Il tuo Apple Watch usa la connessione VPN dell’iPhone?

L’orologio non ha un’impostazione VPN che tu possa aprire, e questa è la prima cosa da capire. Tutta la configurazione VPN risiede sull’iPhone abbinato, in un profilo o dentro il Network Extension di un’app. Se il traffico dell’orologio attraversa davvero quel tunnel dipende dal collegamento che l’orologio usa in quel momento. Questo singolo fatto spiega la maggior parte delle segnalazioni confuse su un orologio che continua a funzionare mentre il telefono è su una VPN, o il contrario.

watchOS non ha alcun client VPN a cui puntare

watchOS arriva senza schermata di configurazione VPN, quindi non esiste un tunnel per singolo orologio da attivare o su cui fare debug. Un profilo installato sull’iPhone vale per l’iPhone, e l’orologio eredita un comportamento solo attraverso i percorsi che i due dispositivi condividono. Tratta qualsiasi affermazione su un’impostazione VPN dell’orologio come il segno che la persona sta descrivendo lo schermo del telefono.

È anche per questo che i team MDM non possono inviare un payload VPN a un orologio come lo inviano a un telefono.

Ciò che l’orologio ha è un insieme di trasporti, e sceglie tra loro di continuo: Bluetooth verso il telefono vicino, una rete Wi-Fi compatibile per cui possiede le credenziali, o il cellulare su un modello con un piano. Ogni scelta cambia chi porta i pacchetti, ed è la parte che conta per il tuo tunnel.

Bluetooth: il telefono porta i pacchetti

Quando il telefono è vicino, l’orologio preferisce il Bluetooth perché consuma molta meno energia del Wi-Fi o del cellulare. I dati di un’app dell’orologio escono su quel collegamento, arrivano al telefono e poi seguono le regole di routing e di tunnel del telefono come qualsiasi altro traffico che il telefono origina o inoltra. In quello stato la VPN del telefono è davvero nel percorso. Per questo un’app dell’orologio può fallire con il tunnel attivo anche se l’orologio non ha mai aperto una connessione propria.

Quell’inoltro non è la stessa cosa dell’ingresso dell’orologio nel tunnel. Il tunnel appartiene allo stack di rete del telefono, e l’orologio non ne ha alcuna vista: nessuna assegnazione di indirizzo, nessuna rotta propria, nessuno stato del tunnel da leggere. Non troverai il traffico dell’orologio come sessione separata dentro il tunnel.

Un test utile è disattivare il Bluetooth solo sul telefono e ripetere l’azione che fallisce. Se ricomincia a funzionare, il percorso era l’inoltro del telefono.

Wi-Fi e cellulare: l’orologio esce dal tunnel

Se il Bluetooth esce dalla portata o viene disattivato, l’orologio prova una rete Wi-Fi compatibile che già conosce, e un modello cellulare con copertura può ripiegare sull’operatore. La guida alla connettività dell’orologio di Apple descrive quest’ordine e nota che l’icona Wi-Fi significa che l’orologio è in Wi-Fi e non sta parlando con l’iPhone. Il traffico su quei percorsi termina all’orologio, non al telefono.

Quindi il tunnel del telefono non si estende fin lì. Le connessioni proprie dell’orologio le stabilisce watchOS, con le radio dell’orologio e le credenziali che possiede, e il telefono non le inoltra. È il caso in cui una VPN rigorosa per tutto il traffico sul telefono può funzionare perfettamente mentre un’app dell’orologio raggiunge comunque internet.

La lamentela opposta è più comune: un’app dell’orologio fallisce appena sale il tunnel del telefono.

Cosa copre includeAllNetworks e cosa no

La documentazione di routing di Apple per Network Extension elenca la comunicazione con i dispositivi companion, incluso il traffico verso un Apple Watch, tra le eccezioni che individua descrivendo includeAllNetworks. L’intento è che un tunnel ampio non spezzi il collegamento locale tra i due dispositivi. Leggilo in senso stretto: protegge il canale del companion, non ogni servizio che un’app dell’orologio potrebbe chiamare.

Non certifica nemmeno un particolare prodotto VPN e non dice nulla sul trasporto che l’orologio ha scelto nel momento del guasto. Una notifica che arriva in ritardo non è la prova che il tunnel l’abbia scartata.

L’eccezione non trasforma nemmeno un orologio sul proprio Wi-Fi o cellulare in un client dentro il tunnel. Se ti serve quella garanzia, il tunnel deve terminare dove passa davvero il traffico dell’orologio, e il telefono non è su quel percorso.

Leggi il percorso prima di cambiare il profilo

Prima di toccare la configurazione VPN, annota tre cose: la connessione che l’orologio riporta (telefono, Wi-Fi o cellulare), se il telefono è nel raggio del Bluetooth e un’azione concreta che fallisce. Poi ripeti quell’azione con il percorso invariato e la VPN spenta, se la policy lo consente. Un risultato che appare solo con il tunnel attivo è un problema di tunnel, e un risultato che appare in entrambi i casi non lo è.

Tieni entrambi i dispositivi nello stesso posto per entrambe le prove, altrimenti misuri la stanza invece del tunnel.

Quando il guasto sopravvive a quel confronto, la segnalazione utile a un amministratore di rete è stretta: questa app, questa azione, questo trasporto, tunnel attivo e spento. Le affermazioni generali sull’incompatibilità tra orologio e VPN non sono verificabili, e di solito nascondono un portale captive o un servizio bloccato dietro un’affermazione sulla radio.