Por qué una VPN por aplicación no alcanza la copia de trabajo de una app de Android

Una misma aplicación aparece dos veces en un teléfono con perfil de trabajo, y las dos copias no son el mismo sujeto. Una VPN por aplicación configurada dentro de un contexto gobierna la instancia de ese contexto, y por eso una regla que nombra el paquete puede dejar intacta la otra copia. No es un fallo que haya que sortear, es la frontera del perfil haciendo exactamente aquello para lo que se diseñó. La pregunta que merece respuesta es qué contexto posee la VPN y cuál posee la aplicación que intentas proteger.

Un icono, dos instalaciones, dos propietarios de la política

Android da al perfil de trabajo su propio contexto gestionado, con aplicaciones, cuentas y política separadas, de modo que el lanzador puede mostrar dos entradas que comparten nombre e insignia. Un servicio VPN iniciado dentro de un contexto opera para los usuarios de ese contexto, y ese es el mecanismo que hay detrás de todo el problema. El icono te dice qué aplicación tocaste, no a qué perfil pertenece el tráfico resultante. Por eso el propietario debe leerse del perfil y no de la imagen.

Una organización también puede imponer un comportamiento siempre activo o de bloqueo sin VPN en el lado gestionado, lo que cambia lo que ocurre cuando el túnel está caído. El lado personal no tiene esa garantía, salvo que la hayas construido tú mismo.

Qué significa realmente una lista de aplicaciones permitidas

La compatibilidad de Android con VPN por aplicación se basa en listas, documentadas en la guía sobre usuarios de VPN y perfiles de trabajo y los dos tipos de lista tienen valores predeterminados opuestos. Una lista de aplicaciones permitidas significa que solo los paquetes nombrados usan el túnel y todo lo demás queda excluido, mientras que una lista de aplicaciones no permitidas significa que todo se incluye excepto los paquetes nombrados. Si lo inviertes, habrás construido lo contrario de la política pretendida mientras la pantalla de ajustes sigue pareciendo plausible. La lista se evalúa dentro del contexto donde se ejecuta la VPN, así que un nombre de paquete presente en ambos perfiles solo coincide con la copia de ese contexto. Un paquete no incluido en el otro perfil simplemente no es asunto de esta VPN.

Escribe el comportamiento para las dos o tres aplicaciones que importan, porque la diferencia entre todo-excepto y solo-estas decide si una aplicación personal se filtra alrededor del túnel o falla de forma cerrada. Una tabla pequeña vence a un párrafo aquí: una fila por perfil, con el tipo de lista y el valor predeterminado para todo lo demás.

Qué lado ejecuta el túnel, y bajo qué política

Una VPN de consumo no levanta los controles de la organización del perfil gestionado, y una VPN de perfil de trabajo no es un túnel general para aplicaciones personales. Si la organización exige su propio cliente para las aplicaciones gestionadas, el cliente personal es un arreglo distinto con su propia política y sus propios modos de fallo. Decide qué mecanismo debe transportar qué tráfico antes de comparar resultados, o estarás midiendo dos sistemas y llamando fallo a la diferencia. Dentro de su propio contexto, el lado gestionado suele ganar, y ese es el comportamiento previsto.

El caso incómodo es una aplicación gestionada que necesita una ruta que la política gestionada no proporciona. Eso es una solicitud de excepción a la organización, no un motivo para desactivar el perfil de trabajo.

Probar la instancia que realmente querías

Abre la copia que te importa e inspecciona la solicitud desde dentro, porque una comprobación de la dirección pública en el navegador personal no dice nada sobre la aplicación de trabajo. Verifica por separado la cuenta conectada y la resolución de nombres interna, ya que un nombre interno puede depender de la ruta gestionada mientras la navegación pública se queda en otro sitio. Anota qué copia produjo qué resultado en el momento de la prueba, y pon el perfil en la etiqueta; una captura con dos iconos idénticos no es una prueba. Repite la comprobación tras una reconexión y después de recrear el perfil, porque la política puede volver a aplicarse entretanto.

Si no puedes decir qué copia respondió, arregla el etiquetado antes de sacar cualquier conclusión. Un resultado ambiguo es peor que ninguno, porque luego se cita como si hubiera resuelto la cuestión.

Documentar la cobertura para que la próxima prueba sobreviva

Registra tres hechos juntos para cada contexto: la instancia de la aplicación, el propietario de la política y la cobertura esperada. Eso basta para que la siguiente persona reproduzca tu prueba sin adivinar qué icono abrió. Añade el tipo de lista y el valor predeterminado para los paquetes no incluidos, porque es la parte que la gente malinterpreta con más frecuencia.

Después verifica un nombre interno y una dirección externa desde cada lado, y anota qué debería pasar cuando el lado gestionado bloquee la VPN personal. Un teléfono en el que ningún lado está cubierto mientras ambos parecen conectados es el fallo contra el que merece la pena diseñar. Cuando ambos perfiles necesiten de verdad un túnel, planifica dos arreglos en lugar de una regla ingeniosa.