¿Qué protocolo hay detrás de ese perfil de VPN del Mac guardado?

Alguien llama «VPN de oficina» a una conexión del Mac, la etiqueta sobrevive a dos migraciones del servidor y todo el mundo sigue llamándola la VPN de oficina mucho después de que el protocolo cambiara. El nombre es un apodo guardado junto a la configuración; no es prueba de lo que negocia el Mac. Leer el tipo declarado cuesta un campo, y separar ese tipo guardado de una sesión activa cuesta un paso más. Este es el orden que evita adivinar.

La etiqueta es un apodo, la carga útil declara el tipo

Un servicio de VPN de macOS es una entrada de configuración del sistema con un nombre visible, un cliente propietario y un conjunto de ajustes tipados. El nombre visible es texto libre, editable por quien creó la entrada, y es la parte que los usuarios ven en la barra de menús. Los ajustes llevan los hechos: qué tipo de conexión, qué puerta de enlace, qué esquema de autenticación. Nada mantiene ambos sincronizados, por eso un perfil llamado «oficina L2TP» puede ser un servicio IKEv2.

En una conexión creada personalmente, la aplicación propietaria o el propio panel de VPN del sistema muestran esos ajustes. En un Mac gestionado, el perfil pertenece al administrador, y el movimiento correcto es pedir un resumen sin secretos en lugar de editar una carga útil gestionada. Los dos casos se parecen en la barra de menús y se comportan de forma totalmente distinta por debajo. Uno es suyo para inspeccionarlo y cambiarlo; el otro está desplegado y se restaurará en la próxima comprobación.

Esa distinción importa porque las configuraciones gestionadas y las personales se gobiernan de forma distinta. Un perfil instalado por la gestión se sustituirá o se volverá a aplicar, así que una edición local o falla o revierte en silencio. Pida al propietario el tipo, la identidad de la puerta de enlace y el método de autenticación en lugar de hacer ingeniería inversa de un archivo que no controla.

Lea VPNType antes que cualquier otra cosa en la carga útil

El esquema de carga útil de VPN gestionada de Apple declara su tipo de conexión en la clave VPNType, dentro de un diccionario cuyo PayloadType es com.apple.vpn.managed. El valor es un token corto como IKEv2, IPsec, L2TP o VPN, y todo lo demás de la carga útil se interpreta según ese token.

<key>PayloadType</key>
<string>com.apple.vpn.managed</string>
<key>VPNType</key>
<string>IKEv2</string>
<key>IKEv2</key>
<dict>
  <key>RemoteAddress</key>
  <string>vpn.head-office.example</string>
  <key>RemoteIdentifier</key>
  <string>ikev2.head-office.example</string>
</dict>

Este fragmento es ilustrativo y no instalable: es una entrada de un arreglo de carga útil, despojada de los metadatos del perfil y de las credenciales que necesita un despliegue real. Léalo por su forma, no por su contenido. Fíjese también en que RemoteAddress y RemoteIdentifier son campos distintos con trabajos distintos, incluso cuando un despliegue les da la misma cadena.

Un valor heredado como PPTP todavía puede aparecer en un archivo antiguo sin ser una opción que el macOS actual ofrezca para una configuración nueva. Encontrar un token en un perfil guardado demuestra qué se escribió, no qué aceptará todavía el sistema operativo.

Los tipos personalizados necesitan VPNSubType y la aplicación propietaria

Cuando VPNType es VPN, la carga útil también debe llevar VPNSubType, que identifica el complemento o el proveedor de Network Extension que implementa la conexión. Ese identificador es lo que enruta la conexión a un cliente concreto, así que un subtipo equivocado produce un perfil que se instala y luego se niega a arrancar.

En los proveedores basados en extensiones de aplicación, el identificador pertenece a la aplicación contenedora y no a un nombre de extensión adivinado, y ese es el detalle que la gente suele equivocar al editar un perfil a mano. Incluso un subtipo correcto describe al cliente, no el protocolo de cable, el método de autenticación ni la política de acceso remoto que usará ese cliente.

Así, una carga útil personalizada le dice qué software posee la conexión y poco más. Para saber qué negocia, lea la documentación propia de ese proveedor y sus ajustes configurados. Copiar un subtipo del perfil de otra organización no es una técnica de configuración; es una conjetura que da la casualidad de analizarse.

Enumere lo que el Mac ha configurado realmente

Antes de leer cualquier archivo, pregunte al sistema qué servicios existen y en qué estado están. La vista de línea de comandos es más rápida que hacer clic por los paneles e imprime el tipo junto a cada entrada.

scutil --nc list
scutil --nc show "Office VPN"

El primer comando enumera los servicios de VPN configurados con su estado actual, y el segundo imprime los ajustes del servicio seleccionado, incluidos el tipo y la dirección del servidor con la que contactará. Compare esa dirección con la puerta de enlace que le dijeron que esperara, porque una entrada obsoleta que apunta a un host retirado es un problema de herencia habitual.

Estos comandos muestran configuración y estado; no demuestran que un túnel lleve tráfico. Si el servicio está desconectado, la salida describe una intención y no una sesión que funcione. Un servicio conectado sin tráfico es otro problema distinto, normalmente enrutamiento o DNS y no el tipo de protocolo. Mantenga esas tres observaciones separadas o el diagnóstico vuelve a las conjeturas.

Mantenga los ajustes guardados aparte de una sesión activa

Un perfil guardado es una declaración de intención. No muestra que la puerta de enlace siga ofreciendo ese servicio, que este perfil sea el activo o que una sesión haya negociado con éxito. Son tres preguntas separadas y cada una tiene su propia evidencia.

Use la vista de estado del propietario o herramientas de diagnóstico para identificar la conexión activa y la identidad que presentó la puerta de enlace. Un escaneo de puertos o un certificado visto en un sitio no relacionado no responde a ninguna de las dos preguntas, y el nombre común de un certificado no es lo mismo que el identificador remoto esperado.

Cuando el tipo guardado ya no coincide con lo que admite la puerta de enlace, consiga un perfil de sustitución de su propietario. Cambiar la cadena del tipo no traduce credenciales entre protocolos ni convierte un esquema de autenticación en otro. Comparta también el resumen por el canal de soporte aprobado, ya que las configuraciones exportadas pueden llevar credenciales y claves privadas que una solicitud de soporte nunca necesitó.