La teva Apple Watch fa servir la connexió VPN de l’iPhone?

El rellotge no té cap ajust de VPN que puguis obrir, i això és el primer que cal entendre. Tota la configuració de VPN viu a l’iPhone aparellat, en un perfil o dins del Network Extension d’una app. Si el trànsit del rellotge travessa realment aquest túnel depèn de quin enllaç fa servir el rellotge en aquell moment. Aquest sol fet explica la majoria d’informes confusos sobre un rellotge que continua funcionant mentre el telèfon està en una VPN, o al revés.

watchOS no té cap client VPN al qual apuntar

watchOS arriba sense pantalla de configuració de VPN, així que no hi ha cap túnel per rellotge per activar ni depurar. Un perfil instal·lat a l’iPhone s’aplica a l’iPhone, i el rellotge només n’hereta el comportament a través dels camins que comparteixen els dos dispositius. Tracta qualsevol afirmació sobre un ajust de VPN al rellotge com un senyal que la persona descriu la pantalla del telèfon.

És també per això que els equips d’MDM no poden enviar un payload de VPN a un rellotge com l’envien a un telèfon.

El que sí que té el rellotge és un conjunt de transports, i tria entre ells constantment: Bluetooth fins al telèfon proper, una xarxa Wi-Fi compatible de la qual té credencials, o cel·lular en un model amb pla. Cada elecció canvia qui porta els paquets, i aquesta és la part que importa per al teu túnel.

Bluetooth: el telèfon porta els paquets

Quan el telèfon és a prop, el rellotge prefereix Bluetooth perquè consumeix molta menys energia que el Wi-Fi o el cel·lular. Les dades d’una app del rellotge surten per aquest enllaç, arriben al telèfon i després segueixen les regles d’encaminament i de túnel del telèfon com qualsevol altre trànsit que el telèfon origina o retransmet. En aquest estat la VPN del telèfon és realment al camí. Per això una app del rellotge pot fallar amb el túnel aixecat, tot i que el rellotge mai no ha obert una connexió pròpia.

Aquesta retransmissió no és el mateix que el rellotge s’uneixi al túnel. El túnel pertany a la pila de xarxa del telèfon, i el rellotge no en té cap visió: ni assignació d’adreces, ni rutes pròpies, ni estat del túnel per llegir. No trobaràs el trànsit del rellotge com una sessió separada dins del túnel.

Una prova útil és desactivar el Bluetooth només al telèfon i repetir l’acció que falla. Si comença a funcionar, el camí era la retransmissió del telèfon.

Wi-Fi i cel·lular: el rellotge surt del túnel

Si el Bluetooth surt de l’abast o es desactiva, el rellotge prova una xarxa Wi-Fi compatible que ja coneix, i un model cel·lular amb servei pot recórrer a l’operador. La guia de connectivitat del rellotge d’Apple descriu aquest ordre i assenyala que la icona de Wi-Fi vol dir que el rellotge és en Wi-Fi i no pas que parli amb l’iPhone. El trànsit en aquests camins acaba al rellotge, no al telèfon.

Per tant el túnel del telèfon no s’hi estén. Les connexions pròpies del rellotge les fa watchOS, amb les ràdios del rellotge i les credencials que té, i el telèfon no les reenvia. Aquest és el cas en què una VPN estricta de tot el trànsit al telèfon pot funcionar perfectament mentre una app del rellotge encara arriba a internet.

La queixa inversa és més habitual: una app del rellotge falla quan el túnel del telèfon s’aixeca.

Què cobreix includeAllNetworks i què no

La documentació d’encaminament d’Apple per a Network Extension inclou la comunicació amb dispositius acompanyants, també el trànsit cap a un Apple Watch, entre les excepcions que estableix en descriure includeAllNetworks. La intenció és que un túnel ampli no trenqui l’enllaç local entre els dos dispositius. Llegeix-ho en sentit estricte: protegeix el canal del dispositiu acompanyant, no cada servei que una app del rellotge pugui cridar.

Tampoc no certifica cap producte VPN concret, i no diu res sobre quin transport va triar el rellotge en el moment de la fallada. Una notificació que arriba tard no és prova que el túnel l’hagi descartada.

L’excepció tampoc no converteix un rellotge en la seva pròpia Wi-Fi o cel·lular en un client dins del túnel. Si necessites aquesta garantia, el túnel ha d’acabar en un lloc on el trànsit del rellotge passi de debò, i el telèfon no és en aquest camí.

Llegeix el camí abans de canviar el perfil

Abans de tocar la configuració de la VPN, anota tres coses: la connexió que informa el rellotge (telèfon, Wi-Fi o cel·lular), si el telèfon és dins de l’abast del Bluetooth i una acció concreta que falla. Després repeteix aquesta acció amb el camí intacte i la VPN desactivada, si la política ho permet. Un resultat que només apareix amb el túnel aixecat és un problema de túnel, i un resultat que apareix en tots dos casos no ho és.

Mantén els dos dispositius al mateix lloc en les dues proves, o estaràs mesurant l’habitació i no el túnel.

Quan la fallada sobreviu a aquesta comparació, l’informe útil a un administrador de xarxa és estret: aquesta app, aquesta acció, aquest transport, túnel activat i desactivat. Les afirmacions generals sobre la incompatibilitat del rellotge amb la VPN no es poden comprovar, i normalment amaguen un portal captiu o un servei bloquejat darrere d’una afirmació sobre la ràdio.