VPN en Apple TV: selección por app fronte a unha regra de dispositivo no router

As dúas solicitudes comezan coa mesma frase: pór o Apple TV detrás da VPN. Unha persoa refírese ao aparello completo, outra a unha soa app de streaming que se executa nel. Son ámbitos distintos, e en tvOS normalmente só un dos dous está dispoñible hoxe. A distinción non ten que ver co protocolo nin co provedor, senón con quen pode ver que aplicación creou unha conexión. Un router ve paquetes e enderezos, mentres que unha app no televisor ve a identidade do proceso só cando o seu propio cliente implementa esa selección.

A diferenza é quen pode ver a identidade da app

Un router reenvía por enderezo de orixe, enderezo de destino e porto. Nunca recibe o nome do proceso de tvOS que abriu un socket, así que non ten forma de expresar «esta app e nada máis».

Unha app de VPN que se executa no televisor está dentro do límite do proceso e pode, en principio, aplicar regras por app. Que o cliente distribuído o expoña é unha cuestión de produto, non de protocolo.

Que pode e que non pode seleccionar unha app de VPN en tvOS

Apple engadiu compatibilidade con apps de VPN de terceiros en tvOS 17, como recolle o seu anuncio de plataforma. Iso corrixiu a suposición anterior de que un router debía ser o punto final. Non prometeu que todos os clientes ofrezan unha lista de inclusión ou exclusión, e nese oco fallan a maioría destas comparacións. Le a páxina do provedor para tvOS, non a de Windows ou Android.

O split tunneling descrito para unha versión de escritorio non é proba para a versión de televisor. Os provedores publican bases de código distintas por plataforma, e o cliente de televisor adoita ser o máis pequeno de todos.

A documentación de Apple sobre VPN por app xestionada describe un modelo de despregamento para dispositivos supervisados, non un interruptor de consumidor. Comproba a lista de plataformas compatibles antes de importar instrucións escritas para un iPhone ou un Mac xestionado.

Que selecciona realmente unha regra de router

Co router como punto final, unha regra de dispositivo selecciona o enderezo ou o segmento do Apple TV. É unha selección de todo o dispositivo dentro do ámbito da política, e non se converte en «só unha app» porque probases cunha app. Se unha segunda app no mesmo televisor usa o túnel, a regra funciona exactamente como se deseñou.

Normalmente é a resposta correcta cando o obxectivo é «este televisor, enteiro». Tamén sobrevive a actualizacións de apps, novos servizos de streaming e cambios de perfil, algo que a maioría das listas por app non poden dicir.

As regras de dominio e de destino non son identidades de apps

Unha regra de destino selecciona enderezos ou conxuntos de dominios mantidos. Unha app contacta con puntos finais de inicio de sesión, medios, telemetría e publicidade, e varias apps poden compartir a mesma infraestrutura de entrega. Por iso unha regra de dominio pode perder parte da app que querías e capturar tráfico doutra que non querías.

O reenvío de DNS e os resolutores independentes complícao aínda máis. Se o televisor resolve nomes por un camiño distinto do que supón a regra, o conxunto de destinos é incorrecto aínda que a regra estea ben escrita.

Unha comprobación de enderezo público desde o teu portátil non di nada sobre o camiño do televisor. Proba desde o televisor, ou desde a app que realmente che importa.

Escoller entre as dúas opcións

Escolle a regra de router cando o requisito abrangue todo o dispositivo, cando controles a rede e cando poidas aceptar que un túnel caído afecte todo o que hai nese televisor. Escolle a app de tvOS cando o propio cliente do provedor documente a selección por app para tvOS e poidas confirmala no dispositivo. Entre ambos, a resposta honesta é que tes un ámbito de dispositivo completo e deberías deixalo escrito antes de que alguén dependa diso.

En calquera caso, mantén intactas as regras de acceso do servizo. A capacidade de encamiñamento non amplía o dereito rexional dunha conta, e unha decisión de ámbito non cambia o que o provedor che servirá.

Dúas preguntas resolven a maioría destas solicitudes: quen necesita poder nomear a app e que debería ocorrer cando caia o túnel. Responde ambas antes de comprar hardware ou unha subscrición.