Votre Apple Watch utilise-t-elle la connexion VPN de l’iPhone ?

La montre n’a aucun réglage VPN que vous puissiez ouvrir, et c’est la première chose à comprendre. Toute la configuration VPN réside sur l’iPhone appairé, dans un profil ou à l’intérieur du Network Extension d’une app. Que le trafic de la montre traverse réellement ce tunnel dépend du lien qu’elle utilise à cet instant. Ce seul fait explique la plupart des rapports confus sur une montre qui continue de fonctionner alors que le téléphone est sur un VPN, ou l’inverse.

watchOS n’a aucun client VPN à désigner

watchOS est livré sans écran de configuration VPN : il n’y a donc pas de tunnel propre à la montre à activer ni à déboguer. Un profil installé sur l’iPhone s’applique à l’iPhone, et la montre n’hérite d’un comportement que par les chemins que les deux appareils partagent. Prenez toute affirmation sur un réglage VPN de la montre comme le signe que la personne décrit l’écran du téléphone.

C’est aussi pourquoi les équipes MDM ne peuvent pas pousser une charge VPN vers une montre comme elles le font vers un téléphone.

Ce que la montre possède, c’est un ensemble de transports, et elle choisit sans cesse entre eux : Bluetooth vers le téléphone proche, un réseau Wi-Fi compatible pour lequel elle détient des identifiants, ou le cellulaire sur un modèle avec forfait. Chaque choix change qui porte les paquets, et c’est la partie qui compte pour votre tunnel.

Bluetooth : le téléphone porte les paquets

Quand le téléphone est à proximité, la montre préfère le Bluetooth, car il consomme bien moins d’énergie que le Wi-Fi ou le cellulaire. Les données d’une app de la montre sortent par ce lien, arrivent au téléphone, puis suivent les règles de routage et de tunnel du téléphone comme tout autre trafic que celui-ci émet ou relaie. Dans cet état, le VPN du téléphone est réellement sur le chemin. C’est pourquoi une app de la montre peut échouer alors que le tunnel est actif, même si la montre n’a jamais ouvert de connexion propre.

Ce relais n’est pas la même chose que l’entrée de la montre dans le tunnel. Le tunnel appartient à la pile réseau du téléphone, et la montre n’en a aucune vue : pas d’attribution d’adresse, pas de routes propres, pas d’état de tunnel à lire. Vous ne trouverez pas le trafic de la montre comme une session distincte à l’intérieur du tunnel.

Un test utile consiste à désactiver le Bluetooth sur le téléphone seulement et à répéter l’action qui échoue. Si elle se met à fonctionner, le chemin était le relais du téléphone.

Wi-Fi et cellulaire : la montre quitte le tunnel

Si le Bluetooth sort de portée ou est désactivé, la montre essaie un réseau Wi-Fi compatible qu’elle connaît déjà, et un modèle cellulaire couvert peut basculer vers l’opérateur. Le guide de connectivité de la montre d’Apple décrit cet ordre et note que l’icône Wi-Fi signifie que la montre est en Wi-Fi plutôt qu’en dialogue avec l’iPhone. Le trafic sur ces chemins se termine à la montre, pas au téléphone.

Le tunnel du téléphone ne s’étend donc pas jusque-là. Les connexions propres de la montre sont établies par watchOS, avec ses radios et les identifiants qu’elle détient, et le téléphone ne les relaie pas. C’est le cas où un VPN strict pour tout le trafic du téléphone peut parfaitement fonctionner alors qu’une app de la montre atteint encore internet.

La plainte inverse est plus fréquente : une app de la montre échoue dès que le tunnel du téléphone monte.

Ce que includeAllNetworks couvre et ne couvre pas

La documentation de routage d’Apple pour Network Extension classe la communication avec les appareils compagnons, y compris le trafic vers une Apple Watch, parmi les exceptions qu’elle dégage en décrivant includeAllNetworks. L’intention est qu’un tunnel large ne casse pas le lien local entre les deux appareils. Lisez-le au sens étroit : il protège le canal du compagnon, pas chaque service qu’une app de la montre pourrait appeler.

Il ne certifie pas non plus un produit VPN particulier et ne dit rien du transport que la montre a choisi au moment de la panne. Une notification qui arrive en retard n’est pas la preuve que le tunnel l’a écartée.

L’exception ne transforme pas non plus une montre sur son propre Wi-Fi ou cellulaire en cliente du tunnel. Si vous avez besoin de cette garantie, le tunnel doit se terminer là où le trafic de la montre passe vraiment, et le téléphone n’est pas sur ce chemin.

Lisez le chemin avant de changer le profil

Avant de toucher à la configuration VPN, notez trois choses : la connexion que la montre rapporte (téléphone, Wi-Fi ou cellulaire), si le téléphone est à portée Bluetooth, et une action nommée qui échoue. Répétez ensuite cette action avec le chemin inchangé et le VPN coupé, si la politique le permet. Un résultat qui n’apparaît qu’avec le tunnel actif est un problème de tunnel, et un résultat qui apparaît dans les deux cas n’en est pas un.

Gardez les deux appareils au même endroit pour les deux essais, sinon vous mesurez la pièce plutôt que le tunnel.

Quand la panne survit à cette comparaison, le rapport utile à un administrateur réseau est étroit : cette app, cette action, ce transport, tunnel activé et désactivé. Les affirmations générales sur l’incompatibilité entre montre et VPN ne sont pas vérifiables, et elles cachent généralement un portail captif ou un service bloqué derrière une affirmation sur la radio.