Comment placer un Apple TV derrière un VPN sans routeur

Si vous avez lu qu’un Apple TV ne peut obtenir un VPN que depuis un routeur, ce conseil est dépassé. Depuis tvOS 17, Apple autorise les apps VPN tierces sur l’appareil lui-même, si bien que le téléviseur peut tenir le tunnel comme le fait un téléphone. Ce qui n’a pas changé, c’est qu’un VPN exécuté sur votre Mac ou votre téléphone ne couvre que cet appareil, aussi proche soit-il du téléviseur. Choisissez d’abord l’emplacement, app sur le téléviseur ou passerelle devant lui, et le reste de l’installation découle de ce choix.

Le conseil du routeur seul était vrai autrefois

Les anciens guides ne se trompaient pas à l’époque. tvOS n’avait pas d’apps VPN tierces, donc le seul moyen de faire passer le trafic du téléviseur dans un tunnel était de placer une passerelle devant lui ou de partager la connexion d’un Mac. La version tvOS 17 a changé la première moitié de cela, car les apps VPN sont devenues installables sur l’Apple TV.

La disponibilité n’est pas la même chose qu’un support universel. L’app doit être référencée pour votre région et votre appareil, la version minimale de tvOS doit être respectée, et le protocole qu’elle parle doit correspondre à la passerelle que vous possédez réellement.

Ce que l’app tvOS peut faire et ne peut pas faire

Une app VPN sur l’Apple TV se comporte comme la même app sur un téléphone. Elle installe un profil, ouvre un tunnel et achemine le trafic de l’appareil à travers lui ; vous vous connectez dans l’app ou via un flux de code d’appareil, choisissez un emplacement et vous connectez. Il n’y a ni terminal ni éditeur de configuration, donc un fournisseur qui ne livre qu’un client de bureau ou un fichier WireGuard édité à la main n’a rien à installer ici.

Deux limites surprennent les gens. L’app achemine ce que tvOS lui permet, donc un service de streaming qui épingle des certificats ou utilise son propre résolveur peut encore protester même après le changement de votre adresse de sortie. Et une app conçue pour une version de tvOS plus récente que celle de votre appareil ne s’installera pas du tout. Vérifiez les deux avant d’acheter un abonnement à cette fin.

Les comptes du foyer comptent aussi. Une app VPN connectée avec un seul Apple ID est un tunnel au niveau de l’appareil, pas un réglage par spectateur, donc tous ceux qui utilisent ce téléviseur partagent l’emplacement de sortie que vous avez choisi.

Quand une passerelle reste la bonne réponse

Une passerelle gagne quand vous voulez une seule règle pour plusieurs appareils, quand le fournisseur n’a pas d’app tvOS, ou quand le tunnel doit survivre à une réinitialisation ou à un remplacement du téléviseur. Un routeur qui exécute le client VPN, ou un petit boîtier faisant office de passerelle par défaut du téléviseur, déplace le trafic sans rien installer sur le téléviseur.

Cette disposition exige deux choses que les gens sautent : une adresse stable pour le téléviseur et un comportement de panne défini. Donnez au téléviseur une réservation DHCP pour que la règle de routage continue de correspondre, puis décidez s’il retombe sur la connexion ordinaire ou perd internet lorsque le tunnel tombe. Incluez le DNS dans cette décision, car une passerelle qui relaie le trafic tout en laissant fuir les requêtes vers le résolveur du fournisseur n’a pas fini le travail.

La règle elle-même se fait en général par adresse source ou par segment réseau. Placez le téléviseur sur son propre VLAN si le routeur le permet, envoyez ce segment dans le tunnel, et laissez le reste de la maison sur le chemin normal. Écrite ainsi, la règle reste lisible six mois plus tard.

Un VPN sur votre Mac n’est pas un VPN pour le téléviseur

C’est le mythe qui dure le plus longtemps, car l’installation semble devoir fonctionner. Le partage d’internet de macOS peut donner une adresse au téléviseur et relayer son trafic, mais il le relaie par la connexion amont que le Mac utilise à ce moment-là. Un client VPN exécuté sur le Mac ne devient pas automatiquement cette connexion amont, et certains clients excluent délibérément le trafic relayé pour ne jamais faire boucler de paquets par eux-mêmes. Selon la version de macOS, le panneau de partage peut lister ou non votre service VPN, et même lorsqu’il le fait, un client qui exclut le trafic relayé ne portera pas le téléviseur.

Si vous voulez que le Mac serve de passerelle, utilisez un client qui documente le mode passerelle pour d’autres appareils, et vérifiez depuis le téléviseur plutôt que depuis le Mac.

Testez depuis le téléviseur, pas depuis votre téléphone

La seule preuve qui compte est ce que le téléviseur rapporte. Ouvrez un navigateur ou une app d’informations réseau sur le téléviseur et lisez l’adresse publique qu’il voit, ou vérifiez dans le journal du routeur l’adresse du téléviseur sortant par le tunnel. Un téléphone sur le même Wi-Fi ne prouve rien sur le chemin du téléviseur.

Testez ensuite le chemin de panne. Déconnectez le tunnel et confirmez que le téléviseur se comporte comme vous l’aviez décidé ; s’il retombe silencieusement sur la connexion ordinaire, vous avez une fuite et non un plan de secours.

Parcourez cette liste une fois et l’installation reste stable : confirmez le modèle et la version de tvOS, installez l’app du fournisseur depuis l’App Store ou configurez la passerelle, ajoutez une réservation DHCP si une règle dépend de l’adresse, décidez du DNS et de l’état déconnecté, et vérifiez depuis le téléviseur lui-même. Si l’app s’installe mais que la lecture échoue encore, la cause est généralement les règles de compte du service lui-même et non le tunnel.