Apple TVのホームハブ：家を壊さずにVPNを追加する

ほとんどの家庭では、Apple TV が二つの仕事を同時に担っています。ストリーミングの終端点と、かなり多くの場合、遠隔のアクセサリ要求に応答してオートメーションを実行するアクティブなホームハブです。そのボックスの前に VPN を置くこと自体は問題ありませんが、動画が再生できたという事実は二つ目の仕事についてほとんど何も証明しません。作業は、ハブの役割の基準を記録し、トンネルが tvOS にどうやって届くのかを確認し、切り分けた二つの受け入れテストを行うことです。これが私が使っている順序です。

手順 1：ネットワークに触れる前にアクティブなハブを記録する

iPhone、iPad、Mac で Home アプリを開き、Home Settings から Home Hubs & Bridges へ進みます。現在その仕事をしているデバイスが一番上に表示され、Apple のホームハブガイドには要件と、優先ハブを固定できる Automatic Selection 設定が書かれています。

何かを変える前に、その名前を書き留めてください。

HomePod が家を担っている場合、Apple TV 側の変更は無関係かもしれず、後でリモート操作のテストに合格してもトンネルについては何も証明できません。Apple TV がハブなら、前提条件は VPN と同じくらい重要です。電源が入っていること、家庭のネットワークに参加していること、家で使っている Apple Account でサインインしていること、そのアカウントで iCloud Keychain と二要素認証が有効であること。中途半端な設定は誤ったルーティングと同じ症状を生み、先に切り分けたほうがはるかに安く済みます。

手順 2：VPN がそもそも tvOS にどう届くかを確かめる

tvOS の設定に VPN の項目はありません。実際には、トンネルが Apple TV に届く方法は二つしかありません。ルーターで終端して家中のすべてのデバイスを覆うか、管理ツールが配信する構成プロファイルとして届くかです。後者は通常、監視対象のデバイスを意味します。どちらにも当てはまらないなら、トンネルが住む場所は Apple TV ではなく、この計画の残りはルーター側の話になります。

何かがうまくいかないとき、この二つの形は違う振る舞いをします。ルーターのトンネルはすべてのデバイスの接続を一斉に変えるので、一つのアクセサリの不調をそこに帰属させるのは困難です。プロファイルは目に見えるインストール日を持つ取り外し可能なオブジェクトなので、切り戻しはルーターの復元ではなく二分の作業になります。意図的に選び、ルーター側の道を行くなら、家族を起こさずに戻せるスケジュールでハブをテストしてください。

手順 3：ローカル操作とリモートアクセスを別々の確認として行う

ローカルの確認は自宅の Wi-Fi 上で、実際に頼っているアクセサリを Home アプリで操作して行います。ガレージのドアを開ける、サーモスタットの設定値を変える、オートメーションを一つ動かす。Home アプリがタイルを読み込むことはテストではなく、アクセサリが応答することがテストです。

次にリモートの確認を、退屈なまま行います。iPhone を Wi-Fi から外し、モバイル回線にいることを確認して、影響の小さいコマンドを一つだけ送ります。鍵、警報、間違えると面倒なものでは試さないでください。

VPN を有効にしたあとで両方の確認を繰り返し、その時点でもう一度アクティブなハブを記録します。比較の間は電話をそのままにしてください。二台同時に VPN の設定を変えると、きれいな結果が帰属をめぐる言い争いに変わります。

手順 4：どの依存関係が先に壊れるかを知る

トンネルが Home を妨げるとき、三つのことが予測できる順序で壊れます。まず iCloud と push への到達性が失われ、家ではすべて動いているのにリモートアクセスだけが失敗する形で現れます。次に Thread の境界ルーターの役割が失われ、これは Apple TV 4K 第三世代と HomePod mini に固有なので、Thread アクセサリが脱落するのは Wi-Fi ではなくそこを示します。三つ目はローカル検出です。HomeKit は LAN 上の Bonjour と multicast に依存しており、multicast を飲み込む、あるいは独自の DNS を強制するトンネルは、通常のインターネット通信を健全に保ったまま検出を壊します。

その順序が、どこを見るべきかを教えてくれます。リモートだけの失敗は push と iCloud を指し、ローカル検出の失敗は LAN の経路を指し、Thread アクセサリの消失は境界ルーターを指します。

これらのどれも、ルーターの受信ポートを開けること、二要素認証を無効にすること、Apple のサービスに対する当て推量の例外を追加することで解決はしません。そうした操作は攻撃面を広げ、症状をほとんど変えません。

必要になる前に切り戻す

以前の構成を、一つの手順で復元できる形で保管します。古いルーター設定を書き出す、あるいはプロファイルを削除できる状態にしておく。プロファイルをインストールする前に、それをデバイスから外す手順を知っておき、あとで Home Hubs & Bridges が手順 1 と同じアクティブなハブを示していることを確認します。

ハブの役割と VPN の方針が本当に両立しないなら、断続的な操作を受け入れるのではなく、二台目のハブを追加するか残してください。ほとんどの場合に動くオートメーションは、決して動かないものより悪いものです。誰も信頼せず、誰も直さないからです。