VPN siempre activa: Preguntas frecuentes

La VPN siempre activa es una función de Proton VPN for Business que permite aplicar el uso de la VPN en toda la organización.

Aprende a desplegar la VPN siempre activa

En este artículo de soporte respondemos algunas preguntas frecuentes.

• Cómo funciona la VPN siempre activa
• Plataformas y planes
• Despliegue
• Autenticación
• Limitaciones conocidas
• Administración de perfiles y resolución de problemas

Cómo funciona la VPN siempre activa

¿Qué hace la VPN siempre activa?

En un dispositivo donde se ha desplegado el perfil, el usuario debe estar conectado a un servidor de Proton VPN para acceder a internet. Hasta que se conecte, el dispositivo no tiene acceso a internet. La exigencia se aplica a nivel de dispositivo, no de cuenta. Esto significa que no se puede eludir desde dentro de la aplicación y que sigue activa tras cerrar sesión y reiniciar.

¿Pueden los usuarios desactivarla?

No desde la aplicación. No hay ningún interruptor y, como la exigencia está vinculada al dispositivo y no a la sesión de usuario, sigue activa tras cerrar sesión y reiniciar. Las únicas formas realistas de eliminarla son eliminar el perfil del dispositivo o desinstalar la aplicación, que es precisamente para lo que sirve tu MDM: despliega el perfil y restringe los permisos de los usuarios para eliminarlo.

¿Pueden los empleados seguir eligiendo su servidor?

Sí. Los usuarios pueden cambiar libremente entre los servidores compartidos y las puertas de enlace a las que tienen acceso. Lo único que no pueden hacer es desconectarse por completo.

¿Funciona el túnel dividido con la VPN siempre activa?

No. La VPN siempre activa dirige todo el tráfico a través de la VPN, por lo que el túnel dividido se desactiva mientras está activa.

¿Sigue activa tras un reinicio, la suspensión o las actualizaciones del SO?

Sí.

Plataformas y planes

¿Qué plataformas son compatibles?

Por ahora, solo Windows. El soporte para otras plataformas está previsto.

¿Qué planes lo incluyen?

VPN Professional, VPN + Pass Professional y Workspace (cualquier nivel).

¿Necesito una versión específica de la aplicación?

Sí. Proton VPN para Windows 5.3.0 o superior debe estar instalado en los dispositivos de destino. Por ahora, solo está disponible desde el panel de configuración de la VPN siempre activa (ve a VPN → VPN siempre activa → Instrucciones).

Despliegue

¿Necesito un MDM para usar esto?

En la práctica, sí. Técnicamente es posible desplegarlo sin un MDM (hay un script de PowerShell y un método de copia manual de archivos), pero un MDM cumple dos funciones esenciales: desplegar el perfil en los dispositivos y protegerlo de que los usuarios lo manipulen o lo eliminen.

¿Con qué MDM funciona?

Con cualquiera. El perfil consiste en copiar un archivo más un script opcional, de modo que cualquier solución que pueda enviar un archivo o ejecutar un script servirá.

¿Se puede aplicar a algunos equipos y no a otros?

Sí. Simplemente usa tu MDM para dirigir el perfil a usuarios o grupos específicos.

¿Funciona en dispositivos BYOD o personales?

Sí, pero la exigencia es más débil. En un dispositivo no administrado, no puedes impedir que el usuario desinstale la aplicación o elimine el perfil, y no puedes eliminar el perfil de forma remota después.

¿Cómo verifico que realmente se aplica en un dispositivo?

No a través de nuestro portal. La verificación procede de los informes de despliegue de tu MDM o de confirmar que el archivo del perfil está presente en el dispositivo.

Autenticación

¿Funciona con SSO?

Todavía no. Sin embargo, el soporte completo para el inicio de sesión con SSO llegará pronto.

Limitaciones conocidas

¿Qué ocurre si Proton sufre una interrupción del servicio?

La exigencia en sí no depende de nuestro backend; funciona a nivel de SO en el dispositivo y sigue funcionando pase lo que pase. Sin embargo, si la VPN no puede establecer una conexión con los servidores de Proton, el dispositivo no tendrá acceso a internet.

Mis empleados viajan mucho. ¿Los hoteles y los aeropuertos causarán problemas?

Las redes con portal cautivo (comunes en hoteles y aeropuertos) pueden impedir que el dispositivo se conecte, lo que puede resultar frustrante para quienes viajan con frecuencia. Estamos desarrollando la posibilidad de que los administradores permitan desconexiones temporales para cubrir este escenario. Por ahora, la única solución provisional es aplazar el despliegue a los usuarios que viajan mucho.

Administración de perfiles y resolución de problemas

¿Qué ocurre cuando un empleado deja la empresa?

Elimina el perfil del dispositivo o la aplicación primero y, después, desaprovisiona al usuario. Si desaprovisionas mientras el perfil sigue aplicándose, el usuario no podrá iniciar sesión, el dispositivo quedará sin conexión al no disponer de una conexión VPN y podrías perder la posibilidad de acceder a él de forma remota para solucionarlo. Consulta aquí para obtener más detalles.

He cambiado un ajuste en el portal, pero no ha ocurrido nada en los dispositivos de los usuarios. ¿Por qué?

Esto es lo esperado. El perfil es un archivo estático, por lo que el uso forzado de la VPN solo entra en vigor una vez desplegado el perfil actualizado en los dispositivos.

He eliminado el perfil en el portal, pero los empleados siguen bloqueados. ¿Por qué?

Esto también es lo esperado. Al eliminar el perfil en el portal, se genera un script de eliminación; este no llega a los dispositivos por sí solo. El uso forzado de la VPN solo cesa cuando el archivo del perfil se elimina del dispositivo mediante MDM, el script de eliminación o manualmente.

Un perfil ha terminado por error en un dispositivo personal.

Elimínalo de ese dispositivo. Nada de lo que haga el usuario en la aplicación lo eliminará, ya que se aplica a nivel de dispositivo y persiste tras cerrar la sesión. En un dispositivo no administrado, esto implica usar el script de eliminación o eliminar el perfil manualmente con la colaboración del usuario.

¿Cómo puedo eximir un solo dispositivo sin desactivar el uso forzado de la VPN para todos?

Adminístralo mediante tu MDM. Basta con dejar de asignarlo a ese dispositivo y eliminar de este el archivo del perfil.

Un dispositivo está sin conexión e inaccesible.

Una vez que el usuario conecte el dispositivo, este volverá a estar en línea y el perfil podrá eliminarse mediante MDM como de costumbre.