VPN no Apple TV: seleção por app ou regra de dispositivo no roteador

Ambos os pedidos começam com a mesma frase: colocar a Apple TV atrás da VPN. Uma pessoa quer dizer a caixa inteira, a outra uma única app de streaming que corre nela. São âmbitos diferentes, e no tvOS normalmente só um dos dois está disponível hoje. A distinção não está no protocolo nem no fornecedor, mas em quem consegue ver que aplicação criou uma ligação. Um roteador vê pacotes e endereços, enquanto uma app na televisão só vê a identidade do processo quando o seu próprio cliente implementa essa seleção.

A diferença é quem consegue ver a identidade da app

Um roteador encaminha por endereço de origem, endereço de destino e porta. Nunca recebe o nome do processo tvOS que abriu um socket, por isso não tem forma de exprimir «esta app e nada mais».

Uma app de VPN a correr na televisão está dentro do limite do processo e pode, em princípio, aplicar regras por app. Se o cliente distribuído o expõe é uma questão de produto e não de protocolo.

O que uma app de VPN tvOS pode e não pode selecionar

A Apple adicionou suporte para apps de VPN de terceiros no tvOS 17, como registra o seu anúncio de plataforma. Isso corrigiu a suposição antiga de que um roteador tinha de ser o ponto final. Mas não prometeu que todos os clientes oferecem uma lista de inclusão ou exclusão, e é nessa lacuna que a maioria destas comparações falha. Leia a página tvOS do fornecedor, não a página de Windows ou Android.

O split tunneling descrito para uma versão de computador não é prova para a versão de televisão. Os fornecedores publicam bases de código diferentes por plataforma, e o cliente de televisão é muitas vezes o mais pequeno de todos.

A documentação da Apple sobre VPN por app gerida descreve um modelo de implementação para dispositivos supervisionados, não um interruptor de consumidor. Verifique a lista de plataformas suportadas antes de importar instruções escritas para um iPhone ou Mac gerido.

O que uma regra de roteador seleciona de facto

Com o roteador como ponto final, uma regra de dispositivo seleciona o endereço ou o segmento da Apple TV. É uma seleção de todo o dispositivo dentro do âmbito da política, e não passa a ser «só uma app» por ter testado com uma app. Se uma segunda app na mesma televisão usar o túnel, a regra está a funcionar exatamente como foi concebida.

Normalmente é a resposta certa quando o objetivo é «esta televisão, toda». Também sobrevive a atualizações de apps, novos serviços de streaming e mudanças de perfil, o que a maioria das listas por app não pode afirmar.

As regras de domínio e de destino não são identidades de apps

Uma regra de destino seleciona endereços ou conjuntos de domínios mantidos. Uma app contacta pontos finais de início de sessão, multimédia, telemetria e publicidade, e várias apps podem partilhar a mesma infraestrutura de entrega. Por isso uma regra de domínio pode falhar parte da app que pretendia e capturar tráfego de outra que não pretendia.

O encaminhamento de DNS e os resolvedores independentes complicam ainda mais. Se a televisão resolve nomes por um caminho diferente do que a regra pressupõe, o conjunto de destinos está errado mesmo quando a regra está bem escrita.

Uma verificação de endereço público a partir do seu portátil não diz nada sobre o caminho da televisão. Teste a partir da televisão, ou da app que realmente lhe importa.

Escolher entre as duas

Escolha a regra de roteador quando o requisito for para todo o dispositivo, quando controlar a rede e quando puder aceitar que um túnel falhado afete tudo naquela televisão. Escolha a app tvOS quando o próprio cliente do fornecedor documentar a seleção por app para tvOS e puder confirmá-la no dispositivo. Entre as duas, a resposta honesta é que tem um âmbito de dispositivo completo e deve escrevê-lo antes de alguém depender disso.

De qualquer forma, mantenha intactas as regras de acesso do serviço. A capacidade de encaminhamento não amplia o direito regional de uma conta, e uma decisão de âmbito não altera o que o fornecedor lhe servirá.

Duas perguntas resolvem a maioria destes pedidos: quem precisa de poder nomear a app, e o que deve acontecer quando o túnel cair. Responda às duas antes de comprar hardware ou uma subscrição.