Apple TV VPN: valg per app eller en enhetsregel på ruteren

Begge forespørslene åpner med samme setning: sett Apple TV-en bak VPN-en. Den ene mener hele boksen, den andre mener én enkelt strømmeapp som kjører på den. Dette er forskjellige omfang, og på tvOS er vanligvis bare ett av dem tilgjengelig i dag. Forskjellen handler ikke om protokollen eller leverandøren, men om hvem som kan se hvilken applikasjon som opprettet en forbindelse. En ruter ser pakker og adresser, mens en app på TV-en ser prosessidentitet bare når dens egen klient implementerer det valget.

Forskjellen er hvem som kan se identiteten til appen

En ruter videresender etter kildeadresse, måladresse og port. Den mottar aldri navnet på tvOS-prosessen som åpnet en socket, og kan derfor ikke uttrykke «denne appen og ingenting annet».

En VPN-app som kjører på TV-en, ligger innenfor prosessgrensen og kan i prinsippet bruke regler per app. Om den leverte klienten tilbyr det, er et produktspørsmål og ikke et protokollspørsmål.

Hva en tvOS VPN-app kan og ikke kan velge

Apple la til støtte for tredjeparts VPN-apper i tvOS 17, slik plattformmeldingen viser. Det rettet opp den eldre antakelsen om at en ruter måtte være endepunktet. Den lovet likevel ikke at hver klient tilbyr en liste for inkludering eller utelatelse, og det er i dette gapet de fleste av disse sammenligningene går galt. Les tvOS-siden til leverandøren, ikke Windows- eller Android-siden.

Split tunnelling som beskrives for en skrivebordsversjon, er ikke bevis for TV-versjonen. Leverandører leverer ulike kodebaser per plattform, og TV-klienten er ofte den minste av dem.

Apples dokumentasjon om administrert VPN per app beskriver en utrullingsmodell for overvåkede enheter, ikke en forbrukerbryter. Sjekk listen over støttede plattformer før du importerer instruksjoner skrevet for en administrert iPhone eller Mac.

Hva en ruterregel faktisk velger

Med ruteren som endepunkt velger en enhetsregel adressen eller segmentet til Apple TV-en. Det er valg av hele enheten innenfor regelsettets omfang, og det blir ikke «bare én app» fordi du testet med én app. Hvis en annen app på samme TV bruker tunnelen, fungerer regelen nøyaktig som den er laget for.

Dette er vanligvis det riktige svaret når målet er «denne TV-en, alt». Det tåler også appoppdateringer, nye strømmetjenester og profilendringer, som er mer enn de fleste listene per app kan si.

Domene- og målregler er ikke appidentiteter

En målregel velger adresser eller vedlikeholdte domenesett. Én app kontakter endepunkter for innlogging, medier, telemetri og annonsering, og flere apper kan dele samme leveringsinfrastruktur. Derfor kan en domeneregel gå glipp av en del av appen du mente og fange trafikk fra en du ikke mente.

DNS-videresending og uavhengige resolvere gjør det enda mer komplisert. Hvis TV-en løser navn via en annen vei enn regelen forutsetter, er målsettet feil selv når regelen selv er riktig skrevet.

En sjekk av offentlig adresse fra laptopen din sier ingenting om veien til TV-en. Test fra TV-en, eller fra appen du faktisk bryr deg om.

Å velge mellom de to

Velg ruterregelen når kravet gjelder hele enheten, når du kontrollerer nettverket, og når du kan godta at en mislykket tunnel påvirker alt på den TV-en. Velg tvOS-appen når leverandørens egen klient dokumenterer valg per app for tvOS, og du kan bekrefte det på enheten. Mellom de to er det ærlige svaret at du har omfang for hele enheten, og det bør skrives ned før noen regner med det.

Uansett bør du holde tjenestens tilgangsregler intakte. Ruterkapasitet utvider ikke en kontos regionale rettighet, og en beslutning om omfang endrer ikke hva leverandøren vil levere til deg.

To spørsmål avgjør de fleste av disse sakene: hvem må kunne navngi appen, og hva skal skje når tunnelen faller? Svar på begge før du kjøper maskinvare eller et abonnement.