VPN на Apple TV: выбор по приложениям или правило устройства на роутере

Оба запроса начинаются с одной фразы: поставить Apple TV за VPN. Один человек имеет в виду всё устройство, другой — одно приложение для стриминга, работающее на нём. Это разные охваты, и на tvOS сегодня обычно доступен только один из них. Разница не в протоколе или провайдере, а в том, кто видит, какое приложение создало соединение. Роутер видит пакеты и адреса, а приложение на телевизоре видит идентичность процесса только тогда, когда его собственный клиент реализует этот выбор.

Разница в том, кто может видеть идентичность приложения

Роутер пересылает по адресу источника, адресу назначения и порту. Он никогда не получает имя процесса tvOS, открывшего сокет, поэтому у него нет способа выразить «это приложение и ничего больше».

VPN-приложение на телевизоре находится внутри границы процесса и в принципе может применять правила по приложениям. Предлагает ли это поставленный клиент — вопрос продукта, а не протокола.

Что VPN-приложение на tvOS может выбрать, а что нет

Apple добавила поддержку сторонних VPN-приложений в tvOS 17, как фиксирует её анонс платформы. Это исправило прежнее допущение, будто роутер обязан быть конечной точкой. Но оно не обещало, что каждый клиент предлагает список включения или исключения, и именно в этом пробеле большинство таких сравнений ошибается. Читайте страницу провайдера для tvOS, а не его страницу для Windows или Android.

Раздельное туннелирование, описанное для настольной версии, не является доказательством для версии для телевизора. Провайдеры поставляют разные кодовые базы для каждой платформы, и клиент для телевизора часто самый маленький из них.

Документация Apple об управляемом VPN по приложениям описывает модель развёртывания для поднадзорных устройств, а не пользовательский переключатель. Проверьте список поддерживаемых платформ, прежде чем переносить инструкции, написанные для управляемого iPhone или Mac.

Что на самом деле выбирает правило роутера

Когда роутер является конечной точкой, правило устройства выбирает адрес или сегмент Apple TV. Это выбор всего устройства в рамках политики, и он не становится «только одним приложением» из-за того, что вы тестировали с одним приложением. Если второе приложение на том же телевизоре использует туннель, правило работает именно так, как задумано.

Обычно это правильный ответ, когда цель — «этот телевизор, целиком». Оно также переживает обновления приложений, новые стриминговые сервисы и изменения профилей, чего большинство списков по приложениям сказать не могут.

Правила доменов и назначений не являются идентичностями приложений

Правило назначения выбирает адреса или поддерживаемые наборы доменов. Одно приложение обращается к точкам входа, медиа, телеметрии и рекламы, и несколько приложений могут делить одну инфраструктуру доставки. Поэтому правило домена может пропустить часть задуманного приложения и захватить трафик того, которое вы не имели в виду.

Пересылка DNS и независимые резолверы ещё больше всё усложняют. Если телевизор разрешает имена иным путём, чем предполагает правило, набор назначений неверен, даже когда само правило написано правильно.

Проверка публичного адреса с ноутбука ничего не говорит о пути телевизора. Проверяйте с телевизора или из приложения, которое вам действительно важно.

Выбор между двумя вариантами

Выбирайте правило роутера, когда требование касается всего устройства, когда вы контролируете сеть и когда можете принять, что неудачный туннель повлияет на всё на этом телевизоре. Выбирайте приложение tvOS, когда собственный клиент провайдера документирует выбор по приложениям для tvOS и вы можете подтвердить это на устройстве. Между ними честный ответ таков: у вас охват всего устройства, и это стоит записать, прежде чем кто-то на это положится.

В любом случае сохраняйте правила доступа сервиса неизменными. Возможность маршрутизации не расширяет региональное право аккаунта, а решение об охвате не меняет того, что провайдер вам предоставит.

Два вопроса решают большинство таких обращений: кто должен иметь возможность назвать приложение и что должно произойти, когда туннель упадёт? Ответьте на оба, прежде чем покупать оборудование или подписку.