Apple TV VPN: rakendusepõhine valik või ruuteri seadmereegel

Mõlemad päringud algavad sama lausega: pane Apple TV VPN-i taha. Üks inimene mõtleb kogu seadet, teine üht voogedastusrakendust, mis sellel töötab. Need on erinevad ulatused ja tvOS-is on täna tavaliselt saadaval ainult üks neist. Erinevus ei ole protokollis ega teenusepakkujas, vaid selles, kes näeb, milline rakendus ühenduse lõi. Ruuter näeb pakette ja aadresse, samas kui teleri rakendus näeb protsessi identiteeti ainult siis, kui tema enda klient selle valiku rakendab.

Erinevus on selles, kes näeb rakenduse identiteeti

Ruuter edastab lähteaadressi, sihtaadressi ja pordi järgi. Ta ei saa kunagi selle tvOS-i protsessi nime, mis avas socketi, seega ei saa ta väljendada „see rakendus ja mitte midagi muud“.

Teleris töötav VPN-rakendus asub protsessi piiris ja võib põhimõtteliselt rakendada rakendusepõhiseid reegleid. Kas tarnitud klient seda pakub, on tooteküsimus, mitte protokolliküsimus.

Mida tvOS-i VPN-rakendus saab valida ja mida mitte

Apple lisas kolmandate osapoolte VPN-rakenduste toe tvOS 17-s, nagu fikseerib selle platvormiteade. See parandas varasema eelduse, et ruuter peab olema lõpp-punkt. See ei lubanud, et iga klient pakub kaasamise või väljajätmise nimekirja, ja just selles lüngas lähevad enamik neist võrdlustest valesti. Loe teenusepakkuja tvOS-i lehte, mitte tema Windowsi või Androidi lehte.

Lauaarvuti versiooni jaoks kirjeldatud split tunnelling ei ole tõestus teleri versiooni kohta. Teenusepakkujad tarnivad platvormiti erinevaid koodibaase ja teleri klient on sageli neist väikseim.

Apple’i hallatava rakendusepõhise VPN-i dokumentatsioon kirjeldab juurutamismudelit järelevalvega seadmetele, mitte tarbijalülitit. Kontrolli toetatud platvormide nimekirja enne, kui impordid juhiseid, mis on kirjutatud hallatava iPhone’i või Maci jaoks.

Mida ruuteri reegel tegelikult valib

Kui ruuter on lõpp-punkt, siis seadmereegel valib Apple TV aadressi või segmendi. See on kogu seadme valik poliitika ulatuses ja sellest ei saa „ainult üks rakendus“ sellepärast, et testisid ühe rakendusega. Kui teine rakendus samas teleris kasutab tunnelit, töötab reegel täpselt nii, nagu projekteeritud.

Tavaliselt on see õige vastus, kui eesmärk on „see teler, tervikuna“. See peab vastu ka rakenduste uuendustele, uutele voogedastusteenustele ja profiilimuudatustele, mida enamik rakendusepõhiseid nimekirju öelda ei suuda.

Domeeni- ja sihtreeglid ei ole rakenduste identiteedid

Sihtreegel valib aadressid või hooldatavad domeenikomplektid. Üks rakendus võtab ühendust sisselogimise, meedia, telemeetria ja reklaami lõpp-punktidega ning mitu rakendust võivad jagada sama tarneinfrastruktuuri. Seetõttu võib domeenireegel jätta vahele osa mõeldud rakendusest ja tabada liiklust sellest, mida sa ei mõelnud.

DNS-i edastamine ja sõltumatud resolverid muudavad selle veel keerulisemaks. Kui teler lahendab nimesid teist teed pidi, kui reegel eeldab, on sihtkomplekt vale ka siis, kui reegel ise on õigesti kirjutatud.

Avaliku aadressi kontroll sinu sülearvutist ei ütle teleri tee kohta midagi. Testi telerist või rakendusest, mis sulle tegelikult korda läheb.

Kahe valiku vahel

Vali ruuteri reegel, kui nõue kehtib kogu seadmele, kui sina kontrollid võrku ja kui saad nõustuda, et ebaõnnestunud tunnel mõjutab kõike selles teleris. Vali tvOS-i rakendus, kui teenusepakkuja enda klient dokumenteerib tvOS-i jaoks rakendusepõhise valiku ja saad selle seadmes kinnitada. Nende kahe vahel on aus vastus see, et sul on kogu seadme ulatus ja see tuleks kirja panna, enne kui keegi sellele toetub.

Igal juhul hoia teenuse juurdepääsureeglid puutumatuna. Marsruutimisvõime ei laienda konto piirkondlikku õigust ja ulatuse otsus ei muuda seda, mida teenusepakkuja sulle pakub.

Kaks küsimust lahendavad enamiku sellistest päringutest: kes peab saama rakendust nimetada ja mis peaks juhtuma, kui tunnel katkeb? Vasta mõlemale enne, kui ostad riistvara või tellimuse.