El hub doméstico del Apple TV: añadir una VPN sin romper la casa

En la mayoría de los hogares el Apple TV acaba haciendo dos trabajos a la vez: punto final de streaming y, bastante a menudo, el hub doméstico activo que responde a las peticiones remotas de los accesorios y ejecuta automatizaciones. Poner una VPN delante de esa caja puede ser perfectamente correcto, pero una reproducción de vídeo correcta no demuestra casi nada sobre el segundo trabajo. El trabajo es una línea base del papel de hub, una comprobación de cómo llega el túnel a tvOS y dos pruebas de aceptación que se mantienen separadas. Este es el orden que uso.

Paso 1: Anota el hub activo antes de tocar la red

Abre la app Home en un iPhone, iPad o Mac, ve a Home Settings y luego a Home Hubs & Bridges. El dispositivo que hace el trabajo ahora aparece arriba, y la guía de hubs domésticos de Apple cubre los requisitos y el ajuste Automatic Selection que te permite fijar un hub preferido.

Anota ese nombre antes de cambiar nada.

Si un HomePod presta servicio a la casa, tu cambio en el Apple TV puede ser irrelevante y una prueba de control remoto superada después no demuestra nada sobre el túnel. Si el Apple TV es el hub, los requisitos previos importan tanto como la VPN: encendido, unido a la red doméstica, con la sesión iniciada con la Apple Account que usa la casa, con iCloud Keychain y la autenticación en dos pasos activadas en esa cuenta. Una configuración a medias produce el mismo síntoma que un enrutamiento defectuoso, y es mucho más barato descartarla primero.

Paso 2: Confirma cómo llega una VPN a tvOS

tvOS no tiene panel de VPN en Settings. En la práctica un túnel llega al Apple TV de una de dos formas: termina en el router y cubre cada dispositivo de la casa, o llega como perfil de configuración empujado por una herramienta de gestión, lo que a su vez normalmente significa un dispositivo supervisado. Si no se aplica ninguna, el Apple TV no es donde vivirá el túnel, y el resto de este plan corresponde al router.

Las dos formas se comportan de manera distinta cuando algo falla. Un túnel en el router cambia la conectividad de todos los dispositivos a la vez, así que un solo accesorio que falla es difícil de atribuir. Un perfil es un objeto extraíble con una fecha de instalación visible, lo que convierte la reversión en una operación de dos minutos en lugar de una restauración del router. Elige con intención, y si vas por el camino del router, prueba el hub con un horario que te permita revertir sin despertar a la casa.

Paso 3: Haz el control local y el acceso remoto como comprobaciones separadas

La prueba local se hace en casa, por Wi-Fi, usando la app Home para accionar un accesorio del que realmente dependes. Abre una puerta de garaje, cambia un punto de consigna de un termostato, activa una automatización. Que la app Home cargue sus mosaicos no es la prueba; la prueba es que el accesorio responda.

Después haz la prueba remota, y mantenla aburrida. Saca un iPhone del Wi-Fi, confirma que está en la red móvil y envía una orden de bajo impacto. No pruebes con una cerradura, una alarma o algo que fuera incómodo equivocar.

Repite ambas pruebas después de activar la VPN, y anota de nuevo el hub activo en ese momento. Deja el teléfono tranquilo durante la comparación, porque cambiar los ajustes de VPN en dos dispositivos a la vez convierte un resultado limpio en una discusión sobre la atribución.

Paso 4: Sabe qué dependencia falla primero

Tres cosas se rompen en un orden predecible cuando un túnel interfiere con Home. Primero cae la alcanzabilidad de iCloud y push, que se ve como un acceso remoto que falla mientras en casa todo funciona. Luego va el papel de router frontera de Thread, y eso es específico del Apple TV 4K de tercera generación y del HomePod mini, así que un accesorio Thread que se cae apunta allí y no al Wi-Fi. El descubrimiento local es lo tercero: HomeKit se apoya en Bonjour y multicast en la LAN, y un túnel que se traga el multicast o impone su propio DNS rompe el descubrimiento mientras deja sano el tráfico normal de internet.

Ese orden te dice dónde mirar. Los fallos solo remotos apuntan a push e iCloud; los fallos de descubrimiento local apuntan a la ruta de la LAN; los accesorios Thread que desaparecen apuntan al router frontera.

Nada de esto se arregla abriendo puertos entrantes en el router, desactivando la autenticación en dos pasos o añadiendo excepciones supuestas para los servicios de Apple. Esos movimientos amplían la superficie de ataque y rara vez cambian el síntoma.

Reversión antes de necesitarla

Mantén la configuración anterior en una forma que puedas restaurar en un solo paso: los ajustes antiguos del router exportados, o el perfil todavía disponible para eliminarlo. Conoce la ruta que quita el perfil del dispositivo antes de instalarlo, y confirma después que Home Hubs & Bridges muestra el mismo hub activo que en el paso 1.

Si el papel de hub y tu política de VPN de verdad no pueden convivir, añade o mantén un segundo hub en lugar de aceptar un control intermitente. Una automatización que se dispara casi siempre es peor que una que nunca se dispara, porque nadie confía en ella y nadie la arregla.