Nutzt deine Apple Watch die VPN-Verbindung des iPhone?

Die Uhr hat keine VPN-Einstellung, die du öffnen kannst, und das ist das Erste, was du verstehen musst. Die gesamte VPN-Konfiguration liegt auf dem gekoppelten iPhone, in einem Profil oder innerhalb der Network Extension einer App. Ob der Datenverkehr der Uhr diesen Tunnel tatsächlich passiert, hängt davon ab, welche Verbindung die Uhr in diesem Moment nutzt. Diese eine Tatsache erklärt die meisten verwirrenden Berichte über eine Uhr, die weiter funktioniert, während das Telefon in einem VPN hängt, oder umgekehrt.

watchOS hat keinen VPN-Client, auf den man zeigen könnte

watchOS kommt ohne Bildschirm für die VPN-Konfiguration, es gibt also keinen Tunnel pro Uhr zum Aktivieren oder Debuggen. Ein auf dem iPhone installiertes Profil gilt für das iPhone, und die Uhr übernimmt Verhalten nur über die Wege, die beide Geräte teilen. Behandle jede Aussage über eine VPN-Einstellung an der Uhr als Zeichen dafür, dass die Person den Bildschirm des Telefons beschreibt.

Deshalb können MDM-Teams auch keine VPN-Payload auf eine Uhr schieben, wie sie eine auf ein Telefon schieben.

Was die Uhr hat, ist eine Reihe von Transportwegen, und sie wählt ständig darunter: Bluetooth zum nahen Telefon, ein kompatibles Wi-Fi-Netz, für das sie Zugangsdaten besitzt, oder Mobilfunk bei einem Modell mit Tarif. Jede Wahl ändert, wer die Pakete trägt, und genau das ist der Teil, der für deinen Tunnel zählt.

Bluetooth: das Telefon trägt die Pakete

Ist das Telefon in der Nähe, bevorzugt die Uhr Bluetooth, weil es weit weniger Energie kostet als Wi-Fi oder Mobilfunk. Daten einer App auf der Uhr verlassen das Gerät über diesen Weg, erreichen das Telefon und folgen dann dessen Routing- und Tunnelregeln wie jeder andere Verkehr, den das Telefon erzeugt oder weiterleitet. In diesem Zustand liegt das VPN des Telefons tatsächlich im Pfad. Deshalb kann eine App auf der Uhr bei aktivem Tunnel scheitern, obwohl die Uhr nie eine eigene Verbindung geöffnet hat.

Diese Weiterleitung ist nicht dasselbe, als würde die Uhr dem Tunnel beitreten. Der Tunnel gehört zum Netzwerk-Stack des Telefons, und die Uhr hat keinen Einblick: keine Adresszuweisung, keine eigenen Routen, kein Tunnelstatus zum Auslesen. Du wirst den Verkehr der Uhr nicht als eigene Sitzung innerhalb des Tunnels finden.

Ein nützlicher Test ist, Bluetooth nur am Telefon zu deaktivieren und die fehlschlagende Aktion zu wiederholen. Funktioniert sie dann, war der Weg die Weiterleitung über das Telefon.

Wi-Fi und Mobilfunk: die Uhr verlässt den Tunnel

Verliert Bluetooth die Reichweite oder wird es deaktiviert, versucht die Uhr ein kompatibles Wi-Fi-Netz, das sie bereits kennt, und ein Mobilfunkmodell mit Empfang kann auf den Anbieter zurückfallen. Apples Leitfaden zur Konnektivität der Uhr beschreibt diese Reihenfolge und merkt an, dass das Wi-Fi-Symbol bedeutet, die Uhr sei im Wi-Fi und spreche nicht mit dem iPhone. Verkehr auf diesen Wegen endet an der Uhr, nicht am Telefon.

Der Tunnel des Telefons reicht also nicht dorthin. Die eigenen Verbindungen der Uhr stellt watchOS her, mit den Funkmodulen der Uhr und den Zugangsdaten, die sie besitzt, und das Telefon leitet sie nicht weiter. Das ist der Fall, in dem ein striktes VPN für den gesamten Verkehr auf dem Telefon einwandfrei arbeiten kann, während eine App auf der Uhr weiterhin das Internet erreicht.

Die umgekehrte Klage ist häufiger: eine App auf der Uhr scheitert, sobald der Tunnel des Telefons hochkommt.

Was includeAllNetworks abdeckt und was nicht

Apples Routing-Dokumentation für Network Extension führt die Kommunikation mit Begleitgeräten, einschließlich Verkehr zu einer Apple Watch, unter den Ausnahmen auf, die sie bei der Beschreibung von includeAllNetworks herausnimmt. Die Absicht ist, dass ein breiter Tunnel die lokale Verbindung zwischen den beiden Geräten nicht bricht. Lies das eng: geschützt ist der Begleitkanal, nicht jeder Dienst, den eine App auf der Uhr aufrufen könnte.

Sie zertifiziert auch kein bestimmtes VPN-Produkt und sagt nichts darüber, welchen Transportweg die Uhr im Moment des Fehlers gewählt hat. Eine verspätet ankommende Mitteilung ist kein Beweis dafür, dass der Tunnel sie verworfen hat.

Die Ausnahme macht aus einer Uhr im eigenen Wi-Fi oder Mobilfunk auch keinen getunnelten Client. Brauchst du diese Garantie, muss der Tunnel dort enden, wo der Verkehr der Uhr tatsächlich vorbeikommt, und das Telefon liegt nicht auf diesem Weg.

Lies den Pfad, bevor du das Profil änderst

Bevor du die VPN-Konfiguration anfasst, halte drei Dinge fest: die Verbindung, die die Uhr meldet (Telefon, Wi-Fi oder Mobilfunk), ob das Telefon in Bluetooth-Reichweite ist, und eine benannte Aktion, die fehlschlägt. Wiederhole diese Aktion dann mit unverändertem Pfad und ausgeschaltetem VPN, wenn die Richtlinie es erlaubt. Ein Ergebnis, das nur bei aktivem Tunnel auftritt, ist ein Tunnelproblem, und ein Ergebnis, das in beiden Fällen auftritt, ist keines.

Halte beide Geräte bei beiden Durchläufen am selben Ort, sonst misst du den Raum statt den Tunnel.

Übersteht der Fehler diesen Vergleich, ist der nützliche Bericht an einen Netzwerkadministrator eng: diese App, diese Aktion, dieser Transportweg, Tunnel an und aus. Pauschale Aussagen über die Unverträglichkeit von Uhr und VPN lassen sich nicht prüfen, und sie verbergen meist ein Captive Portal oder einen blockierten Dienst hinter einer Behauptung über das Funkmodul.