Gebruikt je Apple Watch de VPN-verbinding van de iPhone?

De watch heeft geen VPN-instelling die je kunt openen, en dat is het eerste dat je moet begrijpen. Alle VPN-configuratie staat op de gekoppelde iPhone, in een profiel of in de Network Extension van een app. Of het verkeer van de watch echt door die tunnel gaat, hangt af van welke verbinding de watch op dat moment gebruikt. Dat ene feit verklaart de meeste verwarrende meldingen over een watch die blijft werken terwijl de telefoon op een VPN zit, of andersom.

watchOS heeft geen VPN-client om naar te wijzen

watchOS komt zonder scherm voor VPN-configuratie, dus er is geen tunnel per watch om aan te zetten of te debuggen. Een profiel dat op de iPhone is geïnstalleerd, geldt voor de iPhone, en de watch erft gedrag alleen via de paden die beide apparaten delen. Behandel elke bewering over een VPN-instelling op de watch als een teken dat de persoon het scherm van de telefoon beschrijft.

Daarom kunnen MDM-teams ook geen VPN-payload naar een watch duwen zoals ze dat naar een telefoon doen.

Wat de watch wel heeft, is een reeks transporten, en hij kiest daar voortdurend uit: Bluetooth naar de telefoon in de buurt, een compatibel Wi-Fi-netwerk waarvoor hij inloggegevens heeft, of mobiel op een model met een abonnement. Elke keuze verandert wie de pakketten draagt, en dat is het deel dat voor jouw tunnel telt.

Bluetooth: de telefoon draagt de pakketten

Als de telefoon in de buurt is, geeft de watch de voorkeur aan Bluetooth, omdat dat veel minder energie kost dan Wi-Fi of mobiel. Gegevens van een app op de watch verlaten het apparaat via die verbinding, komen bij de telefoon aan en volgen daarna de routerings- en tunnelregels van de telefoon zoals al het andere verkeer dat de telefoon maakt of doorgeeft. In die toestand zit de VPN van de telefoon echt in het pad. Daarom kan een app op de watch falen terwijl de tunnel aan staat, ook al heeft de watch nooit een eigen verbinding geopend.

Die doorgeving is niet hetzelfde als dat de watch aan de tunnel deelneemt. De tunnel hoort bij de netwerkstack van de telefoon, en de watch heeft er geen zicht op: geen adrestoewijzing, geen eigen routes, geen tunnelstatus om te lezen. Je zult het verkeer van de watch niet als aparte sessie in de tunnel vinden.

Een nuttige test is om alleen op de telefoon Bluetooth uit te zetten en de mislukkende actie te herhalen. Als het dan gaat werken, was het pad de doorgeving via de telefoon.

Wi-Fi en mobiel: de watch verlaat de tunnel

Als Bluetooth buiten bereik raakt of wordt uitgezet, probeert de watch een compatibel Wi-Fi-netwerk dat hij al kent, en een mobiel model met dekking kan terugvallen op de provider. Apples handleiding voor de verbinding van de watch beschrijft die volgorde en merkt op dat het Wi-Fi-pictogram betekent dat de watch op Wi-Fi zit en niet met de iPhone praat. Verkeer op die paden eindigt bij de watch, niet bij de telefoon.

De tunnel van de telefoon reikt dus niet tot daar. De eigen verbindingen van de watch worden door watchOS gemaakt, met de radio’s van de watch en de inloggegevens die hij heeft, en de telefoon geeft ze niet door. Dit is het geval waarin een strikte VPN voor al het verkeer op de telefoon perfect kan werken terwijl een app op de watch nog steeds internet bereikt.

De omgekeerde klacht komt vaker voor: een app op de watch faalt zodra de tunnel van de telefoon opkomt.

Wat includeAllNetworks wel en niet dekt

Apples routeringsdocumentatie voor Network Extension noemt communicatie met begeleidende apparaten, inclusief verkeer naar een Apple Watch, onder de uitzonderingen die het maakt bij het beschrijven van includeAllNetworks. De bedoeling is dat een brede tunnel de lokale verbinding tussen de twee apparaten niet breekt. Lees dat smal: het beschermt het kanaal van het begeleidende apparaat, niet elke dienst die een app op de watch kan aanroepen.

Het certificeert ook geen specifiek VPN-product en zegt niets over welk transport de watch op het moment van de fout koos. Een melding die laat aankomt, is geen bewijs dat de tunnel hem heeft laten vallen.

De uitzondering maakt ook geen getunnelde client van een watch op zijn eigen Wi-Fi of mobiel. Heb je die garantie nodig, dan moet de tunnel eindigen waar het verkeer van de watch echt langskomt, en de telefoon ligt niet op dat pad.

Lees het pad voordat je het profiel aanpast

Voordat je de VPN-configuratie aanraakt, noteer je drie dingen: de verbinding die de watch meldt (telefoon, Wi-Fi of mobiel), of de telefoon binnen Bluetooth-bereik is, en één benoemde actie die mislukt. Herhaal die actie daarna met het pad ongewijzigd en de VPN uit, als het beleid dat toestaat. Een resultaat dat alleen met de tunnel aan verschijnt, is een tunnelprobleem, en een resultaat dat in beide gevallen verschijnt niet.

Houd beide apparaten op dezelfde plek bij beide runs, anders meet je de kamer in plaats van de tunnel.

Als de fout die vergelijking overleeft, is het nuttige rapport aan een netwerkbeheerder smal: deze app, deze actie, dit transport, tunnel aan en uit. Algemene uitspraken over onverenigbaarheid van watch en VPN zijn niet te controleren, en ze verbergen meestal een captive portal of een geblokkeerde dienst achter een bewering over de radio.