Czy Twój Apple Watch korzysta z połączenia VPN iPhone’a?

Zegarek nie ma ustawienia VPN, którego mógłbyś otworzyć, i to pierwsza rzecz, którą trzeba zrozumieć. Cała konfiguracja VPN znajduje się na sparowanym iPhonie, w profilu albo wewnątrz Network Extension aplikacji. To, czy ruch zegarka rzeczywiście przechodzi przez ten tunel, zależy od tego, z którego łącza zegarek korzysta w danej chwili. Ten jeden fakt wyjaśnia większość mylących doniesień o zegarku, który nadal działa, gdy telefon jest w VPN, albo odwrotnie.

watchOS nie ma klienta VPN, na który można wskazać

watchOS jest dostarczany bez ekranu konfiguracji VPN, więc nie istnieje tunel dla pojedynczego zegarka, który można włączyć lub debugować. Profil zainstalowany na iPhonie dotyczy iPhone’a, a zegarek dziedziczy zachowanie tylko przez ścieżki, które dzielą oba urządzenia. Każde twierdzenie o ustawieniu VPN w zegarku traktuj jako znak, że ktoś opisuje ekran telefonu.

To dlatego zespoły MDM nie mogą wypchnąć ładunku VPN do zegarka tak, jak wysyłają go do telefonu.

Zegarek ma zestaw dróg transportu i nieustannie wybiera między nimi: Bluetooth do pobliskiego telefonu, zgodna sieć Wi-Fi, do której ma dane logowania, albo komórkowa w modelu z planem. Każdy wybór zmienia to, kto niesie pakiety, i właśnie to ma znaczenie dla twojego tunelu.

Bluetooth: telefon niesie pakiety

Gdy telefon jest blisko, zegarek preferuje Bluetooth, bo zużywa znacznie mniej energii niż Wi-Fi czy sieć komórkowa. Dane z aplikacji na zegarku wychodzą tym łączem, docierają do telefonu, a potem podlegają regułom routingu i tunelu telefonu jak każdy inny ruch, który telefon tworzy lub przekazuje. W tym stanie VPN telefonu naprawdę jest na ścieżce. Dlatego aplikacja na zegarku może zawieść przy włączonym tunelu, choć zegarek nigdy nie otworzył własnego połączenia.

To przekazywanie nie jest tym samym, co dołączenie zegarka do tunelu. Tunel należy do stosu sieciowego telefonu, a zegarek nie ma do niego żadnego wglądu: żadnego przydziału adresu, żadnych własnych tras, żadnego stanu tunelu do odczytania. Nie znajdziesz ruchu zegarka jako osobnej sesji wewnątrz tunelu.

Przydatny test to wyłączenie Bluetooth tylko na telefonie i powtórzenie zawodnej czynności. Jeśli zacznie działać, ścieżką było przekazywanie przez telefon.

Wi-Fi i sieć komórkowa: zegarek opuszcza tunel

Jeśli Bluetooth wyjdzie z zasięgu lub zostanie wyłączony, zegarek próbuje zgodnej sieci Wi-Fi, którą już zna, a model komórkowy z usługą może wrócić do operatora. Przewodnik po łączności zegarka Apple opisuje tę kolejność i zauważa, że ikona Wi-Fi oznacza, iż zegarek jest w Wi-Fi, a nie rozmawia z iPhonem. Ruch na tych ścieżkach kończy się w zegarku, nie w telefonie.

Tunel telefonu więc tam nie sięga. Własne połączenia zegarka tworzy watchOS, używając radia zegarka i posiadanych danych logowania, a telefon ich nie przekazuje. To przypadek, w którym ścisły VPN dla całego ruchu na telefonie może działać bez zarzutu, podczas gdy aplikacja na zegarku nadal dociera do internetu.

Odwrotna skarga jest częstsza: aplikacja na zegarku zawodzi, gdy tylko tunel telefonu się podniesie.

Co obejmuje includeAllNetworks, a czego nie

Dokumentacja routingu Apple dla Network Extension wymienia komunikację z urządzeniami towarzyszącymi, w tym ruch do Apple Watch, wśród wyjątków, które wyróżnia, opisując includeAllNetworks. Intencją jest, aby szeroki tunel nie psuł lokalnego połączenia między dwoma urządzeniami. Czytaj to wąsko: chroni kanał urządzenia towarzyszącego, a nie każdą usługę, którą aplikacja na zegarku może wywołać.

Nie certyfikuje też żadnego konkretnego produktu VPN i nic nie mówi o tym, którą drogę transportu zegarek wybrał w chwili awarii. Powiadomienie, które przychodzi późno, nie jest dowodem, że tunel je odrzucił.

Wyjątek nie zamienia też zegarka w swoim Wi-Fi lub sieci komórkowej w klienta wewnątrz tunelu. Jeśli potrzebujesz tej gwarancji, tunel musi kończyć się tam, gdzie ruch zegarka naprawdę przechodzi, a telefon nie jest na tej ścieżce.

Przeczytaj ścieżkę, zanim zmienisz profil

Zanim dotkniesz konfiguracji VPN, zapisz trzy rzeczy: połączenie, które zgłasza zegarek (telefon, Wi-Fi lub komórkowe), czy telefon jest w zasięgu Bluetooth i jedną nazwaną czynność, która zawodzi. Potem powtórz tę czynność bez zmiany ścieżki i z wyłączonym VPN, jeśli polityka na to pozwala. Wynik, który pojawia się tylko przy włączonym tunelu, jest problemem tunelu, a wynik, który pojawia się w obu przypadkach, nie jest.

Trzymaj oba urządzenia w tym samym miejscu w obu próbach, inaczej mierzysz pokój, a nie tunel.

Gdy awaria przetrwa to porównanie, przydatne zgłoszenie do administratora sieci jest wąskie: ta aplikacja, ta czynność, ta droga transportu, tunel włączony i wyłączony. Ogólne twierdzenia o niezgodności zegarka z VPN nie dają się sprawdzić i zwykle ukrywają portal przechwytujący albo zablokowaną usługę za twierdzeniem o radiu.