Apple TV VPN: výběr podle aplikací vs. pravidlo zařízení na routeru

Oba požadavky začínají stejnou větou: postav Apple TV za VPN. Jeden člověk myslí celé zařízení, druhý jednu streamovací aplikaci, která na něm běží. To jsou různé rozsahy a na tvOS je dnes obvykle dostupný jen jeden z nich. Rozdíl není v protokolu ani v poskytovateli, ale v tom, kdo vidí, která aplikace vytvořila spojení. Router vidí pakety a adresy, kdežto aplikace na televizoru vidí identitu procesu jen tehdy, když ji její vlastní klient implementuje.

Rozdíl je v tom, kdo vidí identitu aplikace

Router přeposílá podle zdrojové adresy, cílové adresy a portu. Nikdy nedostane název procesu tvOS, který otevřel socket, takže nemá jak vyjádřit „tato aplikace a nic jiného“.

VPN aplikace běžící na televizoru je uvnitř hranice procesu a může v zásadě uplatňovat pravidla pro jednotlivé aplikace. Zda to dodaný klient nabízí, je otázka produktu, ne protokolu.

Co tvOS VPN aplikace může a co nemůže vybrat

Apple přidal podporu VPN aplikací třetích stran v tvOS 17, jak uvádí oznámení platformy. Tím opravil starší předpoklad, že router musí být koncový bod. Neslíbil však, že každý klient nabízí seznam pro zahrnutí nebo vyloučení, a právě v této mezeře většina těchto srovnání selhává. Čtěte stránku poskytovatele pro tvOS, ne jeho stránku pro Windows nebo Android.

Rozdělený tunel popsaný pro desktopovou verzi není důkazem pro verzi pro televizor. Poskytovatelé vydávají různé kódové základny pro jednotlivé platformy a klient pro televizor je často nejmenší z nich.

Dokumentace Apple k řízené VPN pro jednotlivé aplikace popisuje model nasazení pro sledovaná zařízení, ne spotřebitelský přepínač. Před importem pokynů napsaných pro řízený iPhone nebo Mac zkontrolujte seznam podporovaných platforem.

Co pravidlo routeru skutečně vybírá

Když je router koncovým bodem, pravidlo zařízení vybere adresu nebo segment Apple TV. To je volba celého zařízení v rozsahu politiky a nestane se „jen jednou aplikací“ proto, že jste testovali s jednou aplikací. Pokud druhá aplikace na stejném televizoru tunel používá, pravidlo funguje přesně tak, jak bylo navrženo.

Obvykle je to správná odpověď, když je cílem „tento televizor, celý“. Přežije také aktualizace aplikací, nové streamovací služby a změny profilů, což je víc, než většina seznamů podle aplikací umí říct.

Pravidla domén a cílů nejsou identity aplikací

Pravidlo cíle vybírá adresy nebo udržované sady domén. Jedna aplikace kontaktuje koncové body pro přihlášení, média, telemetrii a reklamu a několik aplikací může sdílet stejnou doručovací infrastrukturu. Pravidlo domény proto může minout část aplikace, kterou jste mysleli, a zachytit provoz jiné, kterou jste nemysleli.

Přesměrování DNS a nezávislé resolvery to dále komplikují. Pokud televizor překládá názvy jinou cestou, než pravidlo předpokládá, je sada cílů špatná, i když je pravidlo samo napsané správně.

Kontrola veřejné adresy z notebooku vám o cestě televizoru neřekne nic. Testujte z televizoru nebo z aplikace, na které vám skutečně záleží.

Volba mezi oběma

Zvolte pravidlo routeru, když je požadavek na celé zařízení, když síť ovládáte a když můžete přijmout, že selhaný tunel ovlivní všechno na tom televizoru. Zvolte aplikaci tvOS, když vlastní klient poskytovatele dokumentuje výběr podle aplikací pro tvOS a můžete to na zařízení potvrdit. Mezi tím je poctivá odpověď taková, že máte rozsah celého zařízení a měli byste to zapsat, než na to někdo spolehne.

V každém případě zachovejte přístupová pravidla služby nedotčená. Možnost směrování nerozšiřuje regionální právo účtu a rozhodnutí o rozsahu nemění to, co vám poskytovatel poskytne.

Dvě otázky vyřeší většinu těchto požadavků: kdo musí umět pojmenovat aplikaci a co se má stát, když tunel spadne? Odpovězte na obě, než koupíte hardware nebo předplatné.