Hub domestique Apple TV : ajouter un VPN sans casser la maison

Dans la plupart des foyers, l’Apple TV finit par faire deux métiers à la fois : point de terminaison de streaming et, assez souvent, hub domestique actif qui répond aux requêtes distantes des accessoires et exécute les automatisations. Placer un VPN devant cette boîte peut être parfaitement correct, mais une lecture vidéo réussie ne prouve presque rien sur le second métier. Le travail consiste en un état de référence du rôle de hub, une vérification de la façon dont le tunnel atteint tvOS, et deux tests d’acceptation qui restent séparés. C’est l’ordre que j’utilise.

Étape 1 : Notez le hub actif avant de toucher au réseau

Ouvrez l’app Home sur un iPhone, un iPad ou un Mac, allez dans Home Settings puis dans Home Hubs & Bridges. L’appareil qui fait le travail en ce moment est listé en haut, et le guide des hubs domestiques d’Apple couvre les prérequis et le réglage Automatic Selection qui permet d’épingler un hub préféré.

Notez ce nom avant de changer quoi que ce soit.

Si un HomePod sert la maison, votre modification sur l’Apple TV peut être sans objet et un test de télécommande réussi par la suite ne prouve rien sur le tunnel. Si l’Apple TV est le hub, les prérequis comptent autant que le VPN : allumée, jointe au réseau domestique, connectée avec l’Apple Account qu’utilise la maison, avec iCloud Keychain et l’authentification à deux facteurs activés sur ce compte. Une configuration à moitié terminée produit le même symptôme qu’un mauvais routage, et il est bien moins coûteux de l’écarter d’abord.

Étape 2 : Vérifiez comment un VPN atteint tvOS

tvOS n’a pas de panneau VPN dans Réglages. En pratique, un tunnel atteint l’Apple TV de deux façons : soit il se termine sur le routeur et couvre chaque appareil de la maison, soit il arrive sous forme de profil de configuration poussé par un outil de gestion, ce qui suppose généralement un appareil supervisé. Si aucune ne s’applique, l’Apple TV n’est pas l’endroit où vivra le tunnel, et le reste de ce plan revient au routeur.

Les deux formes se comportent différemment quand quelque chose se dérègle. Un tunnel sur le routeur change la connectivité de tous les appareils d’un coup, si bien qu’un seul accessoire en panne est difficile à imputer. Un profil est un objet amovible avec une date d’installation visible, ce qui fait du retour en arrière une opération de deux minutes plutôt qu’une restauration du routeur. Choisissez en connaissance de cause, et si vous passez par le routeur, testez le hub selon un horaire qui vous permet de revenir sans réveiller la maisonnée.

Étape 3 : Faites du contrôle local et de l’accès à distance deux tests distincts

Le test local se fait à la maison, en Wi-Fi, en utilisant l’app Home pour actionner un accessoire dont vous dépendez vraiment. Ouvrez une porte de garage, changez une consigne de thermostat, déclenchez une automatisation. Le chargement des tuiles de l’app Home n’est pas le test ; c’est la réponse de l’accessoire qui l’est.

Faites ensuite le test à distance, et gardez-le ennuyeux. Sortez un iPhone du Wi-Fi, confirmez qu’il est sur le réseau mobile et envoyez une seule commande à faible impact. Ne testez pas avec une serrure, une alarme ou quoi que ce soit dont l’erreur serait gênante.

Répétez les deux tests après avoir activé le VPN, et notez de nouveau le hub actif à ce moment-là. Laissez le téléphone tranquille pendant la comparaison, car changer les réglages VPN sur deux appareils à la fois transforme un résultat propre en débat sur l’imputation.

Étape 4 : Sachez quelle dépendance lâche en premier

Trois choses cassent dans un ordre prévisible quand un tunnel interfère avec Home. D’abord la joignabilité d’iCloud et du push, qui se traduit par un accès distant en échec alors que tout fonctionne à la maison. Ensuite le rôle de routeur de bordure Thread, et cela est propre à l’Apple TV 4K de troisième génération et au HomePod mini, donc un accessoire Thread qui disparaît pointe là plutôt que vers le Wi-Fi. La découverte locale vient en troisième : HomeKit s’appuie sur Bonjour et le multicast sur le LAN, et un tunnel qui avale le multicast ou impose son propre DNS casse la découverte tout en laissant le trafic internet ordinaire en bonne santé.

Cet ordre vous dit où regarder. Les pannes purement distantes pointent vers push et iCloud ; les pannes de découverte locale pointent vers le chemin du LAN ; les accessoires Thread qui disparaissent pointent vers le routeur de bordure.

Rien de tout cela ne se règle en ouvrant des ports entrants sur le routeur, en désactivant l’authentification à deux facteurs ou en ajoutant des exceptions devinées pour les services d’Apple. Ces gestes élargissent la surface d’attaque et changent rarement le symptôme.

Le retour en arrière avant d’en avoir besoin

Gardez la configuration précédente sous une forme que vous pouvez restaurer en une étape : les anciens réglages du routeur exportés, ou le profil encore disponible pour suppression. Connaissez le chemin qui retire le profil de l’appareil avant de l’installer, et confirmez ensuite que Home Hubs & Bridges affiche le même hub actif qu’à l’étape 1.

Si le rôle de hub et votre politique VPN ne peuvent vraiment pas coexister, ajoutez ou gardez un second hub plutôt que d’accepter un contrôle intermittent. Une automatisation qui se déclenche la plupart du temps est pire qu’une qui ne se déclenche jamais, parce que personne ne lui fait confiance et personne ne la répare.