Apple TV VPN: Auswahl pro App oder Geräteregel am Router

Beide Anfragen beginnen mit demselben Satz: den Apple TV hinter das VPN stellen. Der eine meint die ganze Box, der andere meint eine einzelne Streaming-App, die darauf läuft. Das sind unterschiedliche Reichweiten, und auf tvOS ist heute meist nur eine davon verfügbar. Der Unterschied liegt nicht im Protokoll oder beim Anbieter, sondern darin, wer sehen kann, welche Anwendung eine Verbindung aufgebaut hat. Ein Router sieht Pakete und Adressen, eine App auf dem Fernseher sieht Prozessidentität nur dann, wenn ihr eigener Client diese Auswahl umsetzt.

Der Unterschied ist, wer die App-Identität sehen kann

Ein Router leitet nach Quelladresse, Zieladresse und Port weiter. Er erhält nie den Namen des tvOS-Prozesses, der einen Socket geöffnet hat, und kann daher nicht ausdrücken: "diese App und nichts anderes".

Eine VPN-App auf dem Fernseher liegt innerhalb der Prozessgrenze und kann grundsätzlich Regeln pro App anwenden. Ob der ausgelieferte Client das anbietet, ist eine Produktfrage und keine Protokollfrage.

Was eine tvOS-VPN-App auswählen kann und was nicht

Apple hat in tvOS 17 die Unterstützung für VPN-Apps von Drittanbietern hinzugefügt, wie die Plattformankündigung festhält. Das korrigierte die ältere Annahme, ein Router müsse der Endpunkt sein. Es versprach aber nicht, dass jeder Client eine Ein- oder Ausschlussliste bietet, und genau in dieser Lücke gehen die meisten dieser Vergleiche schief. Lies die tvOS-Seite des Anbieters, nicht seine Windows- oder Android-Seite.

Split-Tunneling, das für einen Desktop-Build beschrieben wird, ist kein Beleg für den TV-Build. Anbieter liefern je Plattform unterschiedliche Codebasen, und der TV-Client ist oft der kleinste davon.

Apples Dokumentation zu verwaltetem VPN pro App beschreibt ein Bereitstellungsmodell für überwachte Geräte, keinen Verbraucherschalter. Prüfe die Liste der unterstützten Plattformen, bevor du Anleitungen übernimmst, die für ein verwaltetes iPhone oder einen Mac geschrieben wurden.

Was eine Routerregel tatsächlich auswählt

Mit dem Router als Endpunkt wählt eine Geräteregel die Adresse oder das Segment des Apple TV. Das ist eine Auswahl des ganzen Geräts innerhalb des Geltungsbereichs der Richtlinie, und daraus wird nicht "nur eine App", weil du mit einer App getestet hast. Nutzt eine zweite App auf demselben Fernseher den Tunnel, arbeitet die Regel genau wie entworfen.

Das ist meist die richtige Antwort, wenn das Ziel "dieser Fernseher, komplett" lautet. Sie übersteht auch App-Updates, neue Streamingdienste und Profiländerungen, was die meisten Pro-App-Listen nicht von sich sagen können.

Domänen- und Zielregeln sind keine App-Identitäten

Eine Zielregel wählt Adressen oder gepflegte Domänensätze. Eine App kontaktiert Endpunkte für Login, Medien, Telemetrie und Werbung, und mehrere Apps können dieselbe Auslieferungsinfrastruktur teilen. Eine Domänenregel kann daher einen Teil der gemeinten App verfehlen und Verkehr von einer anderen erfassen, die du nicht gemeint hast.

DNS-Weiterleitung und unabhängige Resolver erschweren das zusätzlich. Löst der Fernseher Namen über einen anderen Weg als die Regel annimmt, ist der Zielsatz falsch, selbst wenn die Regel selbst korrekt geschrieben ist.

Eine Prüfung der öffentlichen Adresse von deinem Laptop sagt nichts über den Weg des Fernsehers aus. Teste vom Fernseher aus oder aus der App, die dir wirklich wichtig ist.

Die Wahl zwischen beiden

Wähle die Routerregel, wenn die Anforderung geräteweit ist, wenn du das Netzwerk kontrollierst und wenn du akzeptieren kannst, dass ein fehlgeschlagener Tunnel alles auf diesem Fernseher betrifft. Wähle die tvOS-App, wenn der Client des Anbieters die Auswahl pro App für tvOS dokumentiert und du sie auf dem Gerät bestätigen kannst. Dazwischen lautet die ehrliche Antwort, dass du geräteweiten Umfang hast und das aufschreiben solltest, bevor sich jemand darauf verlässt.

Halte in jedem Fall die Zugriffsregeln des Dienstes intakt. Routingfähigkeit erweitert nicht den regionalen Anspruch eines Kontos, und eine Entscheidung zum Umfang ändert nicht, was der Anbieter dir liefert.

Zwei Fragen klären die meisten dieser Anfragen: Wer muss die App benennen können, und was soll passieren, wenn der Tunnel ausfällt? Beantworte beides, bevor du Hardware oder ein Abo kaufst.