So bringen Sie ein Apple TV ohne Router hinter ein VPN

Wenn Sie gelesen haben, dass ein Apple TV ein VPN nur über einen Router bekommt, ist dieser Rat veraltet. Seit tvOS 17 erlaubt Apple VPN-Apps von Drittanbietern auf dem Gerät selbst, sodass der Fernseher den Tunnel halten kann, wie es ein Telefon tut. Unverändert ist, dass ein VPN auf Ihrem Mac oder Telefon nur dieses Gerät abdeckt, so nah es auch am Fernseher steht. Wählen Sie zuerst die Platzierung, App auf dem Fernseher oder Gateway davor, und der Rest der Einrichtung folgt aus dieser Wahl.

Der Rat nur mit Router war einmal richtig

Ältere Anleitungen lagen damals nicht falsch. tvOS hatte keine VPN-Apps von Drittanbietern, deshalb war der einzige Weg, den Verkehr des Fernsehers durch einen Tunnel zu führen, ein Gateway davorzustellen oder eine Mac-Verbindung zu teilen. Die tvOS-17-Version änderte die erste Hälfte davon, weil VPN-Apps auf dem Apple TV installierbar wurden.

Verfügbarkeit ist nicht dasselbe wie flächendeckende Unterstützung. Die App muss für Ihre Region und Ihr Gerät gelistet sein, die Mindestversion von tvOS muss erfüllt sein, und das Protokoll, das sie spricht, muss zu dem Gateway passen, das Sie tatsächlich besitzen.

Was die tvOS-App kann und was nicht

Eine VPN-App auf dem Apple TV verhält sich wie dieselbe App auf einem Telefon. Sie installiert ein Profil, öffnet einen Tunnel und leitet den Verkehr des Geräts hindurch; Sie melden sich in der App oder über einen Gerätecode-Ablauf an, wählen einen Standort und verbinden. Es gibt kein Terminal und keinen Konfigurationseditor, deshalb hat ein Anbieter, der nur einen Desktop-Client oder eine handbearbeitete WireGuard-Datei liefert, hier nichts zu installieren.

Zwei Grenzen überraschen viele. Die App leitet weiter, was tvOS zulässt, deshalb kann ein Streamingdienst, der Zertifikate pinnt oder einen eigenen Resolver nutzt, weiterhin protestieren, obwohl sich Ihre Ausgangsadresse geändert hat. Und eine App, die für eine neuere tvOS-Version gebaut wurde als Ihr Gerät ausführt, lässt sich gar nicht installieren. Prüfen Sie beides, bevor Sie zu diesem Zweck ein Abonnement kaufen.

Auch Haushaltskonten zählen. Eine VPN-App, die mit einer Apple ID angemeldet ist, ist ein Tunnel auf Geräteebene, keine Einstellung pro Zuschauer, deshalb teilen alle, die diesen Fernseher nutzen, den von Ihnen gewählten Ausgangsstandort.

Wann ein Gateway noch die richtige Antwort ist

Ein Gateway gewinnt, wenn Sie eine Regel für mehrere Geräte wollen, wenn der Anbieter keine tvOS-App hat oder wenn der Tunnel einen Reset oder Austausch des Fernsehers überleben muss. Ein Router, der den VPN-Client ausführt, oder eine kleine Box als Standard-Gateway des Fernsehers bewegt den Verkehr, ohne dass am Fernseher etwas installiert ist.

Diese Anordnung braucht zwei Dinge, die viele überspringen: eine stabile Adresse für den Fernseher und ein definiertes Fehlerverhalten. Geben Sie dem Fernseher eine DHCP-Reservierung, damit die Routingregel weiter passt, und entscheiden Sie dann, ob er auf die normale Verbindung zurückfällt oder das Internet verliert, wenn der Tunnel ausfällt. Nehmen Sie DNS in diese Entscheidung auf, denn ein Gateway, das Verkehr weiterleitet, aber Abfragen an den Resolver des Anbieters verrät, hat die Arbeit nicht beendet.

Die Regel selbst richtet sich meist nach Quelladresse oder nach Netzsegment. Stellen Sie den Fernseher in ein eigenes VLAN, wenn der Router das unterstützt, schicken Sie dieses Segment durch den Tunnel und lassen Sie den Rest des Hauses auf dem normalen Weg. So geschrieben bleibt die Regel auch nach sechs Monaten lesbar.

Ein VPN auf Ihrem Mac ist kein TV-VPN

Das ist der Mythos, der am längsten lebt, weil die Einrichtung so aussieht, als müsste sie funktionieren. Die Internetfreigabe von macOS kann dem Fernseher eine Adresse geben und seinen Verkehr weiterleiten, aber sie leitet ihn über die Gegenstelle weiter, die der Mac in diesem Moment nutzt. Ein VPN-Client auf dem Mac wird nicht automatisch diese Gegenstelle, und manche Clients schließen weitergeleiteten Verkehr bewusst aus, damit sie niemals Pakete durch sich selbst schleifen. Je nach macOS-Version listet das Freigabefenster Ihren VPN-Dienst auf oder nicht, und selbst wenn, trägt ein Client, der weitergeleiteten Verkehr ausschließt, den Fernseher nicht.

Wenn der Mac als Gateway dienen soll, nutzen Sie einen Client, der den Gateway-Modus für andere Geräte dokumentiert, und prüfen Sie vom Fernseher aus statt vom Mac aus.

Testen Sie vom Fernseher, nicht vom Telefon

Der einzige Beweis, der zählt, ist das, was der Fernseher meldet. Öffnen Sie einen Browser oder eine Netzwerkinfo-App auf dem Fernseher und lesen Sie die öffentliche Adresse, die er sieht, oder prüfen Sie im Routerprotokoll die Adresse des Fernsehers, der durch den Tunnel geht. Ein Telefon im selben WLAN beweist nichts über den Weg des Fernsehers.

Testen Sie dann den Fehlerweg. Trennen Sie den Tunnel und bestätigen Sie, dass sich der Fernseher so verhält, wie Sie es zuvor entschieden haben; fällt er still auf die gewöhnliche Verbindung zurück, haben Sie ein Leck und keinen Rückfall.

Gehen Sie diese Liste einmal durch, und die Einrichtung bleibt stabil: Modell und tvOS-Version bestätigen, die App des Anbieters aus dem App Store installieren oder das Gateway konfigurieren, eine DHCP-Reservierung hinzufügen, wenn eine Regel von der Adresse abhängt, DNS und den getrennten Zustand festlegen und vom Fernseher selbst prüfen. Wenn die App installiert, der Stream aber weiter scheitert, liegt die Ursache meist in den Kontoregeln des Dienstes selbst und nicht im Tunnel.