La app del iPhone no encuentra dispositivos locales con la VPN activa
Dos puertas deciden si una app del iPhone puede llegar a una impresora o un televisor a través de una VPN: el permiso de Red local y las rutas propias del túnel. Compruébalas en orden.
Tu aplicación de impresión muestra una lista vacía, la aplicación de cámara informa de que no ha encontrado ningún dispositivo y el botón de emisión de una aplicación de vídeo gira hasta rendirse. El icono de VPN está en la barra de estado, el teléfono tiene cobertura completa y Safari carga páginas sin problema, así que nada de la conexión parece roto. Luego abres los ajustes de la propia aplicación y no encuentras nada que activar.
Me topé exactamente con este muro con una impresora de etiquetas en una red doméstica: a la aplicación nunca se le había concedido acceso a la red local, y el perfil que estaba probando era un túnel completo que se tragaba cada paquete dirigido a 192.168.1.0/24. Dos puertas independientes estaban cerradas, y abrir una no habría eliminado el síntoma.
Dos puertas entre una aplicación y una impresora
La primera puerta es una decisión de privacidad que pertenece al sistema operativo y no a la aplicación. iOS decide si una aplicación puede enviar tráfico a direcciones de la red local, y pregunta al usuario la primera vez que la aplicación lo intenta. La segunda puerta es la tabla de rutas. Un paquete dirigido a 192.168.1.50 sale por Wi-Fi hacia la impresora o entra en el túnel, y esa elección está escrita en el perfil de VPN.
Las dos puertas fallan de formas distintas, y eso es lo que hace posible el diagnóstico. Un permiso denegado hace fallar la propia llamada de socket de la aplicación, así que no tiene nada que informar y vuelve a un estado vacío genérico. Un problema de enrutamiento parece un tiempo de espera agotado, porque los paquetes salieron del teléfono y murieron en algún punto del otro lado. Misma pantalla en blanco, distinta reparación.
Lee el estado del permiso antes de tocar la VPN
Abre Ajustes, luego Privacidad y seguridad, luego Red local. Cada aplicación que ha solicitado acceso aparece ahí con un interruptor. Apple ha movido y renombrado partes de esta pantalla entre iOS 14 e iOS 18, así que si la entrada no está donde la esperas, escribe Red local en el campo de búsqueda de Ajustes en lugar de recorrer el árbol.
Lo que pilla a la gente es el aviso único. iOS pregunta cuando una aplicación toca la red local por primera vez, y solo entonces. Pulsa No permitir y el aviso no vuelve en el siguiente arranque; el interruptor es la única vuelta atrás, y empieza desactivado. Reinstalar la aplicación reinicia la decisión, por eso algunos hilos de solución de problemas afirman que una reinstalación arregló el descubrimiento. Lo hizo, al borrar la denegación.
En un iPhone supervisado o gestionado el interruptor a veces aparece en gris. Una carga de preferencias de privacidad enviada por MDM puede predefinir o bloquear el acceso a la red local, y un interruptor bloqueado que está desactivado significa que la reparación es un cambio de política y no un cambio de teléfono. Apple documenta el aviso y el interruptor por aplicación aquí: support.apple.com/en-us/102229.
Comprueba qué enruta realmente el túnel
Un túnel completo toma 0.0.0.0/0 y, con ello, todos los rangos privados. Los paquetes para 10.x, 172.16.0.0/12 y 192.168.x.x viajan al servidor, que normalmente los descarta o los traduce a su propia subred, así que la impresora queda inalcanzable incluso después de conceder el permiso. Un túnel dividido hace lo contrario, pero solo para los rangos que enumera el perfil.
Los perfiles IKEv2 creados con Apple Configurator o distribuidos como .mobileconfig expresan esto como un ajuste de enviar todo el tráfico más, en modo dividido, una lista explícita de redes locales que excluir. Las aplicaciones cliente basadas en NEPacketTunnelProvider expresan la misma decisión mediante includedRoutes. Ninguno de los dos es visible desde la barra de estado, y ambos anulan lo que la aplicación espera ver.
Esta es la prueba que uso. Con la VPN conectada, abre la página de administración del router por su dirección LAN en Safari. Si los sitios públicos cargan mientras esa página agota el tiempo, tu rango privado está dentro del túnel. Si la página carga, el tráfico local sigue saliendo por Wi-Fi y el bloqueo está en otro sitio.
Asigna el síntoma a la puerta
Dos aplicaciones en el mismo teléfono pueden discrepar, porque el permiso se concede por aplicación mientras que las rutas se conceden por perfil. Compara qué falla antes de cambiar nada: el patrón suele nombrar la puerta por sí solo.
| What you see | Gate | Next step |
|---|---|---|
| Device list stays empty, Local Network switch is off | Permission | Enable the switch, force-quit the app, reopen it |
| Switch is on, router page times out, public sites load | Routing | Exclude the local range in the profile, or move to a split tunnel |
| Both pass, direct IP works, discovery stays empty | Link-local multicast | Enter the device address by hand, or check profile discovery support |
| Works by IP address, never by name such as printer.local | Name resolution | Fix mDNS reachability or use the numeric address |
| Everything fails with the VPN off, on hotel Wi-Fi | Client isolation | Change network, do not change permissions |
La fila de mDNS merece una nota. El tráfico de descubrimiento de Bonjour y de la mayoría de los protocolos de emisión va por multicast a 224.0.0.251 y ff02::fb con alcance de enlace local, y un túnel enrutado no lo transporta. Por eso un dispositivo puede responder a una conexión directa sin aparecer nunca en una lista.
Prueba la operación, no el icono
Después de cambiar el interruptor de Red local, fuerza el cierre de la aplicación desde el selector y vuelve a abrirla. Un proceso en ejecución puede conservar el estado denegado anterior al cambio, y una aplicación que sigue devolviendo una lista vacía se ve igual tanto si el permiso funcionó como si no. Luego ejecuta una acción concreta, como imprimir una página de prueba o iniciar un vídeo, en lugar de esperar a que se llene una lista de dispositivos.
Mantén fijo el perfil de VPN durante la comparación. Si el descubrimiento solo empieza a funcionar después de desconectar, has aprendido que el culpable es el túnel y no el permiso. Cambia una sola variable por intento, porque si no la siguiente prueba no te dice nada.
Arréglalo en este orden
La secuencia de abajo es la que sigo ahora, porque nunca deja un teléfono en un estado a medio cambiar donde la siguiente prueba resulta ilegible.
- Confirma que la aplicación aparece en Privacidad y seguridad, Red local, y que su interruptor está activado.
- Fuerza el cierre, vuelve a abrir la aplicación y reintenta la operación real una vez.
- Abre la página del router por su dirección LAN mientras estás conectado para demostrar si el rango privado va por el túnel.
- Si va por el túnel, edita el perfil para excluir las redes locales, o pide a quien sea dueño del perfil que lo haga.
- Si el interruptor está en gris, trata el dispositivo como gestionado y dirige la solicitud al administrador.
Normalmente solo se aplica una de estas causas. Si ninguna cambia el resultado, los sospechosos restantes son la propia red, como el aislamiento de puntos de acceso o una lista de clientes permitidos ligada a direcciones Wi-Fi, y la tabla de correspondencia de arriba señala cuál.