Zo zet je een Apple TV achter een VPN zonder router

Als je hebt gelezen dat een Apple TV alleen via een router een VPN kan krijgen, is dat advies verouderd. Sinds tvOS 17 staat Apple VPN-apps van derden toe op het apparaat zelf, zodat de televisie de tunnel kan vasthouden zoals een telefoon dat doet. Wat niet is veranderd, is dat een VPN op je Mac of telefoon alleen dat apparaat dekt, hoe dicht het ook bij de televisie staat. Kies eerst de plek, app op de televisie of gateway ervoor, en de rest van de opzet volgt uit die keuze.

Het advies over alleen een router klopte ooit

Oudere gidsen hadden toen geen ongelijk. tvOS had geen VPN-apps van derden, dus de enige manier om het verkeer van de televisie door een tunnel te leiden was een gateway ervoor zetten of de verbinding van een Mac delen. De release tvOS 17 veranderde de eerste helft daarvan, omdat VPN-apps op Apple TV installeerbaar werden.

Beschikbaarheid is niet hetzelfde als universele ondersteuning. De app moet vermeld staan voor jouw regio en jouw apparaat, de minimale tvOS-versie moet worden gehaald, en het protocol dat hij spreekt moet passen bij de gateway die je werkelijk hebt.

Wat de tvOS-app wel en niet kan

Een VPN-app op Apple TV gedraagt zich als dezelfde app op een telefoon. Hij installeert een profiel, opent een tunnel en leidt het verkeer van het apparaat erdoorheen; je meldt je aan in de app of met een apparaatcode-flow, kiest een locatie en verbindt. Er is geen terminal en geen configuratie-editor, dus een provider die alleen een desktopclient of een handmatig bewerkt WireGuard-bestand levert, heeft hier niets te installeren.

Twee grenzen verrassen mensen. De app leidt door wat tvOS toestaat, dus een streamingdienst die certificaten vastzet of een eigen resolver gebruikt kan nog steeds bezwaar maken, ook al is je uitgaande adres veranderd. En een app die is gebouwd voor een nieuwere tvOS-release dan je apparaat heeft, wordt helemaal niet geïnstalleerd. Controleer beide voordat je hiervoor een abonnement koopt.

Huisaccounts tellen ook mee. Een VPN-app die met één Apple ID is aangemeld, is een tunnel op apparaatniveau, geen instelling per kijker, dus iedereen die die televisie gebruikt, deelt de uitgangslocatie die je hebt gekozen.

Wanneer een gateway nog steeds het juiste antwoord is

Een gateway wint als je één regel voor meerdere apparaten wilt, als de provider geen tvOS-app heeft, of als de tunnel een reset of vervanging van de televisie moet overleven. Een router die de VPN-client draait, of een klein kastje dat als standaardgateway van de televisie fungeert, verplaatst het verkeer zonder iets op de televisie te installeren.

Die opstelling vraagt twee dingen die mensen overslaan: een stabiel adres voor de televisie en gedefinieerd faalgedrag. Geef de televisie een DHCP-reservering zodat de routeregel blijft kloppen, en beslis dan of hij terugvalt op de gewone verbinding of internet verliest als de tunnel wegvalt. Neem DNS mee in die beslissing, want een gateway die verkeer doorstuurt maar queries laat lekken naar de resolver van de provider heeft het werk niet afgemaakt.

De regel zelf gaat meestal op bronadres of op netwerksegment. Zet de televisie op zijn eigen VLAN als de router dat ondersteunt, stuur dat segment door de tunnel, en laat de rest van het huis op het normale pad. Zo opgeschreven blijft de regel ook na zes maanden leesbaar.

Een VPN op je Mac is geen tv-VPN

Dit is de mythe die het langst leeft, omdat de opzet eruitziet alsof het zou moeten werken. Internet delen in macOS kan de televisie een adres geven en het verkeer doorsturen, maar het stuurt het door via de upstream-verbinding die de Mac op dat moment gebruikt. Een VPN-client op de Mac wordt niet automatisch die upstream, en sommige clients sluiten doorgestuurd verkeer bewust uit zodat ze nooit pakketten door zichzelf laten lopen. Afhankelijk van de macOS-versie vermeldt het deelpaneel je VPN-dienst of niet, en zelfs als het dat doet, draagt een client die doorgestuurd verkeer uitsluit de televisie niet.

Wil je dat de Mac als gateway dient, gebruik dan een client die gatewaymodus voor andere apparaten documenteert, en controleer vanaf de televisie in plaats van vanaf de Mac.

Test vanaf de televisie, niet vanaf je telefoon

Het enige bewijs dat telt, is wat de televisie meldt. Open een browser of een netwerkinfo-app op de televisie en lees het openbare adres dat hij ziet, of kijk in het log van de router naar het adres van de televisie dat door de tunnel naar buiten gaat. Een telefoon op dezelfde Wi-Fi bewijst niets over de route van de televisie.

Test daarna het faalpad. Verbreek de tunnel en bevestig dat de televisie zich gedraagt zoals je eerder hebt besloten; valt hij stil terug op de gewone verbinding, dan heb je een lek en geen terugvaloptie.

Loop deze lijst één keer door en de opzet blijft stabiel: bevestig model en tvOS-versie, installeer de app van de provider uit de App Store of configureer de gateway, voeg een DHCP-reservering toe als een regel van het adres afhangt, beslis over DNS en de verbroken toestand, en controleer vanaf de televisie zelf. Als de app installeert maar de stream nog steeds faalt, ligt de oorzaak meestal bij de accountregels van de dienst zelf en niet bij de tunnel.