O teu Apple Watch usa a ligação VPN do iPhone?

O relógio não tem nenhuma configuração de VPN que possas abrir, e isso é a primeira coisa a perceber. Toda a configuração de VPN vive no iPhone emparelhado, num perfil ou dentro do Network Extension de uma app. Se o tráfego do relógio atravessa realmente esse túnel depende da ligação que o relógio está a usar nesse momento. Esse único facto explica a maioria dos relatos confusos sobre um relógio que continua a funcionar enquanto o telefone está numa VPN, ou o contrário.

O watchOS não tem nenhum cliente VPN para apontar

O watchOS chega sem ecrã de configuração de VPN, por isso não há túnel por relógio para ativar ou depurar. Um perfil instalado no iPhone aplica-se ao iPhone, e o relógio só herda comportamento através dos caminhos que os dois dispositivos partilham. Trata qualquer afirmação sobre uma configuração de VPN no relógio como sinal de que a pessoa está a descrever o ecrã do telefone.

É também por isso que as equipas de MDM não conseguem enviar um payload de VPN para um relógio como o enviam para um telefone.

O que o relógio tem é um conjunto de transportes, e escolhe entre eles constantemente: Bluetooth para o telefone próximo, uma rede Wi-Fi compatível para a qual tem credenciais, ou celular num modelo com plano. Cada escolha muda quem leva os pacotes, e é essa a parte que importa para o teu túnel.

Bluetooth: o telefone leva os pacotes

Quando o telefone está perto, o relógio prefere Bluetooth porque consome muito menos energia do que o Wi-Fi ou o celular. Os dados de uma app do relógio saem por essa ligação, chegam ao telefone e depois seguem as regras de encaminhamento e de túnel do telefone como qualquer outro tráfego que o telefone origine ou retransmita. Nesse estado a VPN do telefone está mesmo no caminho. É por isso que uma app do relógio pode falhar com o túnel ativo, embora o relógio nunca tenha aberto uma ligação própria.

Essa retransmissão não é o mesmo que o relógio entrar no túnel. O túnel pertence à pilha de rede do telefone, e o relógio não tem qualquer visão dele: nem atribuição de endereço, nem rotas próprias, nem estado do túnel para ler. Não vais encontrar o tráfego do relógio como uma sessão separada dentro do túnel.

Um teste útil é desativar o Bluetooth só no telefone e repetir a ação que falha. Se começar a funcionar, o caminho era a retransmissão do telefone.

Wi-Fi e celular: o relógio sai do túnel

Se o Bluetooth sair de alcance ou for desativado, o relógio tenta uma rede Wi-Fi compatível que já conhece, e um modelo celular com serviço pode recuar para a operadora. O guia de conectividade do relógio da Apple descreve essa ordem e nota que o ícone de Wi-Fi significa que o relógio está em Wi-Fi e não a falar com o iPhone. O tráfego nesses caminhos termina no relógio, não no telefone.

Assim, o túnel do telefone não chega até lá. As ligações próprias do relógio são feitas pelo watchOS, com os rádios do relógio e as credenciais que tem, e o telefone não as retransmite. Este é o caso em que uma VPN estrita de todo o tráfego no telefone pode funcionar perfeitamente enquanto uma app do relógio ainda chega à internet.

A queixa inversa é mais comum: uma app do relógio falha assim que o túnel do telefone sobe.

O que o includeAllNetworks cobre e o que não cobre

A documentação de encaminhamento da Apple para o Network Extension inclui a comunicação com dispositivos companheiros, também o tráfego para um Apple Watch, entre as exceções que estabelece ao descrever o includeAllNetworks. A intenção é que um túnel amplo não quebre a ligação local entre os dois dispositivos. Lê isto em sentido estrito: protege o canal do companheiro, não cada serviço que uma app do relógio possa chamar.

Também não certifica nenhum produto de VPN em concreto, e não diz nada sobre que transporte o relógio escolheu no momento da falha. Uma notificação que chega tarde não é prova de que o túnel a tenha descartado.

Nem a exceção transforma um relógio no seu próprio Wi-Fi ou celular num cliente dentro do túnel. Se precisas dessa garantia, o túnel tem de terminar num ponto por onde o tráfego do relógio passe mesmo, e o telefone não está nesse caminho.

Lê o caminho antes de mudar o perfil

Antes de tocar na configuração da VPN, anota três coisas: a ligação que o relógio reporta (telefone, Wi-Fi ou celular), se o telefone está dentro do alcance do Bluetooth e uma ação concreta que falha. Depois repete essa ação com o caminho inalterado e a VPN desligada, se a política o permitir. Um resultado que só aparece com o túnel ativo é um problema de túnel, e um resultado que aparece em ambos os casos não é.

Mantém os dois dispositivos no mesmo sítio nas duas tentativas, ou vais estar a medir a sala em vez do túnel.

Quando a falha sobrevive a essa comparação, o relatório útil a um administrador de rede é estreito: esta app, esta ação, este transporte, túnel ligado e desligado. As afirmações genéricas sobre incompatibilidade entre relógio e VPN não podem ser verificadas, e costumam esconder um portal cativo ou um serviço bloqueado atrás de uma afirmação sobre o rádio.