VPN en iPhone: ¿perfil nativo o aplicación del proveedor?

Tres condiciones deciden cómo debe configurarse una VPN en un iPhone: qué protocolo ofrece el servidor, si el teléfono se gestiona personalmente o está supervisado, y qué debe ocurrir cuando cambia la red. Un perfil de configuración nativo y una aplicación del proveedor son mecanismos distintos, no dos formas de introducir la misma dirección. Ajustarlos a esas condiciones evita la mayoría de las configuraciones que fallan tras la primera salida del edificio.

El protocolo es el primer filtro; el segundo es quién controla el dispositivo.

Ajuste el protocolo antes de la App Store

iOS admite configuraciones nativas IKEv2, L2TP sobre IPsec y Cisco IPsec, cada una con sus propias opciones de autenticación y campos de perfil. Otros protocolos, como OpenVPN y WireGuard, llegan mediante una aplicación que usa el marco Network Extension. Un archivo creado para uno no puede seleccionarse como el otro, y por eso un perfil que se importa limpiamente puede no conectarse. Confirme el protocolo del servidor antes de elegir el cliente.

Pida al proveedor la configuración exacta que espera para iOS. Las instrucciones de escritorio suelen dar por sentadas funciones que el teléfono no expone, y una exportación específica para el teléfono elimina las conjeturas.

Un perfil a nivel de sistema o un paquete de aplicación

Un perfil nativo se instala a nivel de sistema, así que la conexión puede existir antes de que se abra ninguna aplicación y puede gestionarla quien proporcionó el perfil. Una aplicación del proveedor empaqueta el túnel dentro de una aplicación, lo que da al proveedor espacio para su propia interfaz y su conjunto de funciones. En un teléfono de trabajo, un perfil gestionado puede llevar certificados y reglas de acceso a recursos concretos, y sustituirlo por una aplicación personal no es un intercambio equivalente. Pregunte al administrador antes de cambiar algo.

En un teléfono personal, compruebe la fuente antes de aprobar un perfil. Las exportaciones completas y los códigos QR pueden contener credenciales o una raíz de confianza, así que trátelos como secretos y manténgalos fuera de capturas de pantalla y conversaciones.

Qué promete realmente On Demand

On Demand puede levantar una conexión bajo condiciones que define Apple, y el modelo Always On supervisado tiene un comportamiento más estricto que un dispositivo personal no recibe. No debe suponerse que la etiqueta de conexión automática de una aplicación de consumo proporcione ninguna de las dos cosas. Las preguntas prácticas son qué ocurre antes de que el túnel esté disponible, qué ocurre tras una desconexión manual y qué ocurre cuando el teléfono se reinicia. Reconectar automáticamente y bloquear el tráfico fuera del túnel son promesas distintas.

La cobertura es una tercera cuestión: la configuración puede llevar todo el tráfico de internet, un conjunto de destinos privados o solo aplicaciones gestionadas.

Pruebe los traspasos y la revocación

Complete primero el inicio de sesión en el portal Wi-Fi mediante el aviso normal de iOS, porque un portal cautivo no dejará establecer el túnel. Luego pruebe las transiciones que realmente vive: de Wi-Fi a móvil, de móvil de vuelta a Wi-Fi y el bloqueo de pantalla con la conexión inactiva. Anote si el túnel se recupera y si la aplicación se recupera con él. Un nombre de protocolo no garantiza una llamada ininterrumpida durante un traspaso.

Una región guardada, una ubicación de dispositivo permitida y un inicio de sesión de cuenta continuo no son mediciones de la salida pública. Pruebe la aplicación prevista y ambas familias de direcciones cuando proceda, con una comprobación que informe de lo que ocurrió realmente.

Para un teléfono perdido, confirme la fuente del perfil y el proceso de revocación. Borrar una aplicación local no elimina necesariamente su autorización remota.