Come mettere un Apple TV dietro una VPN senza router

Se hai letto che un Apple TV può ottenere una VPN solo da un router, quel consiglio è superato. Da tvOS 17 Apple consente app VPN di terze parti sul dispositivo stesso, così il televisore può tenere il tunnel come fa un telefono. Ciò che non è cambiato è che una VPN in esecuzione sul tuo Mac o telefono copre solo quel dispositivo, per quanto vicino sia al televisore. Scegli prima la collocazione, app sul televisore o gateway davanti, e il resto della configurazione deriva da quella scelta.

Il consiglio del solo router era vero una volta

Le guide più vecchie non sbagliavano allora. tvOS non aveva app VPN di terze parti, quindi l’unico modo per far passare il traffico del televisore in un tunnel era mettere un gateway davanti o condividere la connessione di un Mac. La versione tvOS 17 ha cambiato la prima metà di questo, perché le app VPN sono diventate installabili su Apple TV.

La disponibilità non è la stessa cosa del supporto universale. L’app deve essere elencata per la tua regione e il tuo dispositivo, va rispettata la versione minima di tvOS e il protocollo che parla deve corrispondere al gateway che possiedi davvero.

Cosa può e cosa non può fare l’app tvOS

Un’app VPN su Apple TV si comporta come la stessa app su un telefono. Installa un profilo, apre un tunnel e instrada il traffico del dispositivo attraverso di esso; accedi dentro l’app o con un flusso di codice dispositivo, scegli una posizione e ti connetti. Non ci sono terminale né editor di configurazione, quindi un fornitore che distribuisce solo un client desktop o un file WireGuard modificato a mano non ha nulla da installare qui.

Due limiti colgono di sorpresa. L’app instrada ciò che tvOS le consente, quindi un servizio di streaming che fissa i certificati o usa il proprio resolver può ancora protestare anche dopo che il tuo indirizzo di uscita è cambiato. E un’app creata per una versione di tvOS più recente di quella del tuo dispositivo non si installerà affatto. Controlla entrambe le cose prima di acquistare un abbonamento per questo scopo.

Anche gli account di casa contano. Un’app VPN con accesso a un solo Apple ID è un tunnel a livello di dispositivo, non un’impostazione per spettatore, quindi tutti coloro che usano quel televisore condividono la posizione di uscita che hai scelto.

Quando un gateway è ancora la risposta giusta

Un gateway vince quando vuoi una sola regola per più dispositivi, quando il fornitore non ha un’app tvOS o quando il tunnel deve sopravvivere al ripristino o alla sostituzione del televisore. Un router che esegue il client VPN, o una piccola scatola che funge da gateway predefinito del televisore, sposta il traffico senza nulla installato sul televisore.

Questa disposizione richiede due cose che la gente salta: un indirizzo stabile per il televisore e un comportamento di guasto definito. Assegna al televisore una prenotazione DHCP così la regola di routing continua a corrispondere, poi decidi se torna alla connessione normale o perde internet quando il tunnel cade. Includi il DNS in quella decisione, perché un gateway che inoltra il traffico ma lascia trapelare le query al resolver del fornitore non ha finito il lavoro.

La regola stessa di solito è per indirizzo di origine o per segmento di rete. Metti il televisore sulla sua VLAN se il router lo supporta, manda quel segmento nel tunnel e lascia il resto della casa sul percorso normale. Scritta così, la regola resta leggibile anche sei mesi dopo.

Una VPN sul tuo Mac non è una VPN per il televisore

Questo è il mito che dura più a lungo, perché la configurazione sembra dover funzionare. La condivisione internet di macOS può dare un indirizzo al televisore e inoltrare il suo traffico, ma lo inoltra attraverso la connessione a monte che il Mac sta usando in quel momento. Un client VPN in esecuzione sul Mac non diventa automaticamente quella connessione a monte, e alcuni client escludono di proposito il traffico inoltrato per non far mai girare i pacchetti attraverso se stessi. A seconda della versione di macOS, il pannello di condivisione può elencare o meno il tuo servizio VPN, e anche quando lo fa, un client che esclude il traffico inoltrato non porterà il televisore.

Se vuoi che il Mac faccia da gateway, usa un client che documenta la modalità gateway per altri dispositivi, e verifica dal televisore invece che dal Mac.

Prova dal televisore, non dal telefono

L’unica prova che conta è ciò che riporta il televisore. Apri un browser o un’app di informazioni di rete sul televisore e leggi l’indirizzo pubblico che vede, oppure controlla nel registro del router l’indirizzo del televisore che esce dal tunnel. Un telefono sulla stessa Wi-Fi non dimostra nulla sul percorso del televisore.

Poi prova il percorso di guasto. Disconnetti il tunnel e conferma che il televisore si comporti come avevi deciso; se ricade silenziosamente sulla connessione ordinaria, hai una fuga e non un piano B.

Percorri questa lista una volta e la configurazione resta stabile: conferma modello e versione di tvOS, installa l’app del fornitore dall’App Store o configura il gateway, aggiungi una prenotazione DHCP se una regola dipende dall’indirizzo, decidi DNS e stato disconnesso, e verifica dal televisore stesso. Se l’app si installa ma la riproduzione fallisce ancora, la causa sono di solito le regole dell’account del servizio stesso e non il tunnel.