Apple TV の VPN：アプリ単位の選択か、ルーターのデバイスルールか

どちらの依頼も同じ一文から始まります。Apple TV を VPN の内側に置く、というものです。ある人は機器全体を指し、別の人はその上で動く一つのストリーミングアプリを指します。これは別々の範囲であり、tvOS では今日たいてい片方しか利用できません。違いはプロトコルでも提供事業者でもなく、どのアプリが接続を作ったかを誰が見られるかにあります。ルーターはパケットとアドレスを見ますが、テレビ上のアプリは、自分のクライアントがその選択を実装している場合にだけプロセスの識別子を見られます。

違いは、アプリの識別子を誰が見られるかです

ルーターは送信元アドレス、宛先アドレス、ポートで転送します。ソケットを開いた tvOS プロセスの名前をルーターが受け取ることはないため、「このアプリだけ」を表現する手段がありません。

テレビ上で動く VPN アプリはプロセスの境界の内側にあり、原則としてアプリ単位のルールを適用できます。販売されているクライアントがそれを提供するかどうかは、プロトコルではなく製品の話です。

tvOS の VPN アプリが選べることと選べないこと

Apple は tvOS 17 でサードパーティ製 VPN アプリの対応を追加しました。これは同社のプラットフォーム発表に記録されています。これにより、ルーターが必ず終端でなければならないという以前の前提は正されました。しかし、すべてのクライアントが包含リストや除外リストを提供するとは約束していません。この隙間こそ、こうした比較の多くが誤るところです。読むべきは提供事業者の tvOS 向けページであり、Windows や Android 向けのページではありません。

デスクトップ版について説明されたスプリットトンネリングは、テレビ版の根拠にはなりません。提供事業者はプラットフォームごとに別のコードベースを出しており、テレビ用クライアントはたいていその中で最も小さいものです。

Apple の管理対象アプリ単位 VPN の文書は、監視対象デバイス向けの展開モデルを説明するもので、一般利用者向けの切り替えではありません。管理対象の iPhone や Mac 向けに書かれた手順を取り込む前に、対応プラットフォームの一覧を確認してください。

ルーターのルールが実際に選ぶもの

ルーターを終端とする場合、デバイスルールは Apple TV のアドレスまたはセグメントを選択します。これはポリシーの範囲内での機器全体の選択であり、一つのアプリで試したからといって「一つのアプリだけ」になるわけではありません。同じテレビ上の二つ目のアプリがトンネルを使えば、ルールは設計どおりに機能しています。

目標が「このテレビを丸ごと」である場合、たいていはこれが正解です。アプリの更新、新しいストリーミングサービス、プロファイルの変更にも耐える点は、ほとんどのアプリ単位リストには言えないことです。

ドメインと宛先のルールはアプリの識別子ではありません

宛先ルールはアドレスまたは保守されたドメイン集合を選びます。一つのアプリがログイン、メディア、テレメトリー、広告のエンドポイントに接続し、複数のアプリが同じ配信基盤を共有することもあります。そのためドメインルールは、意図したアプリの一部を取りこぼし、意図しないアプリの通信を拾うことがあります。

DNS の転送や独立したリゾルバーはさらに複雑にします。テレビがルールの想定と違う経路で名前を解決すれば、ルール自体が正しく書かれていても宛先集合は誤りになります。

ノート PC から行う公開アドレスの確認では、テレビの経路については何も分かりません。テレビから、あるいは本当に重要なアプリから試してください。

二つのどちらを選ぶか

要件が機器全体に及ぶ場合、ネットワークを自分で管理している場合、トンネルが落ちたときにそのテレビのすべてに影響が出ることを受け入れられる場合は、ルーターのルールを選んでください。提供事業者自身のクライアントが tvOS のアプリ単位選択を文書化していて、機器上で確認できる場合は、tvOS アプリを選んでください。その中間では、正直な答えは「機器全体の範囲である」ということであり、誰かがそれを前提にする前に書き留めておくべきです。

いずれの場合も、サービスのアクセスルールはそのままにしてください。ルーティングの能力はアカウントの地域権利を広げませんし、範囲の判断は提供事業者が提供する内容を変えません。

この種の依頼のほとんどは二つの質問で決まります。誰がアプリ名を指定できる必要があるのか、トンネルが切れたときにどうなるべきか。ハードウェアやサブスクリプションを買う前に、両方に答えてください。