba, tiene un arreglo nombrado y soportado en lugar de un montón de conjeturas.