Qué cambia de verdad al cambiar configuraciones VPN guardadas en macOS
Cambiar una VPN guardada del Mac no es un intercambio de perfil. Vea qué cambia en rutas, DNS y credenciales, y cómo verificar el túnel que realmente obtuvo.
Abre la lista de VPN, elige la otra entrada guardada y espera un cambio limpio: una dirección de salida nueva y todo lo demás sin cambios. Esa es la suposición que hay que abandonar primero. En macOS una VPN guardada es un servicio de red completo y no un ajuste predefinido, así que cambiar de servicio puede modificar a la vez el enrutamiento, el DNS y la autenticación. La barra de menús dice qué servicio está activo; no dice si el túnel de debajo coincide con lo que usted quería.
La lista guardada no es un selector de perfiles
Cada entrada en Ajustes del Sistema > Red es un servicio propio, con su dirección de servidor, su cuenta, su método de autenticación, sus servidores DNS y opciones como Enviar todo el tráfico por la conexión VPN. Las versiones anteriores mantienen la misma lista en Preferencias del Sistema. Dos entradas pueden apuntar al mismo nombre de host y comportarse distinto, porque el protocolo o la extensión del cliente decide cómo se construye el túnel.
Los clientes de terceros mantienen listas separadas. Tunnelblick lee configuraciones de su propia carpeta, WireGuard guarda su propia lista de túneles y OpenVPN Connect almacena perfiles dentro de la aplicación. Algunos registran una configuración en el sistema; otros lo guardan todo dentro de la aplicación y nunca aparecen en la lista integrada. Por eso «cambiar a la guardada» significa acciones distintas según qué aplicación posea el perfil.
scutil --nc list imprime los servicios VPN registrados en la configuración del sistema, con los nombres entre comillas. Use esos nombres exactos cuando programe un cambio, y no suponga que la lista cubre todos los túneles de terceros.
Qué cambia realmente un cambio
Cuatro cosas se mueven a la vez cuando cambia el servicio activo. La ruta predeterminada sigue al túnel nuevo si ese servicio envía todo el tráfico; la lista de resolutores pasa a los servidores DNS que especifica el servicio; las conexiones nuevas toman la dirección del túnel nuevo como origen; y las credenciales en juego pertenecen al servicio nuevo. Una configuración nativa y un perfil de aplicación no son intercambiables, aunque ambos terminen en la misma puerta de enlace.
| What you assume | What the system does |
|---|---|
| Same server name means same tunnel | Protocol, certificate and account are per service |
| All traffic follows the active VPN | Only when Send all traffic over VPN is on |
| DNS switches with the VPN | Only if that service defines DNS servers |
| Disconnect ends the connection | On Demand or a management profile can reconnect |
| Open sessions survive the switch | TCP sessions tied to the old address stall |
La parte del DNS es la que desconcierta a la gente. macOS mantiene un orden de resolutores, y scutil --dns muestra qué resolutores se usan y en qué interfaz. Un servicio VPN sin servidores DNS configurados puede dejar que responda el resolutor del Wi-Fi, así que obtiene una dirección pública nueva con el comportamiento DNS antiguo y concluye que el cambio funcionó a medias.
Por qué vuelve la configuración antigua
Si se desconecta y el mismo servicio se reconecta un momento después, mire primero On Demand. Una regla de conexión a demanda puede devolver un servicio cuando una aplicación resuelve un dominio coincidente, y un perfil de gestión puede imponer la misma regla. Borrar la entrada rara vez lo arregla: una configuración instalada por perfil suele volver en la siguiente actualización del perfil, y una manual puede dejar su contraseña en Keychain mientras el servicio ya no está.
Iniciar un segundo servicio no siempre detiene el primero. Según el cliente y el protocolo puede acabar con dos túneles y dos conjuntos de rutas, y el orden de los servicios y la especificidad de la ruta deciden cuál lleva el tráfico, no el icono en el que hizo clic al final. Compruebe las interfaces antes de dar por hecho que hubo un cambio.
Verifique el túnel, no la marca de verificación
Recorra la visión del propio sistema antes de tocar los ajustes.scutil --nc status "Name" informa de lo que cree el sistema;ifconfig muestra si una interfaz utun tiene dirección;netstat -rn -f inet muestra hacia dónde apunta la ruta predeterminada;scutil --dns muestra el resolutor que se usa en realidad. Luego abra una conexión nueva y confirme la dirección de salida, porque una página que ya tenía sesión iniciada puede seguir usando un socket vinculado al túnel antiguo.
Si el DNS sigue respondiendo desde la red local, compare los servidores configurados del servicio con la lista de resolutores. Si la ruta predeterminada sigue apuntando a la interfaz física, el servicio es de túnel dividido o no está del todo conectado. Ambas cosas son resultados de configuración, no prueba de un cliente roto.
Un orden de cambio que evita sorpresas
- Anote el servicio actual y si lo gestiona algún perfil.
- Desconéctelo primero cuando los dos túneles no puedan coexistir.
- Conecte el destino y espere Conectado, no Conectando.
- Compruebe la ruta predeterminada, la lista de resolutores y una dirección de salida nueva.
- Reinicie las aplicaciones que mantienen sesiones largas.
Conserve la entrada antigua hasta que la nueva pase esas comprobaciones, y dé a cada entrada un nombre distinto; las etiquetas idénticas hacen más difícil atribuir el siguiente fallo. La ayuda del Mac de Apple describe la parte nativa en Configurar una conexión VPN en el Mac, que es la referencia que conviene consultar antes de editar una configuración gestionada.
Si la selección se revierte, trátelo primero como política u On Demand. Confirme quién es dueño de la configuración y si está puesta para conectar automáticamente, y luego decida si está cambiando un servicio o peleando con un perfil.