Bruker Apple Watch VPN-forbindelsen til iPhone?

Klokken har ingen VPN-innstilling som du kan åpne, og det er det første du bør forstå. Hele VPN-oppsettet ligger på den sammenkoblede iPhonen, i en profil eller inne i Network Extension til en app. Om trafikken fra klokka virkelig går gjennom den tunnelen, avhenger av hvilken forbindelse klokka bruker i øyeblikket. Dette ene forholdet forklarer de fleste forvirrende rapportene om en klokke som fortsetter å virke mens telefonen står på VPN, eller motsatt.

watchOS har ingen VPN-klient å vise til

watchOS leveres uten noe skjermbilde for VPN-oppsett, så det finnes ingen tunnel per klokke å aktivere eller feilsøke. En profil som er lagt inn på iPhonen, gjelder for iPhonen, og klokka arver oppførsel bare gjennom de veiene de to enhetene deler. Se på enhver påstand om en VPN-innstilling på klokka som et tegn på at personen beskriver skjermen til telefonen.

Det er også grunnen til at MDM-team ikke kan sende en VPN-nyttelast til en klokke slik de sender den til en telefon.

Det klokka har, er en gruppe transportveier, og den velger stadig blant dem: Bluetooth til den nærliggende telefonen, et kompatibelt Wi-Fi-nettverk den har påloggingsinformasjon for, eller mobilnett på en modell med abonnement. Hvert valg endrer hvem som bærer pakkene, og det er den delen som er viktig for tunnelen din.

Bluetooth: telefonen bærer pakkene

Når telefonen er nær, foretrekker klokka Bluetooth fordi det bruker langt mindre strøm enn Wi-Fi eller mobilnett. Data fra en app på klokka går ut over den forbindelsen, kommer til telefonen og følger så telefonens regler for ruting og tunnel, som all annen trafikk telefonen lager eller sender videre. I den tilstanden er VPN-en til telefonen virkelig på veien. Derfor kan en app på klokka feile med tunnelen oppe, selv om klokka aldri åpnet sin egen forbindelse.

Den videresendingen er ikke det samme som at klokka blir med i tunnelen. Tunnelen tilhører nettverksstakken i telefonen, og klokka har ingen innsikt i den: ingen tildeling av adresse, ingen egne ruter, ingen tunnelstatus å lese. Du finner ikke trafikken fra klokka som en egen økt inne i tunnelen.

En nyttig test er å slå av Bluetooth bare på telefonen og gjenta handlingen som feiler. Begynner den å virke, var veien videresendingen via telefonen.

Wi-Fi og mobilnett: klokka forlater tunnelen

Hvis Bluetooth går ut av rekkevidde eller blir slått av, prøver klokka et kompatibelt Wi-Fi-nettverk den allerede kjenner, og en mobilmodell med dekning kan falle tilbake på operatøren. Apples veiledning for tilkoblingen til klokka beskriver den rekkefølgen og påpeker at Wi-Fi-ikonet betyr at klokka er på Wi-Fi og ikke snakker med iPhonen. Trafikk på disse veiene ender ved klokka, ikke ved telefonen.

Dermed strekker ikke tunnelen til telefonen seg dit. Klokkens egne forbindelser settes opp av watchOS, med radioene i klokka og den påloggingsinformasjonen den har, og telefonen sender dem ikke videre. Dette er tilfellet der en streng VPN for all trafikk på telefonen kan virke perfekt mens en app på klokka fortsatt når internett.

Den motsatte klagen er vanligere: en app på klokka feiler når tunnelen til telefonen kommer opp.

Hva includeAllNetworks dekker og ikke dekker

Apples dokumentasjon om ruting for Network Extension lister kommunikasjon med følgeenheter, også trafikk til en Apple Watch, blant unntakene den trekker fram når den beskriver includeAllNetworks. Meningen er at en bred tunnel ikke skal bryte den lokale forbindelsen mellom de to enhetene. Les det snevert: det beskytter følgekanalen, ikke hver tjeneste en app på klokka kan kalle på.

Den sertifiserer heller ikke et bestemt VPN-produkt, og den sier ingenting om hvilken transportvei klokka valgte i feiløyeblikket. Et varsel som kommer sent, er ikke bevis for at tunnelen slapp det.

Unntaket gjør heller ikke en klokke på sitt eget Wi-Fi eller mobilnett til en klient inne i tunnelen. Trenger du den garantien, må tunnelen ende et sted der trafikken fra klokka faktisk passerer, og telefonen er ikke på den veien.

Les veien før du endrer profilen

Før du tar på VPN-oppsettet, noter tre ting: forbindelsen klokka rapporterer (telefon, Wi-Fi eller mobilnett), om telefonen er innenfor Bluetooth-rekkevidde, og én navngitt handling som feiler. Gjenta så den handlingen med uendret vei og VPN slått av, hvis policyen tillater det. Et resultat som bare viser seg med tunnelen oppe, er et tunnelproblem, og et resultat som viser seg i begge tilfeller, er det ikke.

Hold begge enhetene på samme sted i begge kjøringene, ellers måler du rommet i stedet for tunnelen.

Når feilen overlever den sammenligningen, er den nyttige rapporten til en nettverksadministrator smal: denne appen, denne handlingen, denne transportveien, tunnel på og av. Generelle påstander om at klokke og VPN ikke passer sammen, kan ikke kontrolleres, og de skjuler vanligvis en captive portal eller en blokkert tjeneste bak en påstand om radioen.