ルーターなしでApple TVをVPNの内側に置く方法

Apple TVがVPNを使えるのはルーター経由だけだという説明を見かけたなら、それは古い情報です。tvOS 17以降、Appleはサードパーティ製VPNアプリを本体に置くことを認めたため、テレビはスマートフォンと同じようにトンネルを持てます。変わっていないのは、Macやスマートフォンで動くVPNがその端末だけを守るという点で、テレビにどれだけ近くても変わりません。まず配置を選び、テレビにアプリを入れるか手前にゲートウェイを置くかで、残りの設定は決まります。

ルーターだけという助言は昔は正しかった

古い解説は当時は間違っていませんでした。tvOSにサードパーティ製VPNアプリはなく、テレビの通信をトンネルに通す方法は手前にゲートウェイを置くか、Macの接続を共有するしかありませんでした。tvOS 17のリリースがその前半を変えたのは、VPNアプリがApple TVに入れられるようになったからです。

入手できることは万能な対応と同じではありません。アプリが地域と端末向けに登録されている必要があり、最低tvOSバージョンを満たす必要があり、話すプロトコルが実際に持っているゲートウェイと合う必要があります。

tvOSアプリにできることとできないこと

Apple TVのVPNアプリはスマートフォンの同じアプリと同じように動きます。プロファイルを入れ、トンネルを開き、端末の通信をそこに通したうえで、アプリ内または端末コードの流れでサインインし、場所を選んで接続します。端末も設定エディタもないため、デスクトップ用クライアントや手で編集したWireGuardファイルしか出さない提供元は、ここに置くものがありません。

二つの限界が人を戸惑わせます。アプリはtvOSが許す範囲しか通せないため、証明書を固定したり独自のリゾルバーを使う配信サービスは、出口アドレスが変わっても反応することがあります。また、端末より新しいtvOS向けに作られたアプリはそもそも入りません。この目的で契約する前に両方を確認してください。

世帯のアカウントも関係します。一つのApple IDでサインインしたVPNアプリは端末単位のトンネルで、視聴者ごとの設定ではないため、そのテレビを使う全員が選んだ出口の場所を共有します。

ゲートウェイが今も正解になる場合

複数端末に一つのルールを適用したいとき、提供元にtvOSアプリがないとき、テレビのリセットや買い替えをまたいでトンネルを維持したいときは、ゲートウェイが勝ります。VPNクライアントを動かすルーターや、テレビの既定ゲートウェイとして動く小さな機器なら、テレビに何も入れずに通信を移せます。

この構成に必要なのは、見落とされがちな二点、テレビの固定アドレスと決めておいた障害時の挙動です。テレビにDHCP予約を付けてルーティング規則が合い続けるようにし、トンネルが落ちたときに通常の接続に戻すのか、インターネットを失わせるのかを決めます。通信を転送しながら問い合わせをプロバイダーのリゾルバーに漏らすゲートウェイは仕事を終えていないため、その判断にはDNSも含めてください。

ルール自体は通常、送信元アドレスかネットワークセグメントで作ります。ルーターが対応していればテレビを専用のVLANに置き、そのセグメントをトンネルに通し、家の残りは通常の経路に残します。そう書けば半年後にも読める規則になります。

MacのVPNはテレビのVPNではない

これは最も長く生き残る俗説で、設定が動くはずに見えるからこそ長く残ります。macOSのインターネット共有はテレビにアドレスを与えて通信を転送できますが、転送先はMacがその時点で使っている上流の接続です。Macで動くVPNクライアントが自動的にその上流になるわけではなく、一部のクライアントは転送された通信を意図的に除外し、自分自身をパケットが通らないようにします。macOSのバージョンによっては共有パネルにVPNサービスが表示されることもあり、表示されても転送通信を除外するクライアントはテレビを運びません。

Macをゲートウェイにしたいなら、他端末向けのゲートウェイモードを明記しているクライアントを使い、Macからではなくテレビから確認してください。

スマートフォンではなくテレビから試す

意味のある証拠はテレビが報告する内容だけです。テレビでブラウザーかネットワーク情報アプリを開き、見えている公開アドレスを読むか、ルーターのログでテレビのアドレスがトンネルから出ていくのを確認します。同じWi-Fi上のスマートフォンは、テレビの経路を何も証明しません。

次に障害時の経路を試し、トンネルを切ってテレビが先に決めたとおりに動くか確認します。黙って通常の接続に戻るなら、それは予備ではなく漏えいです。

この一覧を一度通していただければ、機種とtvOSバージョンの確認から、提供元のアプリをApp Storeから入れるかゲートウェイを設定すること、規則がアドレスに依存する場合のDHCP予約、DNSと切断時の状態の決定、テレビそのものからの確認までを順に進めることで設定は安定します。アプリが入っても再生が失敗する場合、原因はたいていトンネルではなくサービス側のアカウント規則です。