Tu Mac reconecta la VPN solo: revisa la regla bajo demanda

Desconectas la VPN y, treinta segundos después, el icono de la barra de menús vuelve a estar ahí. No hay nada embrujado: las reglas bajo demanda de macOS inician una conexión cuando cambia la red o cuando algo pide un nombre que la regla cubre, y la regla puede vivir en un perfil que nunca escribiste. Recorrer las comprobaciones de abajo en orden es más rápido que reinstalar el cliente. La regla es una política, así que lee la política antes de pelearte con ella.

Qué vigila realmente la regla

La regla bajo demanda tiene dos puntos de decisión: la red a la que está conectado el Mac y un dominio que algo intenta resolver. Cualquiera de los dos puede levantar el túnel, y por eso buscar un nombre interno inicia una VPN que nadie abrió. El despliegue también necesita una autenticación que funcione sin una persona presente, y por eso los esquemas basados en certificados dominan las flotas gestionadas.

Junto a la política del sistema puede existir una opción de reconexión por aplicación, así que la primera pregunta es qué mecanismo reconectó el túnel. Comprueba primero la política del sistema, después el cliente y solo al final a quien hizo clic en Desconectar. La mayoría de las preferencias del cliente que parecen responsables no lo son. Ese orden importa porque la política del sistema gana por defecto, y un ajuste a nivel de cliente solo puede explicar los casos que la política no cubre.

De quién es la política y qué cuesta quitarla

Lee el perfil instalado y los controles de cliente admitidos antes de cambiar cualquiera de los dos. Si el Mac está gestionado, las condiciones están documentadas en algún sitio, y pedir ese documento es mejor que hacer ingeniería inversa de SSID y dominios desde fuera.

El material de confianza del Mac se comparte con todos los demás servicios que lo usan, así que la revocación es el último paso y no el primero. Elimina el perfil que posee la regla y después confirma que la regla deja de dispararse antes de tocar un certificado. Un perfil a medio quitar es justo la razón por la que la gente concluye que el comportamiento es aleatorio. Los dos comandos que muestran qué hay instalado merece la pena conservarlos:

profiles show -type configuration
scutil --nc list

Qué no demuestra reconectar

Reconectar bajo demanda no dice nada sobre el hueco: mientras el túnel sube, el tráfico aún puede salir por la interfaz física salvo que una política aparte lo retenga. Bloquear antes de que el túnel exista es un ajuste distinto de iniciar el túnel. Una máquina que reconecta con rapidez aún puede filtrar durante los primeros segundos.

El alcance de las rutas es una tercera pregunta, porque una regla que inicia el túnel no dice nada sobre qué prefijos transporta. Confirma qué enruta la conexión en lugar de suponer que reconectar significa cobertura completa. Pruébalo a propósito: cierra el cliente, confirma que el servicio está detenido y luego solicita el recurso que la regla debe proteger.

Apunta el desencadenante, no el icono

Apunta qué levantó el túnel: unirse a una red, abrir una aplicación, resolver un nombre privado, despertar del sueño. Fíjate en cuándo ocurre y no solo en que ocurrió, porque la secuencia es la prueba. Un desencadenante concreto vale más que una captura del icono.

Después verifica el recurso una vez que la conexión sube. La barra de menús demuestra que un servicio se está ejecutando, no que el destino que necesitas sea alcanzable a través de ella. Esas dos cosas pueden divergir por motivos del todo corrientes, incluida una ruta que apunta a otro sitio.

Cuando la regla inicia la conexión equivocada

Una conexión que se inicia cuando no toca suele venir de un perfil obsoleto, de una condición de dominio más amplia de lo previsto o de dos configuraciones que compiten por la misma red. Las tres son visibles en la configuración instalada, y ninguna se aclara activando y desactivando el servicio.

Lleva el desencadenante, el propietario del perfil y el comportamiento previsto a quien gestiona la política. La documentación de Apple sobre bajo demanda es el vocabulario compartido para esa conversación, y es más corta que la discusión. Pide un cambio de política en lugar de una retirada, y ambas partes conservan una configuración que funciona.