Ці выкарыстоўвае Apple Watch VPN-злучэнне iPhone?

У гадзінніка няма налады VPN, якую можна адкрыць, і гэта першае, што варта зразумець. Уся канфігурацыя VPN знаходзіцца на спалучаным iPhone — у профілі або ўсярэдзіне Network Extension праграмы. Ці сапраўды трафік гадзінніка ідзе праз гэты тунель, залежыць ад таго, які канал гадзіннік выкарыстоўвае ў гэты момант. Гэты адзіны факт тлумачыць большасць заблытаных паведамленняў пра гадзіннік, які працягвае працаваць, пакуль тэлефон падключаны да VPN, або наадварот.

У watchOS няма кліента VPN, на які можна паказаць

watchOS пастаўляецца без экрана налады VPN, таму асобнага тунеля для кожнага гадзінніка няма — ні ўключыць, ні адладзіць. Профіль, усталяваны на iPhone, дзейнічае для iPhone, а гадзіннік атрымлівае паводзіны толькі праз шляхі, якія дзве прылады падзяляюць. Любое сцвярджэнне пра наладу VPN у гадзінніку ўспрымайце як прыкмету таго, што чалавек апісвае экран тэлефона.

Менавіта таму каманды MDM не могуць адправіць карысную нагрузку VPN на гадзіннік так, як адпраўляюць яе на тэлефон.

Што гадзіннік сапраўды мае — гэта набор транспартных каналаў, і ён увесь час выбірае паміж імі: Bluetooth да блізкага тэлефона, сумяшчальная сетка Wi-Fi, для якой у яго ёсць уліковыя даныя, або сотавая сувязь на мадэлі з тарыфам. Кожны выбар змяняе, хто нясе пакеты, — і менавіта гэта важна для вашага тунеля.

Bluetooth: пакеты нясе тэлефон

Калі тэлефон побач, гадзіннік аддае перавагу Bluetooth, бо гэта значна менш энергазатратна, чым Wi-Fi ці сотавая сувязь. Даныя праграмы гадзінніка выходзяць праз гэты канал, даходзяць да тэлефона і далей падпарадкоўваюцца правілам маршрутызацыі і тунеля тэлефона, як любы іншы трафік, які тэлефон стварае або перадае. У такім стане VPN тэлефона сапраўды знаходзіцца на шляху. Таму праграма гадзінніка можа не працаваць пры ўзнятым тунелі, нават калі гадзіннік ніколі не адкрываў уласнага злучэння.

Гэтая перадача не тое ж самае, што далучэнне гадзінніка да тунеля. Тунель належыць сеткаваму стэку тэлефона, і гадзіннік яго не бачыць: няма выдачы адрасоў, няма ўласных маршрутаў, няма статусу тунеля для чытання. Вы не знойдзеце трафік гадзінніка як асобную сесію ўнутры тунеля.

Карысны тэст — адключыць Bluetooth толькі на тэлефоне і паўтарыць дзеянне, якое не працавала. Калі яно пачало працаваць, шляхам была перадача праз тэлефон.

Wi-Fi і сотавая сувязь: гадзіннік выходзіць з тунеля

Калі Bluetooth выходзіць за межы радыусу або адключаны, гадзіннік спрабуе сумяшчальную сетку Wi-Fi, якую ўжо ведае, а сотавая мадэль з абслугоўваннем можа перайсці да аператара. Даведнік па злучэннях гадзінніка ад Apple апісвае гэты парадак і адзначае, што значок Wi-Fi азначае, што гадзіннік працуе праз Wi-Fi, а не размаўляе з iPhone. Трафік на гэтых шляхах завяршаецца на гадзінніку, а не на тэлефоне.

Такім чынам, тунель тэлефона на яго не пашыраецца. Уласныя злучэнні гадзінніка стварае watchOS, выкарыстоўваючы радыёмадулі гадзінніка і ўліковыя даныя, якія ён захоўвае, а тэлефон іх не перасылае. Гэта выпадак, калі строгі VPN для ўсяго трафіку на тэлефоне цалкам спраўна працуе, пакуль праграма гадзінніка ўсё яшчэ выходзіць у інтэрнэт.

Адваротная скарга сустракаецца часцей: праграма гадзінніка перастае працаваць, як толькі ўзнімаецца тунель тэлефона.

Што ахоплівае includeAllNetworks, а што не

Дакументацыя Apple па маршрутызацыі для Network Extension пералічвае сувязь са спалучанымі прыладамі, уключна з трафікам да Apple Watch, сярод выключэнняў, якія яна выдзяляе, апісваючы includeAllNetworks. Мэта ў тым, каб шырокі тунель не ламаў лакальны канал паміж дзвюма прыладамі. Чытайце гэта вузка: ён абараняе канал спалучанай прылады, а не кожную службу, да якой можа звярнуцца праграма гадзінніка.

Ён таксама не сертыфікуе ніводны канкрэтны прадукт VPN і нічога не кажа пра тое, які транспартны канал гадзіннік выбраў у момант збою. Паведамленне, якое прыйшло позна, не доказ таго, што тунель яго скінуў.

Выключэнне таксама не ператварае гадзіннік на ўласным Wi-Fi ці сотавай сувязі ў кліента ўнутры тунеля. Калі вам патрэбна такая гарантыя, тунель павінен завяршацца там, дзе трафік гадзінніка сапраўды праходзіць, а тэлефон на гэтым шляху не знаходзіцца.

Прачытайце шлях, перш чым змяняць профіль

Перш чым кранаць канфігурацыю VPN, зафіксуйце тры рэчы: злучэнне, якое паведамляе гадзіннік (тэлефон, Wi-Fi або сотавая сувязь), ці знаходзіцца тэлефон у радыусе Bluetooth і адно названае дзеянне, якое не працуе. Затым паўтарыце гэтае дзеянне, не змяняючы шлях і выключыўшы VPN, калі гэта дазваляе палітыка. Вынік, які з’яўляецца толькі пры ўзнятым тунелі, — гэта праблема тунеля, а вынік, які з’яўляецца ў абодвух выпадках, — не.

Трымайце абедзве прылады на адным месцы ў абодвух прагонах, інакш вы будзеце мераць пакой, а не тунель.

Калі збой перажывае гэтае параўнанне, карысная справаздача сеткаваму адміністратару будзе вузкай: гэтая праграма, гэтае дзеянне, гэты транспартны канал, тунель уключаны і выключаны. Агульныя сцвярджэнні пра несумяшчальнасць гадзінніка і VPN немагчыма праверыць, і яны звычайна хаваюць заяву пра радыё, за якой стаіць партал перахопу або заблакаваная служба.