¿Mantener siempre activa la VPN del iPhone? Dos requisitos deciden

Dos personas dejan el mismo perfil de VPN activado todo el día y obtienen un valor distinto de él. Una llega a una aplicación de trabajo privada sin pensarlo; la otra mantiene un túnel personal en marcha sobre todo por costumbre. Ambas ven el mismo indicador en la barra de estado, y ese indicador es lo único que comparten los dos arreglos.

La decisión no es si la cobertura permanente parece más segura. Es qué requisito está pagando, qué hace el cliente cuando la puerta de enlace no es accesible y cuánto de su tráfico puede ver el operador elegido. Responda esas tres y el interruptor deja de ser cuestión de gusto.

Dos tareas que comparten un icono

La primera tarea es el acceso: un conjunto concreto de recursos privados debería ser accesible al abrir la aplicación, desde donde esté. La segunda tarea es la cobertura: el tráfico que de otro modo cruzaría una red desconocida debería salir por un servicio en el que confía.

Apuntan a configuraciones distintas. El acceso quiere el alcance más estrecho que aún funcione, porque un túnel completo para una aplicación interna envía todo lo demás por una red que nunca se dimensionó para eso. La cobertura quiere el alcance más amplio que pueda tolerar, porque un túnel que solo transporta algunas aplicaciones deja el resto expuesto justo en la red que le preocupaba. La mayoría de los teléfonos mal configurados acaban como una mezcla de ambos, por eso el requisito debe nombrarse antes de elegir el perfil.

Acceso privado de trabajo: el alcance gana a la permanencia

Si el objetivo es llegar a una aplicación interna, la pregunta útil es cuándo se activa el túnel, no si permanece activo. Un arreglo gestionado por aplicación puede enviar solo el tráfico de esa aplicación por la puerta de enlace, lo que mantiene la navegación personal en el camino ordinario y el tráfico de trabajo en el aprobado. Es una forma de control distinta de la de un túnel completo, y cambia lo que significa el indicador. Con alcance por aplicación, el icono puede faltar mientras la aplicación de trabajo sigue llegando a su servicio.

Ese alcance es una decisión de política tomada por quien posee el despliegue, no una preferencia personal que pueda inferirse del comportamiento de la aplicación. Las pantallas de ajustes del cliente no siempre revelan cuál de los varios mecanismos de la plataforma está en vigor, y las etiquetas se solapan de maneras que engañan.

La documentación de Apple distingue la activación condicional, la selección por aplicación y el comportamiento gestionado siempre activo. El interruptor de conexión automática de un cliente de terceros no pertenece por sí solo a ninguna de esas categorías, así que una etiqueta que suena equivalente no debe leerse como una promesa de la propiedad gestionada.

La comprobación práctica es una petición a un servicio que usted sabe interno, hecha con el túnel deliberadamente apagado. Si tiene éxito, el túnel no es el control que cree, y el resto de la configuración merece una segunda mirada antes de confiar en ella.

Navegación cubierta: la política de fallo es el producto

Si el objetivo es la cobertura en redes desconocidas, la parte interesante del producto no es la conexión sino la desconexión. Dos clientes que se conectan automáticamente pueden comportarse de forma completamente distinta en el momento en que la puerta de enlace rechaza o la red lo bloquea.

Una política de bloqueo hace que el tráfico cubierto no esté disponible mientras el túnel no puede establecerse. Es la versión más fuerte de la cobertura y la más disruptiva: una caída se convierte en su caída, y un portal cautivo se convierte en un muro que no puede atravesar para llegar a la página que le dejaría pasar.

Una política de repliegue le mantiene en línea dejando que el tráfico tome el camino ordinario. Es más utilizable y más débil por definición, porque el momento exacto en que el túnel falla es el momento en que el tráfico sale sin cifrar por la red en la que esté. El tráfico sale igualmente, y sale por la red en la que no confiaba. Ese es el intercambio, dicho sin el marketing.

Ninguna de las dos es incorrecta, y el error es descubrir durante un viaje cuál ha comprado. Pruébelo en casa: desactive la capacidad del túnel de conectarse y observe si las páginas cargan. Ese único experimento le dice más que cualquier descripción en la página de marketing de un proveedor.

Lo que el túnel no arregla

Encaminar el tráfico por un solo operador da a ese operador una posición en su camino de conexión. No hace que los sitios que visita sean de confianza, ni sustituye HTTPS, la seguridad de la cuenta o el cuidado sobre qué perfiles instala. Un túnel que termina en la red de un proveedor es un cambio de quién puede observar qué, no la eliminación de la pregunta.

Lo mismo se aplica a la red local. Una VPN puede mantener su tráfico lejos de la red de acceso de un hotel, y no puede impedir que esa red bloquee el túnel mismo o interfiera en la resolución de nombres antes de que el túnel exista.

El rendimiento y la batería pertenecen a la misma categoría de observación honesta. No hay una penalización fija ligada al indicador; la ruta que toma la puerta de enlace, la calidad de la red de acceso, la cantidad de tráfico y la frecuencia de reconexiones mueven el número. Comparar dos configuraciones con el mismo uso es la única medición que significa algo.

Elija para el dispositivo que realmente tiene

En un teléfono personal, elija el comportamiento que encaja con su requisito y anote la política de fallo que ha aceptado. Si eligió cobertura con bloqueo, conserve una forma de llegar a la página de estado del proveedor desde otro dispositivo; si eligió repliegue, sepa que el fallo del túnel es silencioso por diseño.

En un teléfono de trabajo gestionado, la respuesta es la política del administrador, y la ausencia de un control de pausa suele ser deliberada más que un descuido que haya que sortear. Pedir una excepción por el canal normal es más rápido que encontrar un rodeo que la próxima actualización del perfil eliminará.

En cualquier caso, revise la decisión cuando cambie el propósito. Un túnel configurado para una aplicación interna encaja mal con una cobertura de navegación a tiempo completo, y un perfil de túnel completo mantenido para una sola aplicación mueve en silencio mucho tráfico que nunca pensó entregar.