Cómo poner un Apple TV detrás de una VPN sin router

Si ha leído que un Apple TV solo puede obtener una VPN desde un router, ese consejo está desfasado. Desde tvOS 17, Apple permite apps de VPN de terceros en el propio aparato, así que el televisor puede mantener el túnel como lo hace un teléfono. Lo que no ha cambiado es que una VPN que se ejecuta en su Mac o teléfono solo cubre ese dispositivo, por cerca que esté del televisor. Elija primero la ubicación, app en el televisor o puerta de enlace delante de él, y el resto de la configuración se deriva de esa elección.

El consejo del router solo era cierto en su momento

Las guías antiguas no se equivocaban entonces. tvOS no tenía apps de VPN de terceros, así que la única forma de llevar el tráfico del televisor por un túnel era poner una puerta de enlace delante o compartir la conexión de un Mac. La versión tvOS 17 cambió la primera mitad de eso, porque las apps de VPN se volvieron instalables en el Apple TV.

Disponibilidad no es lo mismo que soporte universal. La app tiene que estar listada para su región y su aparato, debe cumplirse la versión mínima de tvOS, y el protocolo que habla debe coincidir con la puerta de enlace que realmente tiene.

Qué puede y qué no puede hacer la app de tvOS

Una app de VPN en el Apple TV se comporta como la misma app en un teléfono. Instala un perfil, abre un túnel y enruta el tráfico del dispositivo a través de él; inicie sesión dentro de la app o con un flujo de código de dispositivo, elija una ubicación y conéctese. No hay terminal ni editor de configuración, así que un proveedor que solo ofrece un cliente de escritorio o un archivo WireGuard editado a mano no tiene nada que instalar aquí.

Dos límites sorprenden a la gente. La app enruta lo que tvOS le permite, así que un servicio de streaming que fija certificados o usa su propio resolutor puede seguir objetando aunque su dirección de salida haya cambiado. Y una app creada para una versión de tvOS más nueva que la que ejecuta su aparato no se instalará en absoluto. Compruebe ambas cosas antes de comprar una suscripción para este fin.

Las cuentas del hogar también importan. Una app de VPN iniciada con un solo Apple ID es un túnel a nivel de dispositivo, no un ajuste por espectador, así que todos los que usan ese televisor comparten la ubicación de salida que eligió.

Cuándo una puerta de enlace sigue siendo la respuesta correcta

Una puerta de enlace gana cuando quiere una sola regla para varios dispositivos, cuando el proveedor no tiene app de tvOS o cuando el túnel debe sobrevivir a un reinicio o cambio del televisor. Un router que ejecuta el cliente de VPN, o una caja pequeña que actúa como puerta de enlace predeterminada del televisor, mueve el tráfico sin nada instalado en el televisor.

Esa disposición necesita dos cosas que la gente omiten: una dirección estable para el televisor y un comportamiento de fallo definido. Dele al televisor una reserva DHCP para que la regla de enrutamiento siga coincidiendo, y luego decida si vuelve a la conexión normal o pierde internet cuando cae el túnel. Incluya el DNS en esa decisión, porque una puerta de enlace que reenvía tráfico mientras filtra consultas al resolutor del proveedor no ha terminado el trabajo.

La regla en sí suele ser por dirección de origen o por segmento de red. Ponga el televisor en su propia VLAN si el router lo admite, envíe ese segmento por el túnel y deje el resto de la casa en la ruta normal. Escrita así, la regla también es legible seis meses después.

Una VPN en su Mac no es una VPN para el televisor

Este es el mito que más dura, porque la configuración parece que debería funcionar. La compartición de internet de macOS puede dar una dirección al televisor y reenviar su tráfico, pero lo reenvía por la conexión ascendente que el Mac esté usando en ese momento. Un cliente de VPN en el Mac no se convierte automáticamente en esa conexión ascendente, y algunos clientes excluyen a propósito el tráfico reenviado para no hacer nunca circular paquetes por sí mismos. Según la versión de macOS, el panel de compartición puede listar o no su servicio de VPN, y aun cuando lo haga, un cliente que excluye el tráfico reenviado no llevará el televisor.

Si quiere que el Mac actúe como puerta de enlace, use un cliente que documente el modo puerta de enlace para otros dispositivos, y verifique desde el televisor en lugar de desde el Mac.

Pruebe desde el televisor, no desde el teléfono

La única prueba que cuenta es lo que informa el televisor. Abra un navegador o una app de información de red en el televisor y lea la dirección pública que ve, o revise en el registro del router la dirección del televisor saliendo por el túnel. Un teléfono en la misma Wi-Fi no demuestra nada sobre la ruta del televisor.

Después pruebe la ruta de fallo. Desconecte el túnel y confirme que el televisor se comporta como decidió antes; si vuelve en silencio a la conexión normal, tiene una fuga y no un plan B.

Recorra esta lista una vez y la configuración se mantiene estable: confirme el modelo y la versión de tvOS, instale la app del proveedor desde la App Store o configure la puerta de enlace, añada una reserva DHCP si una regla depende de la dirección, decida el DNS y el estado desconectado, y verifique desde el propio televisor. Si la app se instala pero la reproducción sigue fallando, la causa suelen ser las reglas de cuenta del propio servicio y no el túnel.