VPN sur Apple TV : sélection par app ou règle d’appareil sur le routeur

Les deux demandes commencent par la même phrase : placer l’Apple TV derrière le VPN. L’une désigne l’appareil entier, l’autre une seule application de streaming qui y tourne. Ce sont deux portées différentes, et sur tvOS une seule des deux est généralement disponible aujourd’hui. La distinction ne porte pas sur le protocole ni sur le fournisseur, mais sur qui peut voir quelle application a créé une connexion. Un routeur voit des paquets et des adresses, alors qu’une application sur le téléviseur ne voit l’identité du processus que lorsque son propre client met en œuvre cette sélection.

La différence tient à qui peut voir l’identité de l’application

Un routeur transmet selon l’adresse source, l’adresse de destination et le port. Il ne reçoit jamais le nom du processus tvOS qui a ouvert une socket : il n’a donc aucun moyen d’exprimer « cette application et rien d’autre ».

Une application VPN exécutée sur le téléviseur se situe à l’intérieur de la frontière du processus et peut, en principe, appliquer des règles par application. Savoir si le client livré l’expose est une question de produit, non de protocole.

Ce qu’une application VPN tvOS peut sélectionner et ce qu’elle ne peut pas

Apple a ajouté la prise en charge des applications VPN tierces dans tvOS 17, comme le consigne son annonce de plateforme. Cela a corrigé l’hypothèse plus ancienne selon laquelle un routeur devait être le point de terminaison. Elle n’a pas promis que chaque client propose une liste d’inclusion ou d’exclusion, et c’est dans cet écart que la plupart de ces comparaisons se trompent. Lisez la page tvOS du fournisseur, pas sa page Windows ou Android.

Le split tunneling décrit pour une version de bureau ne prouve rien pour la version télévision. Les fournisseurs livrent des bases de code différentes selon la plateforme, et le client télévision est souvent le plus petit d’entre eux.

La documentation d’Apple sur le VPN par application géré décrit un modèle de déploiement pour appareils supervisés, pas un interrupteur grand public. Vérifiez la liste des plateformes prises en charge avant d’importer des instructions écrites pour un iPhone ou un Mac géré.

Ce qu’une règle de routeur sélectionne réellement

Avec le routeur comme point de terminaison, une règle d’appareil sélectionne l’adresse ou le segment de l’Apple TV. C’est une sélection de l’appareil entier dans la portée de la politique, et elle ne devient pas « une seule application » parce que vous avez testé avec une seule. Si une seconde application sur le même téléviseur utilise le tunnel, la règle fonctionne exactement comme prévu.

C’est généralement la bonne réponse lorsque l’objectif est « ce téléviseur, en entier ». Elle survit aussi aux mises à jour d’applications, aux nouveaux services de streaming et aux changements de profil, ce que la plupart des listes par application ne peuvent pas dire.

Les règles de domaine et de destination ne sont pas des identités d’application

Une règle de destination sélectionne des adresses ou des ensembles de domaines maintenus. Une application contacte des points de terminaison de connexion, de médias, de télémétrie et de publicité, et plusieurs applications peuvent partager la même infrastructure de diffusion. Une règle de domaine peut donc manquer une partie de l’application visée et capter le trafic d’une autre que vous ne visiez pas.

Le transfert DNS et les résolveurs indépendants compliquent encore les choses. Si le téléviseur résout les noms par un chemin différent de celui que suppose la règle, l’ensemble de destinations est faux même lorsque la règle est correctement écrite.

Une vérification d’adresse publique depuis votre ordinateur portable ne dit rien du chemin du téléviseur. Testez depuis le téléviseur, ou depuis l’application qui vous intéresse vraiment.

Choisir entre les deux

Choisissez la règle de routeur lorsque l’exigence porte sur l’appareil entier, que vous contrôlez le réseau et que vous pouvez accepter qu’un tunnel en échec affecte tout ce qui se trouve sur ce téléviseur. Choisissez l’application tvOS lorsque le client du fournisseur documente lui-même la sélection par application pour tvOS et que vous pouvez la confirmer sur l’appareil. Entre les deux, la réponse honnête est que vous avez une portée d’appareil entier et que cela doit être écrit avant que quiconque s’appuie dessus.

Dans tous les cas, gardez intactes les règles d’accès du service. La capacité de routage n’élargit pas le droit régional d’un compte, et une décision de portée ne change pas ce que le fournisseur vous servira.

Deux questions règlent la plupart de ces demandes : qui doit pouvoir nommer l’application, et que doit-il se passer lorsque le tunnel tombe ? Répondez aux deux avant d’acheter du matériel ou un abonnement.