VPN su Apple TV: selezione per app o regola del dispositivo sul router

Entrambe le richieste iniziano con la stessa frase: mettere l’Apple TV dietro la VPN. Una persona intende l’intero apparecchio, l’altra una sola app di streaming che vi gira sopra. Sono ambiti diversi, e su tvOS oggi di solito ne è disponibile solo uno. La distinzione non riguarda il protocollo né il fornitore, ma chi può vedere quale applicazione ha creato una connessione. Un router vede pacchetti e indirizzi, mentre un’app sul televisore vede l’identità del processo solo quando il suo stesso client implementa quella selezione.

La differenza è chi può vedere l’identità dell’app

Un router inoltra in base all’indirizzo sorgente, all’indirizzo di destinazione e alla porta. Non riceve mai il nome del processo tvOS che ha aperto un socket, quindi non ha modo di esprimere «questa app e nient’altro».

Un’app VPN in esecuzione sul televisore si trova dentro il confine del processo e può, in linea di principio, applicare regole per app. Se il client distribuito lo esponga è una questione di prodotto, non di protocollo.

Cosa può e cosa non può selezionare un’app VPN tvOS

Apple ha aggiunto il supporto alle app VPN di terze parti in tvOS 17, come registra il suo annuncio di piattaforma. Questo ha corretto la vecchia ipotesi che un router dovesse essere l’endpoint. Non ha però promesso che ogni client offra un elenco di inclusione o esclusione, ed è proprio in questa lacuna che la maggior parte di questi confronti sbaglia. Leggi la pagina tvOS del fornitore, non quella Windows o Android.

Lo split tunneling descritto per una versione desktop non è una prova per la versione televisore. I fornitori distribuiscono basi di codice diverse per piattaforma, e il client televisore è spesso il più piccolo di tutti.

La documentazione Apple sulla VPN per app gestita descrive un modello di distribuzione per dispositivi supervisionati, non un interruttore per consumatori. Controlla l’elenco delle piattaforme supportate prima di importare istruzioni scritte per un iPhone o un Mac gestito.

Cosa seleziona davvero una regola del router

Con il router come endpoint, una regola del dispositivo seleziona l’indirizzo o il segmento dell’Apple TV. È una selezione dell’intero dispositivo nell’ambito della politica, e non diventa «solo un’app» perché hai provato con una sola. Se una seconda app sullo stesso televisore usa il tunnel, la regola funziona esattamente come progettato.

Di solito è la risposta giusta quando l’obiettivo è «questo televisore, tutto». Sopravvive anche agli aggiornamenti delle app, ai nuovi servizi di streaming e ai cambi di profilo, cosa che la maggior parte degli elenchi per app non può dire.

Le regole di dominio e di destinazione non sono identità delle app

Una regola di destinazione seleziona indirizzi o insiemi di domini mantenuti. Un’app contatta endpoint di accesso, media, telemetria e pubblicità, e più app possono condividere la stessa infrastruttura di distribuzione. Una regola di dominio può quindi mancare una parte dell’app che intendevi e catturare traffico di una che non intendevi.

L’inoltro DNS e i resolver indipendenti complicano ulteriormente. Se il televisore risolve i nomi lungo un percorso diverso da quello ipotizzato dalla regola, l’insieme di destinazioni è errato anche quando la regola stessa è scritta correttamente.

Un controllo dell’indirizzo pubblico dal tuo portatile non dice nulla sul percorso del televisore. Prova dal televisore, o dall’app che ti interessa davvero.

Scegliere tra le due

Scegli la regola del router quando il requisito è per l’intero dispositivo, quando controlli la rete e quando puoi accettare che un tunnel non riuscito influenzi tutto quel televisore. Scegli l’app tvOS quando il client del fornitore documenta la selezione per app per tvOS e puoi confermarla sul dispositivo. Nel mezzo, la risposta onesta è che hai un ambito di dispositivo completo e dovresti metterlo per iscritto prima che qualcuno ci faccia affidamento.

In ogni caso, mantieni intatte le regole di accesso del servizio. La capacità di routing non amplia il diritto regionale di un account, e una decisione di ambito non cambia ciò che il fornitore ti servirà.

Due domande risolvono la maggior parte di queste richieste: chi deve poter nominare l’app e cosa dovrebbe succedere quando il tunnel cade. Rispondi a entrambe prima di comprare hardware o un abbonamento.