El icono de VPN del iPhone está activo: ¿cubre todas las apps o solo funciona?
Una insignia, tres afirmaciones distintas. Separa qué cubre el perfil, qué hacen las reglas bajo demanda y qué familia de direcciones probaste realmente.
La insignia aparece, la app sigue comportándose como si estuviera en casa y la conclusión obvia es que el túnel está roto. Normalmente no hay nada roto. La insignia informa de una conexión, mientras que la pregunta que hay detrás trata de la cobertura, y son afirmaciones distintas.
Tres condiciones deciden qué afirmación puedes hacer. Hasta que estén resueltas, cualquier resultado de prueba es ambiguo.
Tres respuestas se esconden detrás de un icono
La primera pregunta es qué querías que hiciera el túnel. Llegar a una wiki interna, ocultar tu dirección de un servicio de streaming y proteger una sola app gestionada son tres requisitos distintos que satisfacen tres perfiles distintos.
La segunda es quién es dueño del perfil. Una configuración instalada personalmente se comporta de forma distinta a una que envía un sistema de gestión, y solo la segunda puede llevar reglas por app que iOS aplica. La insignia no puede distinguir las dos.
La tercera es la familia de direcciones en la que estás. Un túnel que transporta IPv4 mientras la red reparte IPv6 deja un camino fuera del túnel. Una prueba que solo llega a un sitio IPv4 nunca lo verá.
Los perfiles por app solo cubren sus propias apps
Un VPN por app es el caso que produce más falsas alarmas. El perfil nombra las apps cuyo tráfico entra en el túnel, y todo lo demás continúa por la red local por diseño. Que tu dirección pública no cambie en el navegador es, por tanto, un comportamiento esperado y no una prueba de fallo. Nada en la barra de estado lo contradice.
Prueba la app para la que se creó el perfil y pruébala contra un recurso que solo exista dentro. Una petición interna correcta desde la app nombrada describe una configuración que funciona. Una dirección pública normal en Safari describe entonces un perfil por app que hace exactamente lo configurado.
Las reglas bajo demanda cambian lo que observas
La configuración bajo demanda decide cuándo se establece una conexión, no si el tráfico está cubierto. Una regla puede levantar el túnel cuando se solicita un dominio concreto y bajarlo cuando la petición termina, lo que significa que la insignia que aparece y desaparece durante el uso normal es el diseño funcionando. Lee las reglas antes de interpretar la insignia.
Ese comportamiento también explica resultados que parecen incoherentes a lo largo del día. La misma app puede ir por el túnel a las diez de la mañana y directa al mediodía, porque cambió la condición del disparador y no la política.
Una sonda no es una prueba de cobertura
Una sola comprobación en el navegador demuestra que una petición siguió un camino, y nada más. No dice nada sobre una segunda app con su propia pila de red, una sincronización en segundo plano que se ejecutó antes de que el túnel subiera, o una conexión que sobrevivió a un cambio de red porque el socket antiguo nunca se restableció. Ese hueco es un problema de alcance, no una fuga.
| Observation | Decide this first | Then test |
|---|---|---|
| Badge on, public address unchanged | Is the profile per-app? | The named internal app, not a browser |
| Badge flickers during the day | Are on-demand rules present? | Whether the flip follows a trigger domain |
| Internal app works, another fails | Is that app in the profile? | Its own settings and any proxy config |
| Nothing works while badge is on | Is this a path failure? | Name resolution and a known-good internal host |
La cuarta fila es la única que señala un fallo. Un túnel conectado con resolución de nombres rota, una ruta de retorno ausente o un servicio que simplemente está caído se ven iguales desde el punto de vista de la app.
Qué registrar antes de escalar
Anota el nombre del perfil, si vino de un sistema de gestión, si hay reglas por app y la hora exacta de la petición fallida. Añade la familia de direcciones que probaste y la app desde la que probaste. Ningún número en pantalla sustituye a esa lista. Ese registro separa una cuestión de cobertura de una caída en un solo intercambio.
Ten también presentes los fundamentos de seguridad. Un túnel no sustituye la validación de certificados, la protección de la cuenta ni los permisos del dispositivo. Un icono junto al estado de la red no es prueba de que ninguno de ellos esté configurado, y tratarlo así es como se hace una afirmación de privacidad a partir de una insignia.
La descripción general de despliegue de VPN de Apple describe los tipos de perfil y el comportamiento bajo demanda que hay detrás de estas diferencias. Léela antes de discutir con un sistema de gestión sobre qué debería cubrir un perfil.