Como colocar um Apple TV atrás de uma VPN sem roteador

Se você leu que um Apple TV só consegue obter VPN a partir de um roteador, esse conselho está desatualizado. Desde o tvOS 17, a Apple permite apps de VPN de terceiros no próprio aparelho, então a televisão pode manter o túnel como um telefone faz. O que não mudou é que uma VPN em execução no seu Mac ou telefone cobre apenas aquele dispositivo, por mais perto que esteja da televisão. Escolha primeiro a posição, app na televisão ou gateway à frente dela, e o restante da configuração decorre dessa escolha.

O conselho do roteador sozinho já foi verdadeiro

Guias mais antigos não estavam errados na época. O tvOS não tinha apps de VPN de terceiros, então a única forma de levar o tráfego da televisão por um túnel era colocar um gateway à frente dela ou compartilhar a conexão de um Mac. A versão tvOS 17 mudou a primeira metade disso, porque os apps de VPN se tornaram instaláveis no Apple TV.

Disponibilidade não é o mesmo que suporte universal. O app precisa estar listado para a sua região e o seu aparelho, a versão mínima do tvOS precisa ser atendida, e o protocolo que ele fala precisa corresponder ao gateway que você realmente tem.

O que o app de tvOS pode e não pode fazer

Um app de VPN no Apple TV se comporta como o mesmo app em um telefone. Ele instala um perfil, abre um túnel e encaminha o tráfego do dispositivo por ele; você entra no app ou com um fluxo de código de dispositivo, escolhe um local e conecta. Não há terminal nem editor de configuração, então um provedor que só oferece um cliente de desktop ou um arquivo WireGuard editado à mão não tem o que instalar aqui.

Dois limites surpreendem as pessoas. O app encaminha o que o tvOS permite, então um serviço de streaming que fixa certificados ou usa o próprio resolvedor pode continuar reclamando mesmo depois que seu endereço de saída mudou. E um app criado para uma versão do tvOS mais nova que a do seu aparelho não será instalado de jeito nenhum. Verifique os dois antes de comprar uma assinatura com esse propósito.

As contas da casa também importam. Um app de VPN conectado com um único Apple ID é um túnel em nível de dispositivo, não um ajuste por espectador, então todos que usam aquela televisão compartilham o local de saída que você escolheu.

Quando um gateway continua sendo a resposta certa

Um gateway ganha quando você quer uma única regra para vários dispositivos, quando o provedor não tem app de tvOS ou quando o túnel precisa sobreviver a uma redefinição ou troca da televisão. Um roteador executando o cliente de VPN, ou uma caixa pequena atuando como gateway padrão da televisão, move o tráfego sem nada instalado na televisão.

Essa disposição exige duas coisas que as pessoas pulam: um endereço estável para a televisão e um comportamento de falha definido. Dê à televisão uma reserva DHCP para que a regra de roteamento continue batendo, e depois decida se ela volta à conexão comum ou perde a internet quando o túnel cai. Inclua o DNS nessa decisão, porque um gateway que repassa tráfego enquanto vaza consultas para o resolvedor do provedor não terminou o trabalho.

A regra em si costuma ser por endereço de origem ou por segmento de rede. Coloque a televisão na própria VLAN se o roteador suportar, envie esse segmento pelo túnel e deixe o resto da casa no caminho normal. Escrita assim, a regra também continua legível seis meses depois.

Uma VPN no seu Mac não é uma VPN para a televisão

Este é o mito que dura mais, porque a configuração parece que deveria funcionar. O compartilhamento de internet do macOS pode dar um endereço à televisão e repassar o tráfego dela, mas repassa pela conexão superior que o Mac estiver usando naquele momento. Um cliente de VPN rodando no Mac não se torna automaticamente essa conexão superior, e alguns clientes excluem de propósito o tráfego repassado para nunca fazer pacotes circularem por eles mesmos. Dependendo da versão do macOS, o painel de compartilhamento pode listar ou não o seu serviço de VPN, e mesmo quando lista, um cliente que exclui o tráfego repassado não levará a televisão.

Se você quer que o Mac atue como gateway, use um cliente que documente o modo gateway para outros dispositivos, e verifique a partir da televisão em vez do Mac.

Teste a partir da televisão, não do seu telefone

A única evidência que conta é o que a televisão relata. Abra um navegador ou um app de informações de rede na televisão e leia o endereço público que ela vê, ou confira no log do roteador o endereço da televisão saindo pelo túnel. Um telefone na mesma Wi-Fi não prova nada sobre o caminho da televisão.

Depois teste o caminho de falha. Desconecte o túnel e confirme que a televisão se comporta como você decidiu antes; se ela volta em silêncio para a conexão comum, você tem um vazamento e não um plano B.

Percorra esta lista uma vez e a configuração fica estável: confirme o modelo e a versão do tvOS, instale o app do provedor pela App Store ou configure o gateway, adicione uma reserva DHCP se uma regra depende do endereço, decida o DNS e o estado desconectado, e verifique a partir da própria televisão. Se o app instala mas a transmissão ainda falha, a causa costuma ser as regras de conta do próprio serviço e não o túnel.