VPN a l’Apple TV: selecció per aplicació o regla de dispositiu al router

Totes dues peticions comencen amb la mateixa frase: posa l’Apple TV darrere la VPN. Una persona vol dir tot l’aparell, l’altra vol dir una sola aplicació d’streaming que hi funciona. Són abasts diferents, i a tvOS normalment només n’hi ha un de disponible avui. La diferència no és el protocol ni el proveïdor, sinó qui pot veure quina aplicació ha creat una connexió. Un router veu paquets i adreces, mentre que una aplicació al televisor veu la identitat del procés només quan el seu propi client implementa aquesta selecció.

La diferència és qui pot veure la identitat de l’aplicació

Un router reenvia per adreça d’origen, adreça de destinació i port. Mai no rep el nom del procés de tvOS que ha obert un sòcol, així que no té manera d’expressar «aquesta aplicació i res més».

Una aplicació de VPN que funciona al televisor és dins del límit del procés i pot, en principi, aplicar regles per aplicació. Si el client distribuït ho exposa és una qüestió de producte, no de protocol.

Què pot triar i què no pot triar una aplicació de VPN a tvOS

Apple va afegir suport per a aplicacions de VPN de tercers a tvOS 17, tal com recull el seu anunci de plataforma. Això va corregir la suposició més antiga que un router havia de ser el punt final. No va prometre que tots els clients ofereixin una llista d’inclusió o d’exclusió, i aquesta llacuna és on fallen la majoria d’aquestes comparacions. Llegiu la pàgina del proveïdor per a tvOS, no la de Windows o Android.

L’split tunneling descrit per a una versió d’escriptori no és prova per a la versió de televisor. Els proveïdors publiquen bases de codi diferents per plataforma, i el client de televisor sovint és el més petit de tots.

La documentació d’Apple sobre VPN per aplicació gestionada descriu un model de desplegament per a dispositius supervisats, no un commutador de consumidor. Comproveu la llista de plataformes compatibles abans d’importar instruccions escrites per a un iPhone o un Mac gestionat.

Què selecciona realment una regla de router

Amb el router com a punt final, una regla de dispositiu selecciona l’adreça o el segment de l’Apple TV. És una selecció de tot el dispositiu dins de l’abast de la política, i no es converteix en «només una aplicació» perquè hàgiu provat amb una aplicació. Si una segona aplicació al mateix televisor utilitza el túnel, la regla funciona exactament com es va dissenyar.

Normalment és la resposta correcta quan l’objectiu és «aquest televisor, tot». També sobreviu a actualitzacions d’aplicacions, nous serveis d’streaming i canvis de perfil, cosa que la majoria de llistes per aplicació no poden dir.

Les regles de domini i de destinació no són identitats d’aplicacions

Una regla de destinació selecciona adreces o conjunts de dominis mantinguts. Una aplicació contacta amb punts finals d’inici de sessió, mitjans, telemetria i publicitat, i diverses aplicacions poden compartir la mateixa infraestructura de lliurament. Per tant, una regla de domini pot perdre part de l’aplicació que volíeu i capturar el trànsit d’una que no volíeu.

El reenviament de DNS i els resoledors independents ho compliquen encara més. Si el televisor resol els noms per un camí diferent del que suposa la regla, el conjunt de destinacions és incorrecte encara que la regla estigui ben escrita.

Una comprovació d’adreça pública feta des del vostre portàtil no diu res sobre el camí del televisor. Proveu-ho des del televisor, o des de l’aplicació que realment us importa.

Triar entre les dues opcions

Trieu la regla de router quan el requisit sigui per a tot el dispositiu, quan controleu la xarxa i quan pugueu acceptar que un túnel fallit afecti tot el que hi ha en aquell televisor. Trieu l’aplicació de tvOS quan el client del proveïdor documenti la selecció per aplicació per a tvOS i ho pugueu confirmar al dispositiu. Entremig, la resposta honesta és que teniu abast de tot el dispositiu i que cal escriure-ho abans que ningú hi confiï.

En qualsevol cas, manteniu intactes les regles d’accés del servei. La capacitat d’encaminament no amplia el dret regional d’un compte, i una decisió d’abast no canvia què us servirà el proveïdor.

Dues preguntes resolen la majoria d’aquests casos: qui ha de poder nomenar l’aplicació i què ha de passar quan el túnel caigui? Responeu les dues abans de comprar maquinari o una subscripció.