Por qué la VPN de tu Mac se cae al conectar un iPhone por USB

Conectas un iPhone para cargarlo y, un minuto después, la VPN de tu Mac deja de pasar tráfico. Ajustes del Sistema muestra un servicio nuevo llamado iPhone USB, y el movimiento obvio es borrarlo. Ese movimiento suele ser equivocado. El servicio puede ser el Punto de acceso personal del teléfono, o puede ser un enlace que Xcode y las herramientas de dispositivos usan para hablar con el teléfono, y ambos se comportan de forma lo bastante distinta como para que la identificación tenga que venir antes del borrado.

Paso 1: Lee el servicio que el teléfono creó realmente

Abre Ajustes del Sistema, luego Red, y compara la lista de servicios con el teléfono desconectado y conectado. En el macOS actual el servicio aparece como iPhone USB. Fíjate en si está activo, dónde queda en el orden de servicios y si el Mac lo usa para la ruta predeterminada. El orden de servicios importa porque macOS elige el servicio activo más alto que puede llegar a un destino, no el que reconoces por su nombre.

La guía de Apple sobre el Punto de acceso personal describe el mecanismo: mientras el Punto de acceso personal está activado en el teléfono, conectarlo por USB puede hacer que el Mac use la conexión móvil del teléfono, incluso cuando solo querías cargarlo. No es un fallo del cliente VPN; la tabla de rutas sigue un servicio que subió antes que el Wi-Fi.

Si el servicio existe pero sigue inactivo con el teléfono conectado, lo más probable es que estés viendo una conexión solo de carga o un enlace de dispositivo, no un hotspot. Conserva esa distinción, porque los dos pasos siguientes la prueban en lugar de adivinarla por el icono.

Paso 2: Comprueba qué ruta usa el extremo de la VPN

Lee la ruta hacia la dirección resuelta del servidor VPN, no hacia un sitio web. route -n get es de solo lectura e imprime la interfaz y la puerta de enlace que usaría el núcleo, y ambas líneas importan.

scutil --dns | head -20
route -n get 203.0.113.10

La dirección de arriba es un marcador de documentación. Sustitúyela por el extremo que muestra tu cliente y usa route -n get -inet6 para un extremo IPv6. Compara la salida con el teléfono desconectado y conectado, y no añadas ni quites rutas entre las dos lecturas. Si la interfaz cambia de en0 a la interfaz iPhone USB, la ruta del hotspot ha ganado la consulta y la conexión exterior de la VPN ahora va por la red móvil.

Un cambio de ruta no explica todos los fallos. El cliente todavía puede llegar al servidor y fallar después en el tráfico interior del túnel, porque la ruta nueva tiene otra MTU o el operador bloquea el protocolo. Lee el error propio del cliente antes de cambiar nada: un tiempo de espera del apretón de manos exterior apunta a la accesibilidad, mientras que un túnel establecido que deja de pasar tráfico apunta a MTU, DNS o política.

Paso 3: Separa un hotspot de un enlace de comunicación con el dispositivo

Xcode 15 y posteriores hablan con un dispositivo conectado por USB por un canal de red que incluye IPv6 de enlace local, así que un Mac de desarrollo puede mostrar una interfaz extra que no tiene nada que ver con el acceso a internet. La nota técnica TN3158 de Apple documenta ese comportamiento y advierte de que la VPN o el filtrado de seguridad pueden interferir con él. Es lo contrario del problema del hotspot: la VPN no se rompe porque el teléfono ofrezca internet; la conexión del dispositivo se rompe porque la VPN la captura.

Dos observaciones separan los casos sin captura de paquetes. Primero, comprueba si la interfaz tiene una dirección enrutable y una ruta predeterminada, o solo una dirección fe80:: de enlace local; solo enlace local significa que no hay camino a internet. Segundo, cierra la VPN y mira si Xcode puede volver a llegar al dispositivo. Si puede, las rutas de la VPN o el filtro de contenido atrapan el tráfico de enlace local, y la solución está en la configuración del túnel dividido o del filtro, no en el panel Red.

ifconfig | grep -A4 -E '^en[0-9]+:'
netstat -rn -f inet6 | head

No juzgues solo por el nombre de la interfaz. macOS crea y destruye estas interfaces a medida que se conectan dispositivos, y el número en se asigna en tiempo de ejecución, así que el mismo Mac puede mostrar un número distinto tras un reinicio o un cambio de cable.

Paso 4: Reproduce el fallo con una variable a la vez

Una vez sepas qué servicio interviene, reproduce el problema en un orden fijo. Empieza con el teléfono desconectado y la VPN conectada. Conecta el teléfono con el Punto de acceso personal desactivado, espera a que la lista Red se asiente y vuelve a ejecutar la consulta de ruta. Desconecta, activa el Punto de acceso personal, vuelve a conectar y repite. Anota la interfaz, la puerta de enlace y el error del cliente para cada uno de los tres estados, y tendrás una comparación en lugar de un recuerdo.

Si la VPN falla solo en el estado de hotspot, mantén el teléfono fuera de esa ruta: desactiva el Punto de acceso personal mientras cargas, o mueve el servicio iPhone USB por debajo del Wi-Fi en el orden de servicios. Si falla en todos los estados conectados, incluido con el hotspot desactivado, mira cómo gestiona el cliente una transición de red. Algunos clientes deshacen el túnel cuando cambia el servicio principal y necesitan reconexión; es comportamiento del cliente, no un defecto del teléfono.

Cambia una cosa por intento. Borrar el servicio, restablecer la configuración de la VPN y reinstalar el cliente en el mismo minuto te deja un Mac que funciona y ninguna idea de qué acción lo arregló.

Paso 5: Decide qué conservar y qué verificar

Deja el enlace del dispositivo en paz. Quitar una interfaz que Xcode usa no arregla una ruta de la VPN, y rompe el despliegue en dispositivos hasta la próxima conexión. Si el servicio de hotspot no lo quieres de verdad, desactiva primero el Punto de acceso personal en el teléfono; ese es el control documentado y sobrevive a un reinicio.

Si eliminas un servicio, elimina el que has identificado y luego verifica dos cosas: la ruta al extremo de la VPN vuelve a estar en la interfaz esperada, y el túnel pasa tráfico hacia una dirección interna, no solo hacia internet. Anota el orden de servicios y la versión del cliente, porque una actualización de macOS puede cambiar cómo aparece el teléfono.

Luego clasifica el fallo que has visto realmente. Un tiempo de espera del apretón de manos, un atasco de MTU después de levantar el túnel y respuestas DNS que vienen del operador son tres problemas distintos con tres soluciones distintas. El servicio USB es el desencadenante en los tres; rara vez es la causa.