Bruger dit Apple Watch iPhonens VPN-forbindelse?

Uret har ingen VPN-indstilling, du kan åbne, og det er den første ting at forstå. Al VPN-konfiguration ligger på den parrede iPhone, i en profil eller inde i en apps Network Extension. Om urets trafik faktisk krydser den tunnel, afhænger af, hvilket link uret bruger i det øjeblik. Den ene kendsgerning forklarer de fleste forvirrede rapporter om et ur, der bliver ved med at virke, mens telefonen er på en VPN, eller omvendt.

watchOS har ingen VPN-klient at pege på

watchOS leveres uden en skærm til VPN-konfiguration, så der er ingen tunnel pr. ur at slå til eller fejlfinde. En profil, der er installeret på iPhonen, gælder for iPhonen, og uret arver kun adfærd gennem de veje, de to enheder deler. Betragt enhver påstand om en VPN-indstilling på uret som et tegn på, at personen beskriver telefonens skærm.

Det er også derfor, at MDM-teams ikke kan skubbe en VPN-payload til et ur, som de skubber en til en telefon.

Det, uret har, er et sæt transportveje, og det vælger konstant mellem dem: Bluetooth til den nærliggende telefon, et kompatibelt Wi-Fi-netværk, det har legitimationsoplysninger til, eller mobildata på en model med et abonnement. Hvert valg ændrer, hvem der bærer pakkerne, og det er den del, der betyder noget for din tunnel.

Bluetooth: telefonen bærer pakkerne

Når telefonen er i nærheden, foretrækker uret Bluetooth, fordi det bruger langt mindre strøm end Wi-Fi eller mobildata. Data fra en app på uret forlader via det link, ankommer til telefonen og følger derefter telefonens routing- og tunnelregler som enhver anden trafik, telefonen skaber eller videresender. I den tilstand er telefonens VPN virkelig på vejen. Det er derfor, en app på uret kan fejle med tunnelen oppe, selv om uret aldrig åbnede sin egen forbindelse.

Den videresendelse er ikke det samme som, at uret slutter sig til tunnelen. Tunnelen tilhører telefonens netværksstak, og uret har ingen indsigt i den: ingen tildeling af adresse, ingen egne ruter, ingen tunnelstatus at læse. Du finder ikke urets trafik som en separat session inde i tunnelen.

En nyttig test er at deaktivere Bluetooth kun på telefonen og gentage den handling, der fejler. Hvis det begynder at virke, var vejen telefonens videresendelse.

Wi-Fi og mobildata: uret forlader tunnelen

Hvis Bluetooth kommer ud af rækkevidde eller deaktiveres, prøver uret et kompatibelt Wi-Fi-netværk, det allerede kender, og en mobil model med dækning kan falde tilbage til operatøren. Apples vejledning om urets tilslutning beskriver den rækkefølge og bemærker, at Wi-Fi-ikonet betyder, at uret er på Wi-Fi i stedet for at tale med iPhonen. Trafik på disse veje ender ved uret, ikke ved telefonen.

Så telefonens tunnel strækker sig ikke dertil. Urets egne forbindelser oprettes af watchOS med urets radioer og de legitimationsoplysninger, det har, og telefonen videresender dem ikke. Det er tilfældet, hvor en streng VPN for al trafik på telefonen kan fungere perfekt, mens en app på uret stadig når internettet.

Den omvendte klage er mere almindelig: en app på uret fejler, når telefonens tunnel kommer op.

Hvad includeAllNetworks dækker, og hvad det ikke gør

Apples routingdokumentation for Network Extension nævner kommunikation med partnerenheder, herunder trafik til et Apple Watch, blandt de undtagelser, den udpeger, når den beskriver includeAllNetworks. Hensigten er, at en bred tunnel ikke bryder den lokale forbindelse mellem de to enheder. Læs det snævert: det beskytter partnerkanalen, ikke enhver tjeneste, en app på uret kan kalde.

Det certificerer heller ikke et bestemt VPN-produkt og siger intet om, hvilken transportvej uret valgte i fejløjeblikket. En meddelelse, der ankommer sent, er ikke bevis for, at tunnelen droppede den.

Undtagelsen gør heller ikke et ur på sit eget Wi-Fi eller mobildata til en tunneleret klient. Hvis du har brug for den garanti, skal tunnelen slutte et sted, hvor urets trafik faktisk passerer, og telefonen er ikke på den vej.

Læs vejen, før du ændrer profilen

Før du rører VPN-konfigurationen, skal du notere tre ting: den forbindelse, uret rapporterer (telefon, Wi-Fi eller mobildata), om telefonen er inden for Bluetooth-rækkevidde, og én navngivet handling, der fejler. Gentag derefter den handling med vejen uændret og VPN slået fra, hvis politikken tillader det. Et resultat, der kun vises med tunnelen oppe, er et tunnelproblem, og et resultat, der vises uanset hvad, er det ikke.

Hold begge enheder på samme sted i begge kørsler, ellers måler du lokalet i stedet for tunnelen.

Når fejlen overlever den sammenligning, er den nyttige rapport til en netværksadministrator smal: denne app, denne handling, denne transportvej, tunnel til og fra. Generelle udsagn om uforenelighed mellem ur og VPN kan ikke kontrolleres, og de skjuler normalt en captive portal eller en blokeret tjeneste bag en påstand om radioen.