VPN en iPad sin solicitudes de contraseña: certificados frente a inicio de sesión guardado
Una contraseña guardada y un certificado de dispositivo eliminan la solicitud de formas distintas. Compárelos y decida por separado qué abre el túnel.
«Deja de pedirme una contraseña» en realidad agrupa tres requisitos en una sola queja, y una implementación en iPad los responde en lugares distintos. La solicitud viene de la autenticación, el momento viene de la activación y la cobertura viene de la aplicación de la política. Elija la credencial que elimina la solicitud y después decida por separado qué determina cuándo se abre el túnel. Mezclar ambas decisiones es lo que acaba dejando una contraseña guardada en un perfil que todavía espera un toque.
| Saved or shared secret | Device certificate | |
|---|---|---|
| What the user sees | no prompt while the credential stays valid | no prompt, no password to rotate |
| What the admin manages | the secret in the profile and its distribution | enrollment, expiry and revocation per device |
| Typical failure | gateway demands a second factor | expired or revoked certificate |
Dos problemas con una sola queja
Una configuración IKEv2 nativa en iPad puede referirse a una contraseña o a un certificado, y la clave AuthenticationMethod decide cuál se aplica, mientras que PayloadCertificateUUID nombra la credencial que aporta la identidad. Cuál de ellas aceptará la pasarela es una cuestión de política del servidor, no una preferencia del cliente. Así que lo primero que hay que establecer es qué permite el servicio VPN, porque un iPad no puede negociar hasta un método que el otro extremo rechaza.
Solo después tiene sentido hablar de cuándo se activa el túnel, que es un conjunto de claves de perfil completamente distinto.
Opción uno: una credencial que el iPad puede reutilizar
Una contraseña de cuenta almacenada o un secreto compartido satisfacen a una pasarela que autentica al usuario o al grupo, y eliminan la solicitud mientras el secreto siga siendo válido. Su debilidad es el ciclo de vida: el secreto está en el perfil, varios dispositivos pueden compartirlo y rotarlo obliga a tocar todos los perfiles que lo llevan. Si el servicio exige además un factor de un solo uso o una aprobación interactiva, ningún ajuste local convierte esa política en un inicio de sesión desatendido.
Una contraseña guardada por una aplicación tampoco está disponible automáticamente para otra implementación de VPN, y por eso la misma cuenta puede dejar de pedirla en un cliente y pedirla siempre en otro.
Opción dos: un certificado de dispositivo con su propia clave
Un certificado elimina la solicitud de forma más contundente, porque el iPad demuestra que posee una clave privada en lugar de repetir un secreto. Eso exige que el certificado hoja y su clave lleguen por la vía de inscripción aprobada, y que la pasarela acepte la autenticación por certificado para esa conexión. Importar solo un certificado de CA le da al dispositivo material de confianza y nada más, lo que es un fallo habitual y silencioso.
La contrapartida es trabajo de ciclo de vida. Cada iPad recibe su propia identidad para poder revocar un dispositivo perdido sin reemitir todo el parque, y las fechas de caducidad se convierten en eventos operativos reales. Un certificado que caduca en silencio se parece exactamente a una caída del VPN la mañana en que ocurre.
Elija por lo que acepta la pasarela, no por preferencia
Haga dos preguntas al administrador del VPN: qué métodos de autenticación acepta el servicio para este tipo de cliente y si alguno de ellos requiere entrada interactiva. Si la respuesta es solo certificado, planifique la inscripción y la renovación. Si la respuesta es contraseña más un segundo factor, acepte que la solicitud es política y deje de tratarla como un fallo del dispositivo. Si se aceptan ambos, el certificado gana en ciclo de vida para un parque supervisado y la contraseña gana en esfuerzo de instalación para unos pocos dispositivos.
Anote el método elegido en el registro de despliegue junto al identificador del perfil, porque de lo contrario la siguiente persona que toque el perfil elegirá el otro.
Después, separe activación y autenticación
VPN On Demand abre el túnel cuando coincide una condición configurada, ya sea un dominio DNS, un tipo de interfaz o una red unida, y Apple lo documenta como algo que no requiere interacción del usuario. Encaja bien con recursos privados que solo deben ser accesibles cuando algo los solicita. No es lo mismo que el Always On gestionado, que mantiene la cobertura aplicada y trae sus propios requisitos de supervisión y de perfil.
Una credencial que funciona no aporta nada en ninguno de los dos casos. Muchos iPads tienen un certificado perfectamente válido y aun así esperan un toque manual porque nunca se activó ninguna regla a demanda.
Entregue el requisito en una forma que un administrador pueda ejecutar: este iPad debe alcanzar estos recursos sin entrada recurrente del usuario, con este tipo de credencial y bajo estas reglas de activación e interrupción. Si el servicio actual no cumple esas condiciones, las solicitudes repetidas son la política funcionando tal como se diseñó.