¿VPN por aplicación o split tunneling? Qué puede decidir una ruta de Mac

Dos aplicaciones abren conexiones al mismo servidor de oficina, y solo una de ellas debería usar el túnel. Una ruta no puede expresar ese deseo, porque las tablas de enrutamiento se basan en destinos y no tienen noción de qué proceso abrió el socket. Lo que la gente pide y lo que necesita suelen ser cosas distintas. Separe ambas antes de cambiar cualquier configuración.

El selector es un destino, nunca un proceso

Toda decisión de enrutamiento empieza en una dirección de destino y termina en una interfaz. El núcleo nunca pregunta qué binario envió el paquete, y en macOS pf tampoco enruta por proceso, así que una regla de cortafuegos no puede poner una aplicación en otra ruta. Por eso el mismo servidor, alcanzado desde un navegador y desde una herramienta de informes, toma un solo camino para ambos. La separación a nivel de aplicación tiene que venir, por tanto, de algo distinto de una ruta: un complemento de VPN que posee el socket, un proxy que toma la conexión en nombre de la aplicación o una pila de red aparte. Nada de eso es un cambio de enrutamiento.

Dos aplicaciones que hablan con una misma dirección son la prueba más limpia de un diseño. Si la respuesta no puede diferir entre ellas, el diseño se basa en el destino, se llame como se llame.

Qué aporta realmente un split tunneling corriente

Un split tunnel instala rutas para los prefijos privados y deja todo lo demás en el camino físico. Eso es normalmente lo que significa la petición: llegar al servidor de oficina por el túnel y mantener la navegación pública directa. Es sencillo, todos los clientes habituales lo admiten y lo impone el mismo mecanismo que cualquier otra ruta. Compruebe el destino concreto con route -n get en lugar de leer la ruta predeterminada, porque un split tunnel a menudo la deja intacta.

Editar la ruta predeterminada a mano no es una conversión a nada. Pelea contra la propia restauración de rutas del cliente y, en clientes que instalan una política de protección, puede dejar la máquina en un estado que ni usted ni el cliente esperan. Configure el split tunnel en los ajustes compatibles del cliente.

Qué exige una VPN por aplicación en macOS

Una VPN por aplicación real en macOS es una función de Network Extension guiada por un perfil de configuración. Una carga de gestión asigna aplicaciones elegidas a una configuración de VPN, y el sistema enruta después el tráfico de esas aplicaciones en consecuencia. Es un despliegue gestionado, lo que implica un MDM, un perfil firmado y un administrador que posea ambos.

Instalar el cliente a mano no crea esa asignación, y el panel de ajustes ordinario no hace que las aplicaciones se puedan seleccionar individualmente. Un proveedor puede exponer sus propias reglas de aplicación, y esas siguen su documentación en lugar de una regla general.

Tres vías para separar por aplicación sin MDM

Donde no hay gestión disponible, un proxy es la respuesta práctica. Configure el proxy propio de la aplicación o use un archivo PAC que seleccione por destino y protocolo solo para esa aplicación.

Un proxy local termina la conexión y la reemite por el túnel, de modo que la aplicación nunca necesita una ruta. La segunda opción es una pila de red aparte: una máquina virtual o un contenedor con su propia ruta predeterminada, al que la aplicación llega por una dirección local. La tercera es aceptar el enrutamiento por destino y abandonar el requisito, lo que es honesto cuando ambas aplicaciones pueden usar el túnel. Las tres son comprobables, y ninguna finge que una ruta conozca los procesos.

Redacte la petición para que la respuesta no admita dudas

Describa el flujo de trabajo en lugar del mecanismo: qué aplicación necesita qué servicio, si otra aplicación debe mantenerse lejos de ese mismo servicio y qué debe ocurrir mientras el túnel está caído. Esas tres respuestas eligen el diseño. También le dicen al administrador si la petición es un cambio de enrutamiento o un proyecto de despliegue.

Incluya explícitamente el caso de la aplicación excluida. Un cliente que detiene una aplicación cuando su camino protegido no está disponible se comporta de forma distinta a uno que la deja caer a la interfaz física, y los usuarios notan esa diferencia de inmediato. Nombre la expectativa en el ticket. Luego verifique en la máquina real, porque el mismo producto suele comportarse de forma distinta en macOS que en Windows, y su documentación de macOS es la única fuente fiable sobre lo que hacen sus ajustes.