¿Qué hace IncludeAllNetworks en un perfil IKEv2 del Mac?

En un perfil IKEv2 nativo la clave interesante no es una casilla, es IncludeAllNetworks, y lo que cambia es el alcance de lo que el sistema puede enviar fuera del túnel. Ponla en 1 y macOS trata el túnel como la ruta para prácticamente todo el tráfico IP, menos un conjunto de excepciones que define y que puedes ampliar. Como vive en un diccionario de perfil y no en un menú, tampoco significa lo que la mayoría supone cuando lee la frase enviar todo el tráfico.

Qué cambia la clave dentro de la pila de red

Sin ella, el túnel se comporta como una interfaz de red con rutas adjuntas. Una ruta predeterminada por esa interfaz captura la mayor parte del tráfico, y cualquier ruta más específica en otra interfaz sigue ganando para su propio prefijo. Eso es enrutamiento normal, y por eso el túnel dividido ocurre casi por accidente.

Con la clave activada, el alcance deja de ser una preferencia de enrutamiento y pasa a ser una política sobre qué tráfico puede salir por algo distinto del túnel. El sistema sigue necesitando llegar a la red para mantener viva la conexión, así que la política llega con excepciones en lugar de fingir que no existen. Activarla nunca deja la máquina sin ningún camino funcional. Lo que obtienes es una lista de caminos más corta de lo que suponías, y esa lista está documentada.

La consecuencia práctica es que añadir una ruta ya no explica el resultado. Si un destino todavía se alcanza directamente, la pregunta no es qué ruta ganó sino si lo cubre una excepción.

Las excepciones forman parte del ajuste

Apple documenta varias exclusiones junto a la clave principal, que cubren redes locales, tráfico de Apple Push Notification, servicios celulares y comunicación de dispositivos. Cada una tiene sus propias condiciones de plataforma y versión, así que el mismo perfil puede comportarse distinto entre versiones de macOS.

Algunas de esas exclusiones son intrínsecas. El tráfico necesario para establecer y mantener el acceso a la red, incluido el manejo del portal cautivo, tiene que permitirse, o la máquina puede acabar conectada a nada e incapaz de arreglarlo.

Luego vienen las decisiones deliberadas. Permitir una impresora doméstica no es la misma decisión que permitir un prefijo de recurso de trabajo, y ambas difieren de dejar APNs accesible para que las notificaciones sigan llegando. Anota cuáles activaste, en el propio perfil, en lugar de descubrirlas más tarde en un informe de error.

Por qué no es lo mismo que una ruta predeterminada

Una ruta predeterminada es una entrada de la tabla de enrutamiento, y las tablas pierden. Un prefijo más específico la vence, una conexión acotada a una aplicación puede evitarla, y una segunda interfaz con mejor métrica puede tomar el relevo sin que nadie toque la configuración de la VPN.

La guía de enrutamiento de Apple hace explícita la distinción: las rutas predeterminadas ordinarias pueden ser anuladas por rutas más específicas, mientras que el ajuste de alcance más amplio define qué tráfico debe llevar el túnel y qué queda fuera de él. Una es una preferencia, la otra está más cerca de una regla.

Esa diferencia también cambia cómo diagnosticas una fuga. Con una ruta predeterminada inspeccionas rutas y métricas. Con la clave de alcance inspeccionas la revisión del perfil, las excepciones instaladas y el comportamiento específico de la versión, porque la tabla de enrutamiento va aguas abajo de una decisión tomada antes.

EnforceRoutes es otro control

EnforceRoutes suena como la versión estricta de la misma idea, y la gente apila las dos creyendo que más claves significan más cobertura. Apple documenta que se ignora cuando IncludeAllNetworks está activado, así que la segunda clave no compra nada en esa combinación.

Trátala como una alternativa para configuraciones que no usan el alcance más amplio, no como un refuerzo. Si no puedes explicar qué hace cada clave por sí sola, añadir ambas solo hace el perfil más difícil de revisar.

En qué deben ponerse de acuerdo la puerta de enlace y el dueño del perfil

Un ajuste de cliente no puede hacer que un servidor reenvíe tráfico para el que nunca se configuró. La puerta de enlace tiene que aceptar la sesión, repartir direcciones, dar un camino de vuelta para los prefijos que pretendes alcanzar y servir DNS en la disposición que hayas elegido. Si solo enruta un prefijo, el alcance amplio del cliente produce tráfico que llega y muere. Una petición a un destino fuera de las rutas de la puerta de enlace lo demuestra en un minuto.

Un túnel propiedad de una aplicación es otra vez un caso aparte. El proveedor tiene que implementar o exponer el comportamiento admitido; instalar un segundo perfil IKEv2 nativo no modifica un túnel que ya gestiona otra aplicación, y una clave IKEv2 no es una directiva de OpenVPN que vaya a leer otro cliente.

Para la lista actual de claves y las condiciones de versión, lee la referencia de carga útil de IKEv2 de Apple en lugar de un perfil que alguien copió hace años.

Acepta una revisión del perfil como un todo

Antes de cambiar un Mac administrado en remoto, anota las versiones de macOS objetivo, la salida a internet prevista, los prefijos privados que deben seguir siendo accesibles y cada exclusión que actives. Después conserva un camino de recuperación que no dependa del túnel que estás a punto de modificar.

Prueba peticiones públicas nuevas, peticiones privadas, ambas familias de direcciones y la resolución de nombres, y comprueba la revisión instalada en lugar del archivo de diseño. Si algo sigue yendo directo, decide si es una excepción documentada, un contexto de conexión distinto o un error real de configuración, y cambia una de esas tres cosas en lugar de ampliar claves no relacionadas.