Guía
Cómo configurar una VPN en un Mac
Qué versión del cliente instalar, qué aprobación solicita macOS antes de que pueda existir el túnel, qué ajustes conviene comprobar y cómo confirmar que el túnel transporta tu tráfico en lugar de limitarse a parecer conectado. Escrito para macOS 27.
Antes de empezar
Esta guía no elige una por ti
Todos los pasos siguientes son iguales uses el proveedor que uses, por eso aquí no se nombra ninguno. Elegir es otra tarea y se hace en el registro, donde la elección se basa en una puntuación publicada y no en una página de descarga.
Instala el cliente desde el sitio del propio proveedor o desde la Mac App Store, nunca desde un resultado de búsqueda ni desde un portal de descargas. Un cliente VPN instala una extensión de red que ve cada byte que envía el Mac; dar esa posición a un instalador recompaquetado es lo peor que se puede hacer.
Instala el cliente
- Elige la versión desde el sitio del proveedor, no desde la tienda, cuando existan ambas. La versión de la App Store se ejecuta dentro del sandbox de Apple, y el sandbox impide algunas funciones propias de un cliente VPN: un interruptor de emergencia que se mantenga activo antes de iniciar sesión o el túnel dividido por aplicación. La descarga directa suele ser el cliente completo. Usa la versión de la tienda solo cuando sea la única disponible.
- Inicia sesión primero en el sitio web del proveedor y descarga el cliente desde el área de la cuenta, para que el archivo que ejecutes proceda de la sesión que demostró que tienes una suscripción.
- Abre el instalador y aprueba la extensión cuando macOS lo solicite. El sistema indicará que el cliente quiere añadir una extensión de red o una configuración VPN, y te dirigirá a Ajustes del Sistema › General › Ítems de inicio de sesión & Extensiones. Permítelo. Un cliente cuya extensión no está permitida se abre, inicia sesión y nunca se conecta.
- Deja activado el elemento en segundo plano. La misma página de ajustes muestra el cliente en Permitir en segundo plano. Desactivarlo para ordenar la lista es la forma de impedir que el túnel se vuelva a conectar después de la suspensión.
- Inicia sesión en el cliente y ponle al dispositivo un nombre que no te identifique; el proveedor almacena ese nombre.
- No te conectes todavía. Abre primero los ajustes. En la mayoría de los clientes, dos de los tres ajustes siguientes están desactivados de forma predeterminada.
Los tres ajustes que conviene comprobar
Los menús de los clientes cambian, pero los ajustes no. Los tres tienen una entrada en el glosario si no conoces el nombre.
El interruptor de emergencia
Bloquea todo el tráfico si el túnel se cae, en lugar de permitir silenciosamente que la conexión vuelva a la red normal. Suele estar desactivado de forma predeterminada porque hace que el producto parezca menos fiable — un túnel caído se convierte en una conexión interrumpida en vez de pasar inadvertido, que es precisamente su objetivo. Actívalo. Si el cliente distingue entre un interruptor que solo se aplica mientras estás conectado y otro que se aplica siempre, elige el segundo: un Mac que se activa en una red Wi-Fi extraña pasa varios segundos en la red directa antes de que el cliente se vuelva a conectar, y ese es el vacío importante. La función del interruptor se explica en su propia página.
DNS dentro del túnel
Las consultas de nombres pueden salir del Mac fuera del túnel aunque todo lo demás esté dentro, lo que indica a tu red qué sitios visitaste y oculta únicamente lo que hiciste allí. Busca protección contra fugas de DNS, usar el DNS del proveedor o un campo de DNS personalizado, y configúralo con el resolvedor del propio proveedor en lugar del de un tercero. Ya confías al proveedor el tráfico; añadir un segundo tercero que solo vea las consultas aumenta el número de partes sin reducir lo que ninguna de ellas sabe. El funcionamiento de una fuga se explica en la página sobre fugas de DNS.
El protocolo
Déjalo en la opción moderna predeterminada salvo que algo no funcione — la página de protocolos indica cuáles están vigentes y cuáles son heredados. Si el cliente ofrece una opción antigua para resolver un problema de conexión, haz ese intercambio de forma consciente y deshazlo después: el registro señala el protocolo más débil que un proveedor sigue ofreciendo, y seleccionarlo manualmente equivale a elegir esa marca para ti.
Confirma que funciona realmente
Conéctate y comprueba en lugar de darlo por hecho. Tres comprobaciones, en este orden; todas son gratuitas y ninguna requiere software:
- Tu dirección ha cambiado. Abre cualquier página de «cuál es mi IP» y confirma que el país coincide con la salida que elegiste. Si muestra tu propio país mientras el cliente dice que está conectado, la extensión está funcionando, pero el tráfico no pasa por ella.
- Las consultas están dentro del túnel. Ejecuta una prueba de fugas de DNS y lee los resolvedores que muestra. Si alguno pertenece a tu proveedor de Internet, el ajuste de DNS anterior no se ha aplicado.
- El interruptor de emergencia hace lo que dice. Con una descarga en curso, abre Monitor de Actividad, busca el proceso auxiliar o demonio del cliente — lleva el nombre del proveedor — y fuerza su cierre, para que el túnel se caiga sin pedirlo desde el cliente. La transferencia debería detenerse por completo. Si continúa, el interruptor es decorativo.
La batería de pruebas más extensa y lo que cada una puede y no puede mostrar se encuentra en su propia guía.
Lo que demuestran estas comprobaciones
+Tu tráfico sale por el servidor de salida, en el país que seleccionaste
+La red a la que estás conectado ya no puede leer qué sitios visitas
+Un túnel caído falla de forma cerrada en lugar de volver silenciosamente a la conexión normal
Lo que no demuestran
−No dicen nada sobre lo que conserva el proveedor — es una cuestión de documentos, respondida en las páginas sobre retención
−No te hacen anónimo: tu navegador y tus sesiones iniciadas no cambian; consulta de qué no te protege una VPN
−Una prueba de fugas superada hoy no es una promesa sobre la actualización del cliente de mañana
Suspensión, activación y redes Wi-Fi extrañas
Un portátil es el dispositivo que se conecta a redes que nunca ha visto, y un Mac hace lo peligroso — conectarse a la Wi-Fi, comprobar el correo y sincronizarse — durante los primeros segundos después de abrir la tapa, antes de que ningún cliente se haya vuelto a conectar. Dos ajustes cierran ese intervalo. Conexión automática en el cliente, para que la reconexión sea tarea del cliente y no tuya; y el interruptor de emergencia siempre activo anterior, para que hasta que se reconecte el Mac no envíe nada. Con ambos, una red de una cafetería ve un portátil que se conectó y después quedó en silencio hasta que el túnel estuvo activo. Lo que una red así puede leer en caso contrario se explica en la página sobre Wi-Fi público.
Si un cliente ofrece una lista de redes de confianza en las que permanece desactivado, mantenla corta. La red doméstica está en ella porque allí está la impresora, no porque el proveedor de Internet que hay detrás no pueda ver nada.
Cuando no funciona
El cliente se instala, pero nunca se conecta
Casi siempre se debe a la aprobación. Abre Ajustes del Sistema > General > Ítems de inicio de sesión & Extensiones y busca en Extensiones de red: el cliente debe estar permitido allí, y es fácil cerrar por accidente el aviso durante la instalación.
Si está permitido y aun así no ocurre nada, elimina el cliente con su propio desinstalador, reinicia e instálalo de nuevo para que el aviso aparezca por segunda vez.
El túnel desaparece cada vez que el Mac se activa después de la suspensión
Es el comportamiento esperado sin conexión automática: la interfaz de red se desconecta al cerrar la tapa y el cliente espera a que se le solicite la conexión. Activa la conexión automática del cliente o el ajuste de conexión en redes no confiables, y la reconexión se producirá antes de que termines de escribir la contraseña.
Con el interruptor de emergencia activado, los segundos entre la activación y la reconexión son una conexión interrumpida, no una fuga. Eso significa que el interruptor funciona.
AirDrop, una impresora o el televisor han dejado de funcionar mientras estoy conectado
El tráfico local también está entrando en el túnel, y la impresora no está al otro lado. La mayoría de los clientes tienen un ajuste llamado acceso a la red local, acceso LAN o túnel dividido; al activarlo, las direcciones de tu propia red salen fuera del túnel y todo lo demás permanece dentro.
Es seguro en una red que administras. En una red que no administras, déjalo desactivado.
A la versión de la App Store le falta un ajuste que sí tiene la versión del sitio web
Las dos versiones son programas distintos. La versión de la tienda se ejecuta dentro del sandbox de Apple, y algunas funciones de un cliente VPN —un interruptor de emergencia que se mantenga activo durante el arranque o el túnel dividido por aplicación— no son posibles desde dentro de él. La descarga del propio proveedor es el cliente más completo.
Si ya has instalado la versión de la tienda y necesitas ese ajuste, desinstálala primero; dos versiones instaladas a la vez compiten por la misma extensión de red.
Mismos pasos, otros equipos
El resto de las plataformas
Cada plataforma tiene su propia guía en lugar de una pestaña en esta. Los pasos divergen en cuanto se abre el instalador, y una página que responde a tres plataformas a la vez no responde bien a ninguna.