El Wi-Fi se conecta solo; la VPN necesita una asociación secundaria

El portátil se une al Wi-Fi antes de que se siente, y la VPN sigue esperando un clic. Configurar la conexión automática en el perfil de VPN no cambia nada, porque ese interruptor rige la activación del propio perfil y NetworkManager trata la VPN como un acompañante de una conexión base. El mecanismo documentado es la lista de conexiones secundarias de la conexión base, y es una propiedad distinta en un lugar distinto.

La conexión automática no es el interruptor de la VPN

Un perfil de Wi-Fi o Ethernet puede activarse solo porque posee un dispositivo. Un perfil de complemento de VPN no posee un dispositivo en el mismo sentido; se inicia junto a una conexión que sí lo posee. Por eso el indicador de conexión automática en la VPN parece correcto, se guarda bien y no produce ningún túnel. El indicador responde a una pregunta sobre el perfil, no sobre la red que necesita.

Leer el modelo así también explica el modo de fallo. La base se conecta, nada pide a la VPN que se inicie, y el escritorio muestra una VPN desconectada junto a una red conectada. Nada está roto; la asociación nunca se hizo.

Identifique ambos perfiles por UUID

nmcli -f NAME,UUID,TYPE connection show

Elija el perfil de Wi-Fi o Ethernet que debería desencadenar el túnel y luego el perfil de VPN previsto. Use UUID en lugar de nombres, porque un nombre es una etiqueta que se puede duplicar o editar, y un UUID es lo que realmente resuelve la ruta de activación.

No confunda el nombre de un perfil con el nombre de una interfaz o una dirección que la máquina tiene ahora. Son tres identificadores distintos que casualmente se parecen en un terminal, y mezclarlos produce una modificación dirigida a nada.

Añada la VPN a la conexión base

nmcli connection modify uuid "PRIMARY_UUID" +connection.secondaries "VPN_UUID"

La forma con signo más añade a la lista existente; omitirlo reemplaza la lista, lo que elimina en silencio cualquier otra conexión secundaria ya configurada. Revise primero el valor actual y anótelo antes de cambiar nada.

La configuración de conexiones de NetworkManager describe las secundarias como conexiones VPN iniciadas junto con la conexión base. Que un perfil nativo de WireGuard sea el mismo tipo de objeto depende de cómo lo gestione NetworkManager, así que el mismo comando puede ser la herramienta equivocada para un túnel que aparece como interfaz en lugar de como complemento de VPN.

Esto es un cambio de política de conexión, no un conmutador en tiempo de ejecución. Aplíquelo mediante el proceso de reconexión que apruebe el despliegue, y espere que la primera activación tras el cambio se comporte de forma distinta a la sesión en la que está ahora.

Los secretos no forman parte de la asociación

Una entrada secundaria dice «inicia esto con aquello». Nada en ella entrega una contraseña, desbloquea un llavero ni responde a un aviso. Un perfil que se autentica sin problemas tras un inicio de sesión de escritorio aún puede fallar cuando se activa en un contexto donde el agente de secretos no está disponible.

Use el arreglo de sistema o de agente de secretos admitido para el despliegue real. Guardar la contraseña de todos en un script para que el túnel pueda iniciarse sin supervisión convierte un diseño de autenticación en un archivo que sobrevive al empleo de su dueño.

Lea ambos eventos y luego compruebe el recurso

Observe la conexión base y la activación de la VPN durante un intento. Un evento de VPN ausente significa que el desencadenante nunca se configuró o que el UUID es incorrecto. Un evento de VPN seguido de un fallo de autenticación significa que el desencadenante se ejecutó y el problema restante son las credenciales, que es otra corrección.

Tras la activación, solicite el recurso que motivó la configuración en lugar de confiar en el icono. Luego desconecte a propósito y observe qué ocurre después, porque una asociación de inicio automático no es un interruptor de seguridad y no promete reintentos infinitos. Si el requisito es «ningún tráfico sin el túnel», eso es una política aparte que necesita su propia configuración y su propia prueba. Confundir ambas es cómo una máquina acaba reconectando en bucle mientras el usuario cree que está protegido.