Apple Watch は iPhone の VPN 接続を使うのか

時計には開ける VPN 設定がありません。まずこれを理解する必要があります。VPN の設定はすべてペアリング済みの iPhone にあり、プロファイルの中か、アプリの Network Extension の中にあります。時計の通信がそのトンネルを実際に通るかどうかは、その瞬間に時計がどの回線を使っているかで決まります。この一点が、電話が VPN につながっているのに時計が動き続ける、あるいはその逆という混乱した報告のほとんどを説明します。

watchOS には指し示せる VPN クライアントがない

watchOS には VPN 設定画面がないため、時計ごとのトンネルを有効にしたり調べたりする対象がありません。iPhone に入れたプロファイルは iPhone に適用され、時計は二台の端末が共有する経路を通じてのみ振る舞いを引き継ぎます。時計の VPN 設定についての話は、話し手が電話の画面を説明している印だと考えてください。

そのため MDM のチームは、電話に送るようには時計へ VPN のペイロードを配布できません。

時計が持つのは複数の伝送路で、常にその間を選んでいます。近くの電話への Bluetooth、資格情報を持つ互換 Wi-Fi ネットワーク、あるいは通信プランのあるモデルのセルラーです。選択のたびにパケットを運ぶ相手が変わり、これがあなたのトンネルにとって重要な部分です。

Bluetooth: 電話がパケットを運ぶ

電話が近くにあると、時計は Bluetooth を選びます。Wi-Fi やセルラーよりはるかに消費電力が少ないからです。時計のアプリのデータはその回線から出て電話に届き、その後は電話が生成または中継する他の通信と同じく、電話のルーティングとトンネルの規則に従います。この状態では電話の VPN は本当に経路上にあります。時計が自分で接続を開いていないのに、トンネルが上がっていると時計のアプリが失敗することがあるのはこのためです。

その中継は、時計がトンネルに加わることとは違います。トンネルは電話のネットワークスタックに属し、時計からは何も見えません。アドレスの割り当て、独自のルート、読めるトンネルの状態のいずれもありません。トンネルの内側に時計の通信が別セッションとして現れることはありません。

役に立つ試験は、電話だけで Bluetooth を切り、失敗する操作を繰り返すことです。動き出せば、経路は電話の中継でした。

Wi-Fi とセルラー: 時計はトンネルの外に出る

Bluetooth が範囲外に出るか切られると、時計は既に知っている互換 Wi-Fi ネットワークを試し、サービスがあるセルラーモデルは通信事業者に戻れます。Apple の時計の接続ガイドはこの順序を説明し、Wi-Fi のアイコンは時計が iPhone と話しているのではなく Wi-Fi にいることを示すと述べています。その経路の通信は電話ではなく時計で終わります。

つまり電話のトンネルはそこまで届きません。時計自身の接続は watchOS が時計の無線と保持している資格情報で作り、電話はそれを転送しません。電話で全通信を通す厳格な VPN が完璧に動いていても、時計のアプリがインターネットに届くのはこの場合です。

逆の訴えのほうがよくあります。電話のトンネルが上がると時計のアプリが失敗する、というものです。

includeAllNetworks が覆う範囲と覆わない範囲

Network Extension に関する Apple のルーティング文書は、includeAllNetworks を説明する際に除外する項目のひとつとして、Apple Watch への通信を含むコンパニオンデバイスとの通信を挙げています。狙いは、広いトンネルが二台の端末間のローカルな接続を壊さないことです。これを狭く読んでください。守られるのはコンパニオンの経路であり、時計のアプリが呼びうるすべてのサービスではありません。

また、特定の VPN 製品を認定するものでも、障害の瞬間に時計がどの伝送路を選んだかを語るものでもありません。遅れて届いた通知は、トンネルがそれを落とした証拠にはなりません。

例外は、自分の Wi-Fi やセルラーで動く時計をトンネル内のクライアントに変えるものでもありません。その保証が必要なら、トンネルは時計の通信が実際に通る場所で終わらなければならず、電話はその経路上にありません。

プロファイルを変える前に経路を読む

VPN 設定に触れる前に、三つを記録します。時計が報告する接続（電話、Wi-Fi、セルラー）、電話が Bluetooth の範囲内にあるか、失敗する操作を一つ名指しすることです。次に、経路を変えず VPN を切った状態でその操作を繰り返します。ポリシーが許す場合に限ります。トンネルが上がっているときだけ現れる結果はトンネルの問題で、どちらでも現れる結果はそうではありません。

二回の試行で両方の端末を同じ場所に置いてください。そうしないとトンネルではなく部屋を測ることになります。

その比較を経ても障害が残るなら、ネットワーク管理者への有用な報告は狭いものです。このアプリ、この操作、この伝送路、トンネルのオンとオフ。時計と VPN の非互換性についての一般的な断定は検証できず、たいていは無線についての主張の裏にキャプティブポータルや遮断されたサービスを隠しています。