VPN en Apple TV: selección por app frente a una regla de dispositivo en el router

Ambas solicitudes empiezan con la misma frase: poner el Apple TV detrás de la VPN. Una persona se refiere al aparato completo, otra a una sola app de streaming que se ejecuta en él. Son ámbitos distintos, y en tvOS normalmente solo uno de los dos está disponible hoy. La distinción no tiene que ver con el protocolo ni con el proveedor, sino con quién puede ver qué aplicación creó una conexión. Un router ve paquetes y direcciones, mientras que una app en el televisor ve la identidad del proceso solo cuando su propio cliente implementa esa selección.

La diferencia es quién puede ver la identidad de la app

Un router reenvía por dirección de origen, dirección de destino y puerto. Nunca recibe el nombre del proceso de tvOS que abrió un socket, así que no tiene forma de expresar «esta app y nada más».

Una app de VPN que se ejecuta en el televisor está dentro del límite del proceso y puede, en principio, aplicar reglas por app. Que el cliente distribuido lo exponga es una cuestión de producto, no de protocolo.

Qué puede y qué no puede seleccionar una app de VPN en tvOS

Apple añadió compatibilidad con apps de VPN de terceros en tvOS 17, como recoge su anuncio de plataforma. Eso corrigió la suposición anterior de que un router debía ser el punto final. No prometió que todos los clientes ofrezcan una lista de inclusión o exclusión, y en ese hueco fallan la mayoría de estas comparaciones. Lee la página del proveedor para tvOS, no la de Windows o Android.

El split tunneling descrito para una versión de escritorio no es prueba para la versión de televisor. Los proveedores publican bases de código distintas por plataforma, y el cliente de televisor suele ser el más pequeño de todos.

La documentación de Apple sobre VPN por app gestionada describe un modelo de despliegue para dispositivos supervisados, no un interruptor de consumidor. Comprueba la lista de plataformas compatibles antes de importar instrucciones escritas para un iPhone o un Mac gestionado.

Qué selecciona realmente una regla de router

Con el router como punto final, una regla de dispositivo selecciona la dirección o el segmento del Apple TV. Es una selección de todo el dispositivo dentro del ámbito de la política, y no se convierte en «solo una app» porque hayas probado con una app. Si una segunda app en ese mismo televisor usa el túnel, la regla funciona exactamente como se diseñó.

Normalmente es la respuesta correcta cuando el objetivo es «este televisor, entero». También sobrevive a actualizaciones de apps, nuevos servicios de streaming y cambios de perfil, algo que la mayoría de las listas por app no pueden decir.

Las reglas de dominio y de destino no son identidades de apps

Una regla de destino selecciona direcciones o conjuntos de dominios mantenidos. Una app contacta con puntos finales de inicio de sesión, medios, telemetría y publicidad, y varias apps pueden compartir la misma infraestructura de entrega. Por eso una regla de dominio puede perder parte de la app que querías y capturar tráfico de otra que no querías.

El reenvío de DNS y los resolutores independientes lo complican aún más. Si el televisor resuelve nombres por una ruta distinta de la que supone la regla, el conjunto de destinos es incorrecto aunque la regla esté bien escrita.

Una comprobación de dirección pública desde tu portátil no dice nada sobre la ruta del televisor. Prueba desde el televisor o desde la app que realmente te importa.

Elegir entre las dos opciones

Elige la regla de router cuando el requisito abarque todo el dispositivo, cuando controles la red y cuando puedas aceptar que un túnel caído afecte a todo en ese televisor. Elige la app de tvOS cuando el propio cliente del proveedor documente la selección por app para tvOS y puedas confirmarla en el dispositivo. Entre ambos, la respuesta honesta es que tienes un ámbito de dispositivo completo y deberías dejarlo escrito antes de que alguien dependa de ello.

En cualquier caso, mantén intactas las reglas de acceso del servicio. La capacidad de enrutamiento no amplía el derecho regional de una cuenta, y una decisión de ámbito no cambia lo que el proveedor te servirá.

Dos preguntas resuelven la mayoría de estas solicitudes: quién necesita poder nombrar la app y qué debería ocurrir cuando caiga el túnel. Responde ambas antes de comprar hardware o una suscripción.