Alcance del tráfico IKEv2 en el iPhone: quién decide la cobertura

Buscas un interruptor Enviar todo el tráfico en un iPhone y no está. En un perfil IKEv2 nativo, el alcance del enrutamiento lo decide el perfil que se entregó, no un control que el usuario pueda cambiar, así que rebuscar en Ajustes el interruptor que falta desperdicia una tarde. El movimiento correcto es pedir al propietario del perfil el contrato de tráfico por escrito y luego verificarlo con solicitudes reales. Esta guía lo hace en cinco pasos.

Consigue el contrato por escrito antes de mirar el teléfono

Cuatro resultados necesitan respuestas separadas: si la navegación por internet debe usar la puerta de enlace, si solo deben hacerlo los recursos privados, qué redes locales y servicios del sistema quedan fuera del túnel, y qué ocurre mientras el túnel no está disponible. Son requisitos distintos y los satisfacen claves distintas. Un perfil que lo cubre todo y un perfil que cubre una sola subred pueden verse idénticos en la pantalla de resumen del dispositivo.

Establece también quién es el propietario del perfil. Si lo entregó un servicio de gestión, los valores viven en esa consola y una edición manual en el teléfono es, como mucho, un cambio local temporal. Si nadie puede nombrar al propietario, trata eso como el hallazgo y detente; adivinar la cobertura desde el teléfono no producirá una respuesta defendible.

Pide los cuatro valores que deciden el alcance

La clave de cobertura es IncludeAllNetworks, documentada por Apple como introducida en iOS 14, y es lo que hace que la conexión lleve tráfico de forma amplia y no solo hacia las direcciones que empuja la puerta de enlace. La excepción local es ExcludeLocalNetworks, disponible desde iOS 14.2, y su valor predeterminado documentado en iOS es 1, que difiere del predeterminado de macOS, 0. Pregunta qué valor lleva cada clave en la carga real en lugar de suponer un predeterminado de plataforma a partir de una guía pensada para Mac.

Después pregunta por el DNS, porque qué resolución recibe los nombres privados y públicos forma parte del mismo contrato y tiene su propio requisito de alcanzabilidad. Un túnel que lleva todo el tráfico pero deja los nombres privados en una resolución pública parecerá un túnel roto a cada usuario que escriba un nombre de host corto. Prueba ese caso primero, porque es el más barato de reproducir y el que los usuarios denuncian como la VPN que no funciona.

Comprueba el mínimo de versión antes de firmar

Cada una de estas claves tiene una versión mínima, y un perfil que lleva una clave que el iOS instalado no conoce no es un éxito parcial. Las claves de exclusión adicionales que cubren notificaciones push y servicios móviles también tienen sus propios mínimos, así que una carga montada para una flota puede aplicarse a medias en una más antigua. Anota la versión de iOS instalada junto a la versión de la carga en el registro de despliegue. Una carga que se aplica a medias es peor que una que se niega a instalarse, porque el dispositivo informa de un túnel sobre el que no puedes razonar.

No instales un perfil no identificado solo para revelar un control que prometía una captura de pantalla de una versión anterior. Si la configuración suministrada no incluye una clave, la clave no está en vigor, diga lo que diga la pantalla de resumen.

Verifica con tráfico, no con la posición de un interruptor

Tras el aprovisionamiento, abre el recurso privado previsto y una página pública corriente, y confirma que ambos toman el camino que describe el contrato. Después pon el teléfono en la red móvil, repite ambos y comprueba el comportamiento que documentaste para el caso no disponible en lugar de inventarlo durante la prueba. Incluye una transición permitida de Wi-Fi a red móvil, porque es donde un perfil de alcance estrecho suele mostrarse.

Mantén un despliegue Always On gestionado y supervisado fuera de esta comparación. La activación automática y el enrutamiento amplio en un perfil personal no establecen esa política gestionada, y lo contrario también es cierto. Prueba un arreglo a la vez en un solo dispositivo, porque un teléfono con dos perfiles VPN confundirá cada resultado que recojas.

Vuelve a un perfil conocido

Cuando el comportamiento es incorrecto, elimina el perfil y reinstala la última carga buena conocida en lugar de editar claves en el dispositivo. Después confirma que la cobertura anterior ha vuelto de verdad repitiendo las mismas dos solicitudes. Una reversión que restaura el perfil pero no el enrutamiento no es una reversión, y la descubrirá un usuario y no la prueba.

Archiva la versión de la carga, los cuatro valores y el resultado de la verificación juntos, para que el siguiente cambio parta de una línea base documentada y no de una captura de pantalla.