Perfil DNS o perfil VPN en iOS: ¿cuál tiene usted?

Alguien le envía un perfil de iPhone con un nombre tranquilizador, se instala con dos toques y los nombres internos empiezan a resolverse. Si el tráfico también viaja por un túnel es una pregunta aparte, y el nombre que se muestra no la responde. Un perfil puede llevar varias cargas, así que el único paso fiable es abrirlo y leer qué configura cada carga. La lista es corta, los nombres de las cargas son aburridos y la respuesta suele ser obvia en cuanto los ha visto. Adivinarlo por el título es como la gente acaba creyendo que su tráfico va por un túnel cuando solo lo hacen sus consultas.

Abra la lista de cargas, no el encabezado

En iOS la lista de perfiles está en Ajustes, General, VPN y Gestión de dispositivos, y cada entrada se abre en un inventario de cargas, no en un solo interruptor. Lea ese inventario: una carga de ajustes de DNS, una carga de VPN, una carga de proxy, certificados, Wi-Fi. Un perfil que solo lleva ajustes de DNS no es un túnel, diga lo que diga su nombre, y uno que lleva ambos hace dos trabajos distintos a la vez. El inventario es la afirmación técnica, y el encabezado es marketing.

Tres preguntas convierten el inventario en una decisión. ¿Cambia la resolución de nombres, cambia la dirección de origen pública y qué aplicaciones cubre cada efecto? Una carga de DNS responde la primera, una carga de VPN suele responder la segunda y la tercera, y cualquier cosa que afirme ambas debe mostrar dos cargas o una extensión documentada.

Qué cambia realmente una carga de DNS

Una carga de DNS cambia cómo se resuelven los nombres dentro de su ámbito configurado, lo que puede significar un resolutor concreto, un transporte cifrado como DNS over HTTPS o un conjunto restringido de dominios. Lo que normalmente no cambia es la dirección de origen pública de sus conexiones, así que los sitios web siguen viendo la red en la que está. La resolución y el enrutamiento son mecanismos separados, y solo uno de ellos se movió. Por eso un nombre interno puede resolverse bien mientras la página que hay detrás se niega a cargar.

Una carga de DNS también introduce una parte que recibe sus consultas, y si el operador del resolutor no es el operador de la red, es un participante nuevo en la ruta. Anótelo, porque cambia quién puede ver qué nombres pide. Por sí sola no oculta las direcciones de destino a las que se conecta después.

Qué cambia realmente una carga de VPN

Una carga de VPN establece un túnel y una política de enrutamiento, y según cómo esté configurada puede capturar todo el tráfico, solo los destinos listados o solo las aplicaciones listadas. Las exclusiones importan tanto como las inclusiones, porque un perfil de túnel completo con dos dominios excluidos no se comporta en absoluto como sugiere el nombre. Una VPN por aplicación puede dejar el navegador completamente fuera del túnel mientras la insignia de la barra de estado dice conectado. Lea las listas de incluidos y excluidos antes de confiar en cualquiera de las dos palabras.

La dirección de origen sí cambia aquí, al menos para el tráfico que captura el túnel, y esa es la distinción práctica que la mayoría pregunta en realidad. Todo lo demás es detalle sobre qué tráfico.

Dónde las apps con Network Extension difuminan la etiqueta

Una app puede instalar su propia Network Extension cuyo comportamiento la lista de perfiles no describe con claridad, así que el nombre comercial y el indicador de la barra de estado no son un inventario. Abra la pantalla de configuración de la propia app junto a las cargas del perfil y compare las dos. Un interruptor etiquetado como protección quizá solo cambie la resolución, y uno etiquetado como private DNS quizá solo cambie el resolutor. Donde las dos fuentes discrepan, crea a la lista de cargas y anote la diferencia.

Por eso también una app puede pasar una prueba rápida en una red y fallar en un portal cautivo, donde la resolución funciona y el enrutamiento no. Los dos mecanismos nunca fueron lo mismo.

Quitar el objeto correcto y comprobar los nombres después

Quite una configuración mediante la app o el servicio de gestión que la instaló, usando los pasos de eliminación documentados por Apple en lugar de borrar archivos que haya encontrado. Borrar un perfil puede llevarse ajustes y datos asociados, y un perfil gestionado puede negarse a marcharse hasta que el lado de gestión lo libere. Quitar una sola carga de DNS nunca debería exigir destruir una identidad VPN no relacionada de la que el dispositivo aún depende. Separe los objetos antes de borrar nada y luego quite solo el que posee el comportamiento que intenta detener.

Después, compruebe los nombres privados de los que depende su trabajo, porque una app corporativa puede depender de un resolutor del que el DNS público nunca ha oído hablar. Ese fallo suele aparecer como un error de la aplicación y no como un error de DNS, y por eso se diagnostica mal. Pruebe un nombre interno y uno público desde la misma app, y la respuesta le dirá qué objeto quitó en realidad.