Configurar bajo demanda
Decida en qué redes debe conectarse automáticamente cada túnel.
Configurarlo
- Abra un túnel creado por el usuario y elija Editar, o empiece a crear uno nuevo.
- Abra la pestaña Vylos del formulario del túnel.
- Active las condiciones de red compatibles que quiera que supervise el túnel.
- Para Wi-Fi, elija Cualquier SSID, Solo estas SSID o Excepto estas SSID e indique los nombres de red necesarios.
- Si lo desea, active Bloquear conexiones sin VPN.
- Guarde el túnel y active su interruptor Bajo demanda.
Las reglas Bajo demanda pertenecen a un único túnel. Los túneles gestionados reciben sus reglas del perfil VPN de la organización y no se pueden editar en Vylos.
Cómo funciona
Cuando las reglas Bajo demanda están activadas, el sistema operativo vigila los cambios de red y activa o desactiva el túnel sin intervención manual. Vylos guarda estas reglas junto con el DNS dividido en los ajustes Vylos del túnel.
Datos móviles
El interruptor Datos móviles determina si el túnel se activa automáticamente con una conexión de datos móviles; iOS evalúa esta regla. macOS y visionOS muestran el valor con la indicación Solo iOS para que pueda editar, importar y exportar una configuración universal sin perderlo.
El hardware actual de Apple Vision Pro no tiene interfaz de datos móviles, por lo que esta regla no puede activarse en visionOS.
nota
La enumeración de interfaces de Network Extension de Apple incluye el caso cellular para que los datos de las reglas sean portátiles. Solo coincide cuando la interfaz de red principal actual del dispositivo es móvil; su presencia en el SDK de visionOS no significa que Vision Pro tenga radio móvil.
Ethernet
El interruptor Ethernet determina si el túnel se activa automáticamente mediante Ethernet; macOS evalúa esta regla. iOS y visionOS muestran el valor con la indicación Solo macOS y lo conservan para cuando la configuración se use en un Mac.
Las tres aplicaciones muestran ambos interruptores. Cada plataforma ignora las reglas no compatibles, pero conserva su valor en el túnel y en el archivo .vylos exportado.
En el hardware actual de Vision Pro, Wi-Fi es la única interfaz de red que puede coincidir con una regla Bajo demanda.
Wi-Fi
El ajuste Wi-Fi ofrece cuatro modos:
| Modo | Comportamiento |
|---|---|
| Desactivado | El túnel no se activa automáticamente en Wi-Fi. |
| Cualquier SSID | El túnel se activa en cualquier red Wi-Fi. |
| Solo estas SSID | El túnel se activa únicamente al conectarse a una de las SSID indicadas. |
| Excepto estas SSID | El túnel se activa en todas las redes Wi-Fi salvo las SSID indicadas. |
Con Solo estas SSID o Excepto estas SSID debe indicar al menos una SSID. Si la lista está vacía, el formulario muestra un mensaje de validación.
Interruptor de emergencia
Active Bloquear conexiones sin VPN para aplicar a este túnel el enrutamiento de todas las redes a nivel del sistema de Apple. Si un túnel Bajo demanda preparado deja de estar disponible, el sistema operativo bloquea la mayor parte del tráfico en lugar de volver inmediatamente a la red sin protección.
El control queda disponible después de configurar al menos una regla Bajo demanda. Al desactivar la última regla también se desactiva el interruptor, porque este comportamiento de bloqueo requiere un túnel supervisado automáticamente.
El ajuste solo se aplica al túnel seleccionado creado por el usuario y se guarda en su archivo .vylos. En un túnel gestionado, la organización controla el valor equivalente IncludeAllNetworks del perfil de Apple y Vylos lo muestra como de solo lectura.
Cómo afectan las IP permitidas al interruptor de emergencia
El interruptor de emergencia y AllowedIPs cumplen funciones distintas: el primero impide que el sistema operativo evite la VPN; AllowedIPs sigue determinando qué par puede transportar cada destino. Vylos no añade, elimina ni amplía AllowedIPs al activar el interruptor.
| Rutas combinadas de los pares | Qué puede conectarse | Etiqueta de Vylos |
|---|---|---|
| Todas las direcciones IPv4 e IPv6 | IPv4 e IPv6 usan la VPN. | Protección de túnel completo |
| Solo todo IPv4 o solo todo IPv6 | La familia cubierta usa la VPN; la otra se bloquea si no tiene una ruta. | Acceso restringido a la red |
| Redes o hosts seleccionados | Solo pueden conectarse los destinos incluidos en esas rutas. | Acceso restringido a la red |
| Sin rutas | Se bloquea el tráfico IP normal. | Sin rutas de salida |
El valor habitual de túnel completo de doble pila es 0.0.0.0/0, ::/0. Cada servidor DNS también debe estar incluido en los AllowedIPs de al menos un par; de lo contrario, Vylos advierte de que quedará bloqueado.
info
Apple excluye del enrutamiento VPN de todas las redes el tráfico necesario para controlar la red y determinados servicios del dispositivo, como DHCP, la negociación de portales cautivos, algunos servicios móviles y la comunicación con dispositivos complementarios. Por tanto, el interruptor bloquea la mayor parte del tráfico normal de las apps, pero no promete que todos los paquetes del sistema entren en la VPN. Consulte la documentación de Apple sobre includeAllNetworks.
Comportamiento del túnel Bajo demanda
Los estados de un túnel con reglas Bajo demanda activadas funcionan de forma distinta a los de un túnel estándar:
- Bajo demanda (amarillo) — Las reglas Bajo demanda están activas, pero el túnel no está conectado. El sistema vigila las condiciones de red y se conectará cuando encuentre una coincidencia.
- Conectando — Una regla coincidente ha pedido al sistema operativo que inicie el túnel.
- Bajo demanda (verde en la lista) / Conectado (verde en los detalles) — El túnel está conectado porque la red actual coincide con una regla Bajo demanda. La lista conserva el resumen de activación automática y la pantalla de detalles muestra el estado actual.
- Desconectando — La conexión se está deteniendo porque la condición dejó de cumplirse o se desactivó la activación automática.
- Desconectado (gris) — El túnel conserva reglas Bajo demanda, pero la activación automática está desactivada.
El interruptor de un túnel Bajo demanda activa o desactiva sus reglas Bajo demanda; no conecta ni desconecta directamente el túnel.
Reevaluación automática al volver a la app
Cuando Vylos vuelve al primer plano, comprueba que el sistema operativo mantenga activadas las reglas Bajo demanda de cada túnel y repara ese estado si hace falta. Después, el sistema operativo decide si debe conectarse según la red y las reglas actuales; Vylos no fuerza una conexión cuando no hay coincidencia.
Detección de conflictos Bajo demanda
Si se solapan las reglas Bajo demanda activas de dos o más túneles, Vylos muestra un aviso en la parte superior de la lista en iOS, macOS y visionOS. El resultado puede ser imprevisible porque el sistema quizá no sepa qué túnel activar.
Las imágenes siguientes muestran el diseño de iOS.
Abra el aviso para ver todos los conflictos. Cada entrada indica qué dos túneles se solapan y por qué.
Tipos de conflicto
| Tipo de conflicto | Descripción |
|---|---|
| Solapamiento móvil | Ambos túneles están configurados para activarse con datos móviles. |
| Solapamiento Ethernet | Ambos túneles están configurados para activarse mediante Ethernet en macOS. |
| Solapamiento Cualquier SSID | Ambos túneles están configurados para activarse en cualquier red Wi-Fi. |
| Solapamiento de SSID concretas | Ambos túneles están configurados para activarse en una o varias SSID iguales. |
| Solapamiento de la mayoría de redes Wi-Fi | Ambos túneles tienen reglas Wi-Fi amplias, como dos listas de exclusión, que abarcan casi todas las redes. |
Edite uno de los túneles y ajuste sus reglas Bajo demanda para que no se solapen con las del otro.
Reglas Bajo demanda en .vylos
Las reglas Bajo demanda se guardan junto con el DNS dividido en la entrada settings.conf del archivo .vylos. Consulte Formato de archivo Vylos para ver la referencia oficial de claves y los ejemplos.