iOS

A través del marco Network Extension de Apple: la aplicación nunca ve paquetes en bruto; entrega una configuración de túnel al sistema operativo, que la aplica. Por eso los clientes de VPN en iOS son más uniformes que en Android, y sus diferencias se concentran en dos aspectos: cómo maneja la aplicación el bypass de servicios de Apple y cómo sobrevive el túnel al arranque, suspensión/reactivación y cambios de red[5].

iOS enruta cierto tráfico de Apple (algunas actualizaciones y comprobaciones de conectividad) fuera de los túneles de terceros por diseño. Para privacidad, la fuga es pequeña y documentada; para resistencia a la censura, puede ser relevante: el dispositivo podría comunicarse fuera de su túnel. Los operadores que documentan este comportamiento (las notas de Mullvad sobre su beta para iOS son el ejemplo público[1]) generan confianza; los que callan sobre ello esperan que usted no pregunte[2].

La respuesta honesta: el sistema operativo aplica lo que exija la configuración del túnel. Un túnel Network Extension bien configurado bloquea todo tráfico cuando falla; los puntos débiles son a nivel de aplicación: una app bloqueada, un perfil reconfigurado, una actualización del sistema que restablezca la configuración. Pruebe al arrancar y tras actualizaciones, en lugar de confiar en el interruptor.

Ambos funcionan: los perfiles WireGuard se importan en la configuración de VPN del sistema sin necesidad de app. La aplicación añade comodidad (selección de servidores, modos de ofuscación, gestión de cuenta) y superficie de telemetría; el perfil es mínimo y verificable. 67 proveedores en esta página ofrecen clientes para iOS; configuraciones solo con perfil funcionan con cualquier proveedor compatible con WireGuard.

Producto distinto, honestamente nombrado: un proxy de dos saltos para Safari y Mail dentro del ecosistema de Apple[4]. No es una VPN: no cubre otras apps ni permite elegir servidores. Para el modelo de amenaza exclusivo de Apple es gratuito y razonable; no sustituye la discusión sobre capas de tool-hub.

La plataforma hace incómoda la prueba: sin herramientas al nivel de escritorio, y la división entre perfil y app significa dos caminos de configuración a verificar[2][6]. Patrón práctico: conéctese, cargue una página de comprobación de IP y otra de DNS en Safari, cierre la app y repita, reinicie con el túnel de desactivado a activado y repita[2]. El test de fugas detalla qué buscar en cada paso.