VPN personal o túnel de paquetes: dos modelos de VPN para iPhone
Un modelo configura el IPsec o IKEv2 integrado de iOS; el otro incluye un proveedor que implementa su propio protocolo. El nombre del producto no dice cuál has recibido.
Dos aplicaciones de iPhone pueden ambas colocar una entrada de VPN en Ajustes, ambas llamarse clientes de VPN y no compartir casi ninguna implementación. Apple llama VPN personal a una de esas integraciones, y ese nombre produce la mayor parte de la confusión. VPN personal es una API para crear y gestionar configuraciones que usan la implementación integrada de IPsec o IKEv2. Un proveedor de túnel de paquetes es el otro modelo: la aplicación incluye una extensión que implementa el lado cliente de su propio protocolo. Todo lo que la gente infiere después de la etiqueta, desde los cifrados hasta la propiedad y hasta si el teléfono debe gestionarse, es inferencia y no declaración.
Quién implementa el túnel
La división decide quién es responsable cuando algo falla. Con IPsec o IKEv2 integrados, iOS posee la máquina de estados del túnel y la aplicación posee la configuración y los botones. Con un proveedor, la aplicación posee ambas cosas, así que un error de protocolo se convierte en una actualización de la aplicación en lugar de una del sistema operativo.
La comparación es breve si preguntas quién implementa el protocolo.
| Integration | Apple interface | Protocol implementation |
|---|---|---|
| Personal VPN | NEVPNManager with a Personal VPN configuration | The system IPsec or IKEv2 client |
| Packet tunnel | NETunnelProviderManager plus the provider extension | Whatever the extension implements |
La documentación de VPN personal también menciona el aviso explícito de autorización del usuario cuando una aplicación guarda una configuración por primera vez, lo que pertenece a ese modelo y no a las aplicaciones de VPN en general.
Dos afirmaciones sobre la etiqueta que conviene retirar
La primera es que VPN personal selecciona un cifrado. No lo hace; el conjunto negociado procede del protocolo y de su configuración, y una etiqueta Personal no dice nada sobre cuál obtendrás. La segunda es que VPN personal implica un proxy o un túnel limitado. Implica IPsec o IKEv2 integrados, que es un túnel completo siempre que las rutas lo digan.
Por tanto, la presencia de una aplicación no es prueba sobre el protocolo de cable. Un cliente de terceros que habla WireGuard u OpenVPN es por construcción una aplicación de proveedor, porque iOS no implementa esos protocolos de forma nativa.
Por qué la redacción empresarial engaña
La documentación de Apple clasifica las configuraciones de NETunnelProviderManager como configuraciones VPN empresariales normales. Esa redacción es una categoría de API, y empuja a la gente hacia dos errores opuestos: suponer que una aplicación de consumo no puede usar el modelo de proveedor, y suponer que el teléfono debe estar supervisado para ello. Ninguna de las dos se sigue. Las aplicaciones de consumo incluyen proveedores de forma habitual, y la supervisión es una cuestión aparte sobre quién puede aplicar políticas.
La propiedad de la gestión es esa cuarta cuestión, y es independiente de ambos modelos. Una configuración instalada por una organización lleva su propia identidad, alcance de tráfico y reglas de ciclo de vida, y esas viajan con el perfil y no con la aplicación que esté instalada. Léelas junto al modelo de integración, porque un perfil integrado gestionado y un perfil de proveedor no gestionado pueden estar en un mismo teléfono al mismo tiempo.
Comprueba la evidencia en lugar de la captura de pantalla
Las capturas de pantalla son la peor evidencia disponible, porque la agrupación de Ajustes cambia entre versiones. Un perfil gestionado nombra su propio tipo de carga: un perfil integrado declara un tipo de VPN como IKEv2 o IPsec, mientras que un perfil de proveedor lleva un subtipo que nombra el identificador de paquete del proveedor. Eso es comprobable en el dispositivo que tienes delante, y sobrevive al siguiente rediseño.
En cuanto a la aplicación en sí, la clase en uso responde a la misma pregunta desde el otro lado: objetos de configuración de la API de VPN personal, o un gestor de proveedor y su extensión.
Luego elige según lo que el operador suministra realmente. Donde existe un perfil nativo compatible, la vía integrada tiene menos piezas móviles y una cosa menos que actualizar. Donde el servicio necesita un protocolo que iOS no incluye, una aplicación de proveedor es la única opción y su ritmo de versiones pasa a formar parte de tu riesgo.
Conserva el registro con la conexión
Vincula la autenticación y la política de recursos al registro de conexión y no a la aplicación, para que una reinstalación no se lleve el modelo de autorización. Ese registro es también lo que necesita un ingeniero de soporte cuando el túnel se levanta y nada más funciona.
La pregunta que merece la pena hacerse al final no es qué modelo es mejor. Es qué modelo admite tu operador, y cuál puedes depurar a las dos de la madrugada con las herramientas que realmente tienes.