El VPN bajo demanda del iPhone se conecta al Wi-Fi de la oficina, no a la red móvil

A las nueve, el teléfono se une a la red inalámbrica de la oficina, y el túnel sube solo y se queda ahí todo el día. La red móvil después se comporta exactamente como todos pretendían. Alguien añadió una exclusión para la red corporativa hace semanas, así que el perfil se revisa limpio, y cada mañana sigue produciendo el mismo resultado. El dispositivo sigue la lista que se le dio, y la lista dice algo distinto de lo que creía su autor.

La lista se lee desde arriba, y la primera coincidencia gana

Las entradas se evalúan en orden. La primera cuyas condiciones se cumplen decide el resultado para ese momento, y todo lo que hay debajo nunca se mira. El orden, por tanto, lleva tanta carga de significado como cualquier condición escrita dentro de una regla. Leer la matriz desde arriba explica un perfil que parece ignorar una exclusión que claramente contiene.

Una entrada general de conexión inalámbrica colocada por encima de la exclusión de la oficina garantiza un túnel en el sitio. No hace falta mover nada más de la carga para que el comportamiento se invierta.

Una entrada de desconexión hace dos trabajos

Cuando la acción es Desconectar, la entrada cierra una sesión que ya se ejecuta y bloquea una nueva mientras sus condiciones sigan siendo ciertas. Ambas mitades importan para una exclusión, y la segunda tiende a olvidarse. La misma entrada en un segundo perfil explica una planta donde el VPN se niega a arrancar mientras el resto del edificio funciona. Nadie tocó el túnel; lo hizo la lista.

La tabla muestra la forma, la exclusión primero, con nombres que deben venir de tu propio despliegue. Normalmente dos entradas bastan, y una tercera para la red móvil mantiene previsible el resto.

Mantén ambas condiciones en la exclusión

Empareja el nombre de la red con el tipo de interfaz. Un nombre por sí solo puede dispararse en un enlace compartido que lleve la misma etiqueta, mientras que un tipo de interfaz por sí solo excluye todas las redes inalámbricas que el usuario visita ese día. Ambas mitades pertenecen a una entrada, no a dos reglas que casualmente están una al lado de otra.

La comparación del nombre es exacta y distingue mayúsculas de minúsculas. Eso encaja con una red conocida y crea tensión en todos los demás casos, porque las redes de invitados reutilizan etiquetas familiares, las sedes se renombran tras una fusión y un escritorio cableado no lleva nombre alguno. Pide al equipo de red la etiqueta exacta en lugar de leerla de un cartel en la pared.

Cuando una sonda supera a un nombre

Una entrada de sonda solicita una URL y lee una respuesta correcta como condición cierta. Elige un host que solo responda desde dentro, como un servicio de intranet que no pueda resolverse públicamente, y la regla deja de importarle cómo se llama la red a sí misma. Una sonda que responde desde cualquier lugar prueba internet, no el edificio. La propiedad que decide si esto funciona es que la respuesta llegue sin redirección; un portal de invitados que rebota cada petición convierte la sonda en ruido.

Las reglas basadas en dominio son una forma aparte: NEEvaluateConnectionRule coincide con los dominios solicitados y puede conectar cuando se resuelve un nombre. Su comodín solo se acepta como la etiqueta más a la izquierda, así que *.example.com es válido mientras que example.*.com no lo es. Si un perfil no usa ni condiciones de interfaz ni sondas de alcance, comprueba si en su lugar usa ese tipo de regla.

Lo que las reglas bajo demanda no controlan

Las reglas eligen si un túnel arranca y no tienen voz en mantenerlo funcionando. Una sesión que aparece y luego desaparece minutos después apunta a temporizadores de inactividad, límites de sesión de la pasarela o el tamaño de la ruta. Cada uno deja una huella distinta, y por eso conviene descartar la lista de reglas antes de cambiar cualquiera de ellos. Los ajustes de keep-alive no explican ese patrón, y cambiarlos traslada el trabajo sin tocar la causa.

Los usuarios pueden desactivar la función bajo demanda en Ajustes, y una asignación gestionada puede restaurarla en el siguiente registro. Cuando el interruptor sigue volviendo a su posición anterior, la asignación es la parte activa. La distinción importa, porque la aplicación forzosa vuelve sola mientras que una oferta se queda desactivada.

Confirma qué grupo de perfiles posee el dispositivo y si la intención es imponer el túnel o solo ofrecerlo. Esa respuesta decide si la preferencia del usuario cuenta como un error o como una función.