VPN na Apple TV: wybór według aplikacji czy reguła urządzenia na routerze

Oba zgłoszenia zaczynają się tym samym zdaniem: umieść Apple TV za VPN. Jedna osoba ma na myśli całe urządzenie, druga jedną aplikację do streamingu, która na nim działa. To różne zakresy, a w tvOS zwykle dostępny jest dziś tylko jeden z nich. Różnica nie dotyczy protokołu ani dostawcy, lecz tego, kto widzi, która aplikacja utworzyła połączenie. Router widzi pakiety i adresy, natomiast aplikacja na telewizorze widzi tożsamość procesu tylko wtedy, gdy jej własny klient realizuje ten wybór.

Różnica polega na tym, kto widzi tożsamość aplikacji

Router przekazuje według adresu źródłowego, adresu docelowego i portu. Nigdy nie otrzymuje nazwy procesu tvOS, który otworzył gniazdo, więc nie ma sposobu, by wyrazić „ta aplikacja i nic więcej”.

Aplikacja VPN działająca na telewizorze znajduje się wewnątrz granicy procesu i może co do zasady stosować reguły dla poszczególnych aplikacji. Czy dostarczony klient to udostępnia, jest kwestią produktu, a nie protokołu.

Co aplikacja VPN w tvOS może, a czego nie może wybrać

Apple dodał obsługę aplikacji VPN innych firm w tvOS 17, co odnotowuje ogłoszenie platformy. Poprawiło to starsze założenie, że router musi być punktem końcowym. Nie obiecano jednak, że każdy klient oferuje listę dołączania lub wykluczania, i właśnie w tej luce większość takich porównań się myli. Czytaj stronę dostawcy dla tvOS, a nie jego stronę dla Windows lub Android.

Split tunneling opisany dla wersji desktopowej nie jest dowodem dla wersji telewizyjnej. Dostawcy dostarczają różne bazy kodu dla każdej platformy, a klient telewizyjny jest często najmniejszym z nich.

Dokumentacja Apple dotycząca zarządzanego VPN dla aplikacji opisuje model wdrożenia dla urządzeń nadzorowanych, a nie przełącznik dla konsumentów. Sprawdź listę obsługiwanych platform, zanim zaimportujesz instrukcje napisane dla zarządzanego iPhone’a lub Maca.

Co reguła routera faktycznie wybiera

Gdy router jest punktem końcowym, reguła urządzenia wybiera adres lub segment Apple TV. To wybór całego urządzenia w zakresie polityki i nie staje się „tylko jedną aplikacją” dlatego, że testowałeś z jedną aplikacją. Jeśli druga aplikacja na tym samym telewizorze korzysta z tunelu, reguła działa dokładnie tak, jak zaprojektowano.

Zwykle jest to właściwa odpowiedź, gdy celem jest „ten telewizor, w całości”. Przetrwa też aktualizacje aplikacji, nowe usługi streamingowe i zmiany profilu, czego większość list według aplikacji powiedzieć nie może.

Reguły domen i celów nie są tożsamościami aplikacji

Reguła celu wybiera adresy lub utrzymywane zestawy domen. Jedna aplikacja kontaktuje się z punktami logowania, mediów, telemetrii i reklam, a kilka aplikacji może dzielić tę samą infrastrukturę dostarczania. Reguła domeny może więc pominąć część zamierzonej aplikacji i przechwycić ruch z tej, której nie zamierzałeś.

Przekazywanie DNS i niezależne resolvery dodatkowo to komplikują. Jeśli telewizor rozwiązuje nazwy inną drogą, niż zakłada reguła, zestaw celów jest błędny nawet wtedy, gdy sama reguła jest poprawnie napisana.

Sprawdzenie publicznego adresu z laptopa nie mówi nic o drodze telewizora. Testuj z telewizora lub z aplikacji, na której naprawdę ci zależy.

Wybór między dwoma

Wybierz regułę routera, gdy wymaganie dotyczy całego urządzenia, gdy kontrolujesz sieć i gdy możesz zaakceptować, że nieudany tunel wpłynie na wszystko w tym telewizorze. Wybierz aplikację tvOS, gdy klient dostawcy sam dokumentuje wybór według aplikacji dla tvOS i możesz to potwierdzić na urządzeniu. Pomiędzy tymi dwoma uczciwa odpowiedź brzmi: masz zakres całego urządzenia i warto to zapisać, zanim ktoś na tym polega.

W każdym razie zachowaj reguły dostępu usługi bez zmian. Możliwość routingu nie rozszerza regionalnego uprawnienia konta, a decyzja o zakresie nie zmienia tego, co dostawca ci zaserwuje.

Dwa pytania rozstrzygają większość takich zgłoszeń: kto musi móc nazwać aplikację i co powinno się stać, gdy tunel padnie? Odpowiedz na oba, zanim kupisz sprzęt lub subskrypcję.