Bruker Apple Watch VPN-tilkoblingen til iPhone?

Klokken har ingen VPN-innstilling du kan åpne, og det er det første du må forstå. All VPN-konfigurasjon ligger på den sammenkoblede iPhone, i en profil eller inne i en apps Network Extension. Om trafikken fra klokken faktisk går gjennom den tunnelen, avhenger av hvilken lenke klokken bruker i det øyeblikket. Denne ene kjensgjerningen forklarer de fleste forvirrende rapportene om en klokke som fortsetter å virke mens telefonen er på VPN, eller omvendt.

watchOS har ingen VPN-klient å peke på

watchOS leveres uten skjerm for VPN-konfigurasjon, så det finnes ingen tunnel per klokke å slå på eller feilsøke. En profil som er installert på iPhonen, gjelder for iPhonen, og klokken arver atferd bare gjennom veiene de to enhetene deler. Behandle enhver påstand om en VPN-innstilling på klokken som et tegn på at personen beskriver skjermen til telefonen.

Det er også derfor MDM-team ikke kan skyve en VPN-nyttelast til en klokke slik de skyver den til en telefon.

Det klokken har, er et sett med transportveier, og den velger stadig mellom dem: Bluetooth til telefonen i nærheten, et kompatibelt Wi-Fi-nettverk den har legitimasjon for, eller mobilnett på en modell med abonnement. Hvert valg endrer hvem som bærer pakkene, og det er den delen som betyr noe for tunnelen din.

Bluetooth: telefonen bærer pakkene

Når telefonen er i nærheten, foretrekker klokken Bluetooth fordi det bruker langt mindre strøm enn Wi-Fi eller mobilnett. Data fra en app på klokken forlater enheten over den lenken, kommer til telefonen og følger deretter telefonens ruting- og tunnelregler som all annen trafikk telefonen skaper eller videresender. I den tilstanden er telefonens VPN virkelig i veien. Det er derfor en app på klokken kan feile med tunnelen oppe, selv om klokken aldri åpnet sin egen tilkobling.

Den videresendingen er ikke det samme som at klokken blir med i tunnelen. Tunnelen tilhører nettverksstakken til telefonen, og klokken har ingen innsikt i den: ingen adressetildeling, ingen egne ruter, ingen tunnelstatus å lese. Du finner ikke trafikken fra klokken som en egen økt inne i tunnelen.

En nyttig test er å slå av Bluetooth bare på telefonen og gjenta handlingen som feiler. Hvis den begynner å virke, var veien videresendingen via telefonen.

Wi-Fi og mobilnett: klokken forlater tunnelen

Hvis Bluetooth går ut av rekkevidde eller slås av, prøver klokken et kompatibelt Wi-Fi-nettverk den allerede kjenner, og en mobilmodell med dekning kan falle tilbake til operatøren. Apples veiledning for klokkens tilkobling beskriver den rekkefølgen og bemerker at Wi-Fi-ikonet betyr at klokken er på Wi-Fi og ikke snakker med iPhonen. Trafikk på disse veiene ender ved klokken, ikke ved telefonen.

Så telefonens tunnel strekker seg ikke dit. Klokkens egne tilkoblinger settes opp av watchOS, med klokkens radioer og legitimasjonen den har, og telefonen videresender dem ikke. Dette er tilfellet der en streng VPN for all trafikk på telefonen kan fungere perfekt mens en app på klokken fortsatt når internett.

Den motsatte klagen er vanligere: en app på klokken feiler når telefonens tunnel kommer opp.

Hva includeAllNetworks dekker og ikke dekker

Apples rutingsdokumentasjon for Network Extension lister opp kommunikasjon med følgeenheter, også trafikk til en Apple Watch, blant unntakene den peker ut når den beskriver includeAllNetworks. Hensikten er at en bred tunnel ikke skal bryte den lokale forbindelsen mellom de to enhetene. Les det snevert: det beskytter følgekanalen, ikke hver tjeneste en app på klokken kan kalle.

Den sertifiserer heller ikke et bestemt VPN-produkt, og den sier ingenting om hvilken transportvei klokken valgte i feiløyeblikket. Et varsel som kommer sent, er ikke bevis for at tunnelen slapp det.

Unntaket gjør heller ikke en klokke på sitt eget Wi-Fi eller mobilnett til en tunnelert klient. Trenger du den garantien, må tunnelen ende et sted der trafikken fra klokken faktisk passerer, og telefonen er ikke på den veien.

Les veien før du endrer profilen

Før du rører VPN-konfigurasjonen, noter tre ting: tilkoblingen klokken rapporterer (telefon, Wi-Fi eller mobilnett), om telefonen er innenfor Bluetooth-rekkevidde, og én navngitt handling som feiler. Gjenta deretter den handlingen med uendret vei og VPN slått av, hvis policyen tillater det. Et resultat som bare vises med tunnelen oppe, er et tunnelproblem, og et resultat som vises i begge tilfeller, er det ikke.

Hold begge enhetene på samme sted i begge kjøringene, ellers måler du rommet i stedet for tunnelen.

Når feilen overlever den sammenligningen, er den nyttige rapporten til en nettverksadministrator smal: denne appen, denne handlingen, denne transportveien, tunnel på og av. Generelle påstander om manglende kompatibilitet mellom klokke og VPN kan ikke kontrolleres, og de skjuler vanligvis en captive portal eller en blokkert tjeneste bak en påstand om radioen.