Apple TV VPN: selectie per app of een apparaatregel op de router

Beide verzoeken beginnen met dezelfde zin: zet de Apple TV achter de VPN. De een bedoelt het hele kastje, de ander bedoelt één streamingapp die erop draait. Dat zijn verschillende bereiken, en op tvOS is vandaag meestal maar één van beide beschikbaar. Het onderscheid gaat niet over het protocol of de provider, maar over wie kan zien welke applicatie een verbinding heeft gemaakt. Een router ziet pakketten en adressen, terwijl een app op de tv procesidentiteit alleen ziet wanneer zijn eigen client die selectie implementeert.

Het verschil is wie de identiteit van de app kan zien

Een router stuurt door op basis van bronadres, bestemmingsadres en poort. Hij ontvangt nooit de naam van het tvOS-proces dat een socket heeft geopend, dus hij kan niet uitdrukken "deze app en niets anders".

Een VPN-app op de tv zit binnen de procesgrens en kan in principe regels per app toepassen. Of de geleverde client dat biedt, is een productvraag en geen protocolvraag.

Wat een tvOS-VPN-app wel en niet kan selecteren

Apple voegde in tvOS 17 ondersteuning voor VPN-apps van derden toe, zoals de platformaankondiging vastlegt. Dat corrigeerde de oudere aanname dat een router het eindpunt moest zijn. Het beloofde echter niet dat elke client een lijst voor opnemen of uitsluiten biedt, en juist in die leemte gaan de meeste van deze vergelijkingen mis. Lees de tvOS-pagina van de provider, niet de Windows- of Android-pagina.

Split tunneling dat voor een desktopversie wordt beschreven, is geen bewijs voor de tv-versie. Providers leveren per platform andere codebases, en de tv-client is vaak de kleinste daarvan.

Apple's documentatie over beheerd VPN per app beschrijft een uitrolmodel voor gecontroleerde apparaten, geen consumentenschakelaar. Controleer de lijst met ondersteunde platforms voordat je instructies importeert die voor een beheerde iPhone of Mac zijn geschreven.

Wat een routerregel feitelijk selecteert

Met de router als eindpunt selecteert een apparaatregel het adres of segment van de Apple TV. Dat is selectie van het hele apparaat binnen het bereik van het beleid, en het wordt geen "alleen één app" omdat je met één app hebt getest. Gebruikt een tweede app op dezelfde televisie de tunnel, dan werkt de regel precies zoals ontworpen.

Dit is meestal het juiste antwoord wanneer het doel "deze televisie, helemaal" is. Het overleeft ook app-updates, nieuwe streamingdiensten en profielwijzigingen, wat de meeste lijsten per app niet kunnen zeggen.

Domein- en bestemmingsregels zijn geen app-identiteiten

Een bestemmingsregel selecteert adressen of onderhouden domeinsets. Eén app benadert eindpunten voor inloggen, media, telemetrie en advertenties, en meerdere apps kunnen dezelfde leveringsinfrastructuur delen. Een domeinregel kan daardoor een deel van de bedoelde app missen en verkeer van een andere app vangen die je niet bedoelde.

DNS-doorsturing en onafhankelijke resolvers maken het nog ingewikkelder. Als de tv namen via een andere route oplost dan de regel aanneemt, is de bestemmingsset onjuist, zelfs wanneer de regel zelf correct is geschreven.

Een controle van het openbare adres vanaf je laptop zegt niets over de route van de televisie. Test vanaf de tv, of vanaf de app die je echt belangrijk vindt.

Kiezen tussen de twee

Kies de routerregel wanneer de eis apparaatbreed is, wanneer je het netwerk beheert en wanneer je kunt accepteren dat een mislukte tunnel alles op die televisie beïnvloedt. Kies de tvOS-app wanneer de client van de provider zelf de selectie per app voor tvOS documenteert en je dat op het apparaat kunt bevestigen. Daartussen is het eerlijke antwoord dat je een bereik voor het hele apparaat hebt en dat je dat moet opschrijven voordat iemand erop vertrouwt.

Houd in elk geval de toegangsregels van de dienst intact. Routeringsvermogen vergroot niet het regionale recht van een account, en een beslissing over bereik verandert niet wat de provider je levert.

Twee vragen beslechten de meeste van deze verzoeken: wie moet de app kunnen benoemen, en wat moet er gebeuren als de tunnel wegvalt? Beantwoord beide voordat je hardware of een abonnement koopt.