Hub doméstico do Apple TV: adicionar uma VPN sem quebrar a casa

Na maioria das casas, o Apple TV acaba por fazer dois trabalhos ao mesmo tempo: ponto final de streaming e, muito frequentemente, o hub doméstico ativo que responde a pedidos remotos dos acessórios e executa automatizações. Colocar uma VPN à frente dessa caixa pode ser perfeitamente correto, mas um stream de vídeo bem-sucedido não prova quase nada sobre o segundo trabalho. O trabalho é uma linha de base do papel de hub, uma verificação de como o túnel chega ao tvOS e dois testes de aceitação que ficam separados. Esta é a ordem que uso.

Passo 1: Anote o hub ativo antes de tocar na rede

Abra a aplicação Home num iPhone, iPad ou Mac, vá a Home Settings e depois a Home Hubs & Bridges. O dispositivo que está a fazer o trabalho agora aparece no topo, e o guia de hubs domésticos da Apple cobre os requisitos e a definição Automatic Selection que lhe permite fixar um hub preferido.

Anote esse nome antes de mudar alguma coisa.

Se for um HomePod a servir a casa, a sua alteração no Apple TV pode ser irrelevante e um teste de controlo remoto aprovado depois não prova nada sobre o túnel. Se o Apple TV for o hub, os pré-requisitos importam tanto como a VPN: ligado, associado à rede doméstica, com sessão iniciada na Apple Account que a casa usa, com iCloud Keychain e autenticação de dois fatores ativados nessa conta. Uma configuração a meio produz o mesmo sintoma que um encaminhamento errado, e é muito mais barato descartá-la primeiro.

Passo 2: Confirme como uma VPN chega ao tvOS

O tvOS não tem painel de VPN nas Settings. Na prática, um túnel chega ao Apple TV de uma de duas formas: termina no router e cobre todos os dispositivos da casa, ou chega como perfil de configuração enviado por uma ferramenta de gestão, o que normalmente significa um dispositivo supervisionado. Se nenhuma se aplicar, o Apple TV não é o sítio onde o túnel vai viver, e o resto deste plano pertence ao router.

As duas formas comportam-se de maneira diferente quando algo falha. Um túnel no router altera a conectividade de todos os dispositivos ao mesmo tempo, por isso um único acessório que falha é difícil de atribuir. Um perfil é um objeto removível com data de instalação visível, o que torna o retrocesso numa operação de dois minutos em vez de um restauro do router. Escolha com consciência e, se seguir o caminho do router, teste o hub segundo um horário que lhe permita reverter sem acordar a casa.

Passo 3: Faça o controlo local e o acesso remoto como verificações separadas

O teste local acontece em casa, por Wi-Fi, usando a aplicação Home para acionar um acessório de que depende realmente. Abra uma porta de garagem, altere um ponto de regulação de um termostato, acione uma automatização. A aplicação Home carregar os seus mosaicos não é o teste; a resposta do acessório é que é.

Depois faça o teste remoto, e mantenha-o aborrecido. Tire um iPhone do Wi-Fi, confirme que está em rede móvel e envie um único comando de baixo impacto. Não teste com uma fechadura, um alarme ou algo cujo erro fosse incómodo.

Repita os dois testes depois de ativar a VPN e anote novamente o hub ativo nesse momento. Deixe o telefone em paz durante a comparação, porque alterar definições de VPN em dois dispositivos ao mesmo tempo transforma um resultado limpo numa discussão sobre atribuição.

Passo 4: Saiba qual dependência falha primeiro

Três coisas avariam por uma ordem previsível quando um túnel interfere com o Home. Primeiro cai a alcançabilidade do iCloud e do push, o que se manifesta como acesso remoto a falhar enquanto em casa tudo funciona. Depois vai o papel de router de fronteira Thread, e isso é específico do Apple TV 4K de terceira geração e do HomePod mini, pelo que um acessório Thread que desaparece aponta para lá e não para o Wi-Fi. A descoberta local é o terceiro: o HomeKit assenta em Bonjour e multicast na LAN, e um túnel que engole o multicast ou impõe o seu próprio DNS quebra a descoberta enquanto o tráfego normal de internet fica saudável.

Essa ordem diz-lhe onde olhar. Falhas apenas remotas apontam para push e iCloud; falhas de descoberta local apontam para o caminho da LAN; acessórios Thread que desaparecem apontam para o router de fronteira.

Nada disto se resolve abrindo portas de entrada no router, desativando a autenticação de dois fatores ou acrescentando exceções adivinhadas para os serviços da Apple. Esses movimentos alargam a superfície de ataque e raramente mudam o sintoma.

Reverter antes de precisar

Guarde a configuração anterior numa forma que possa restaurar num só passo: as definições antigas do router exportadas, ou o perfil ainda disponível para remoção. Saiba o caminho que retira o perfil do dispositivo antes de o instalar, e depois confirme que Home Hubs & Bridges mostra o mesmo hub ativo que no passo 1.

Se o papel de hub e a sua política de VPN realmente não puderem coexistir, acrescente ou mantenha um segundo hub em vez de aceitar um controlo intermitente. Uma automatização que dispara quase sempre é pior do que uma que nunca dispara, porque ninguém confia nela e ninguém a arranja.