El iPhone pide permitir una configuración de VPN: compruébelo antes de tocar

Tocó algo en una app de VPN y iOS respondió con un diálogo que no esperaba: la app quiere añadir configuraciones de VPN, con «No permitir» y «Permitir» debajo. Ese diálogo es el permiso de enrutamiento del sistema y aparece una vez por cada configuración que la app intenta instalar. Permítalo cuando abrió la app y quería conectarse; toque «No permitir» cuando la solicitud llegó mientras hacía otra cosa, y luego averigüe qué la puso en pantalla. Nada en el texto le dice si el proveedor merece confianza — solo registra que iOS está a punto de entregar parte de la pila de red a esta app.

Qué le pide iOS que apruebe

Una app corriente no puede tocar la ruta de los paquetes. Un cliente de VPN debe construirse sobre el marco NetworkExtension de Apple y firmarse con el derecho Personal VPN; cuando quiere un túnel, crea un objeto de configuración y pide al sistema que lo guarde, y esa llamada de guardado es la que muestra el diálogo. La formulación cambia entre versiones — las recientes dicen añadir configuraciones de VPN, las antiguas añadir una configuración de VPN — pero el significado es fijo: una app que usted instaló quiere una entrada permanente en Ajustes > General > VPN y gestión del dispositivo.

La entrada es permanente por diseño. Sobrevive a los cierres de la app y a los reinicios, puede reconectar mientras la app está cerrada y puede llevar reglas bajo demanda que levantan el túnel cuando se une a una red. Es exactamente por eso que iOS pregunta en lugar de hacerlo sin más, y por eso la respuesta se guarda en vez de pedirse de nuevo en cada conexión.

Lea el diálogo antes de tocar «Permitir»

Trate el diálogo como una afirmación que puede comprobar en unos segundos. Deténgase en el primer punto que falle.

• El nombre del diálogo coincide con una app que instaló. Un diálogo atribuido a algo que no reconoce es motivo para tocar «No permitir» y seguir mirando, no una cosa que probar.
• Estaba dentro de esa app cuando apareció. La configuración inicial y los botones de conexión son los desencadenantes habituales.
• La app no se ha actualizado ni reinstalado hace un momento sin usted. Una versión nueva puede añadir una configuración y volver a preguntar.
• Nadie le pide su Apple ID, un número de tarjeta ni un código de un mensaje. El diálogo de VPN nunca quiere eso, así que un diálogo que lo pide es otro diálogo.

Cuando se cumplen las cuatro condiciones, «Permitir» es una respuesta razonable para un proveedor que eligió a propósito. Si no está seguro, toque «No permitir»; la app volverá a preguntar la próxima vez que guarde, y no pierde nada esperando una hora.

Verifique la configuración después de permitir

La aprobación empieza la comprobación, no la termina. Abra Ajustes > General > VPN y gestión del dispositivo y mire el bloque de VPN. Debería ver una fila con el nombre de la app o del perfil que instaló, con una línea de estado y un botón de información. Toque ese botón para leer la dirección del servidor, el nombre de la cuenta si lo hay y si «Conectar bajo demanda» está activado.

Luego decida de quién es la fila. Una VPN personal que creó desde una app es suya para editarla y borrarla; una fila que dice que la gestiona una organización no lo es, y su eliminación pasa por quien inscribió el dispositivo. Ver las dos significa que dos autoridades distintas comparten el dispositivo, y debería saber cuál lleva su tráfico ahora mismo.

Último paso: conéctese una vez y confirme que el tráfico sigue de verdad el túnel. Cargue una página que muestre su dirección pública y compruebe que la dirección pertenece al proveedor, no a su conexión de casa. Si la fila dice «Conectado» y la dirección no ha cambiado, la configuración está instalada pero no enruta, y la solución está en los ajustes de esa pantalla de información, no en la app.

Qué cubre la aprobación y qué no

Permitir da a la app la capacidad de enrutar tráfico bajo su configuración. Es un permiso grande en una dirección y estrecho en la otra. La app puede enviar sus paquetes por sus servidores y puede ver los metadatos que llevan adjuntos: qué direcciones contactó, cuándo y cuánto se movió. No puede leer el interior de una sesión HTTPS y no obtiene sus fotos, mensajes, micrófono ni su Apple ID.

La cobertura también es más estrecha que «todo». Una configuración puede enrutar todo el tráfico o solo algunos destinos, y el túnel por app — donde solo las apps nombradas usan el túnel — lo organiza un gestor de dispositivos, no el toque en «Permitir». iOS mantiene una sola conexión de VPN personal activa a la vez aunque haya varias configuraciones listadas, así que una segunda app no puede tomar el relevo de la primera en silencio mientras esta está conectada.

Revoque el permiso correctamente cuando deje de usar el servicio

Borrar la app no es una forma fiable de quitar la configuración. Revise la lista de VPN usted mismo y borre la fila desde su pantalla de información si sigue ahí. En un dispositivo que jubila, haga también la parte de la cuenta: cierre la sesión en el panel del proveedor o revoque el dispositivo allí, porque una fila local borrada no hace nada con una sesión que el servidor sigue considerando válida.

Los dispositivos gestionados son la excepción. Cuando la fila dice que la instaló una organización, el borrado local o falla o se deshace en la siguiente comprobación, y solo el proceso de retirada de la organización se mantendrá.

Cuando el diálogo vuelve una y otra vez

Un diálogo repetido suele significar que la configuración se está creando de nuevo, no que la primera aprobación fallara. Las causas habituales: la app escribe una configuración nueva en cada inicio y iOS la trata como nueva, una regla bajo demanda descartó la entrada antigua, un perfil se reinstaló desde un gestor de dispositivos, o existen varias configuraciones y la app pregunta por una que nunca notó.

Cuente primero las filas. Si la lista crece cada vez que abre la app, la app no reutiliza su configuración y la solución es del desarrollador o de una reinstalación limpia. Si la lista se queda en una y el diálogo vuelve, busque un perfil de gestión que la reinstale — es una cuestión de política, no un fallo que pueda quitar tocando.

Antes de seguir, confirme tres cosas: la fila de Ajustes es la que aprobó, la dirección que ve conectado pertenece al proveedor y la parte de la cuenta está revocada si ha terminado con el servicio. Esas tres cubren qué concedió el diálogo, qué hace ahora y qué seguirá haciendo después de que el dispositivo salga de sus manos.