Использует ли Apple Watch VPN-подключение iPhone?

У часов нет настройки VPN, которую можно открыть, и это первое, что нужно понять. Вся конфигурация VPN находится на сопряжённом iPhone — в профиле или внутри Network Extension приложения. Пойдёт ли трафик часов через этот туннель, зависит от того, какой канал часы используют в этот момент. Этот единственный факт объясняет большинство запутанных сообщений о часах, которые продолжают работать, пока телефон в VPN, или наоборот.

В watchOS нет VPN-клиента, на который можно показать

watchOS поставляется без экрана настройки VPN, поэтому отдельного туннеля для каждых часов нет — ни включить, ни отладить. Профиль, установленный на iPhone, действует для iPhone, а часы наследуют поведение только через те пути, которые делят два устройства. Любое утверждение о настройке VPN на часах считайте признаком того, что человек описывает экран телефона.

Поэтому команды MDM не могут отправить профиль VPN на часы так, как отправляют его на телефон.

У часов есть набор транспортов, и они постоянно выбирают между ними: Bluetooth до близкого телефона, совместимая сеть Wi-Fi, для которой есть учётные данные, или сотовая связь на модели с тарифом. Каждый выбор меняет, кто несёт пакеты, и именно это важно для вашего туннеля.

Bluetooth: пакеты несёт телефон

Когда телефон рядом, часы предпочитают Bluetooth, потому что он тратит гораздо меньше энергии, чем Wi-Fi или сотовая связь. Данные приложения на часах выходят по этому каналу, доходят до телефона и затем подчиняются правилам маршрутизации и туннеля телефона, как любой другой трафик, который телефон создаёт или пересылает. В этом состоянии VPN телефона действительно находится на пути. Поэтому приложение на часах может не работать при поднятом туннеле, хотя часы ни разу не открывали собственного соединения.

Эта пересылка — не то же самое, что вход часов в туннель. Туннель принадлежит сетевому стеку телефона, и часы его не видят: ни выдачи адреса, ни собственных маршрутов, ни состояния туннеля для чтения. Вы не найдёте трафик часов отдельной сессией внутри туннеля.

Полезный тест — отключить Bluetooth только на телефоне и повторить неудачное действие. Если оно заработало, путём была пересылка через телефон.

Wi-Fi и сотовая связь: часы выходят из туннеля

Если Bluetooth выходит из зоны действия или отключён, часы пробуют совместимую сеть Wi-Fi, которую уже знают, а сотовая модель с обслуживанием может перейти к оператору. Руководство Apple по подключению часов описывает этот порядок и отмечает, что значок Wi-Fi означает, что часы работают через Wi-Fi, а не говорят с iPhone. Трафик на этих путях заканчивается на часах, а не на телефоне.

Значит, туннель телефона туда не простирается. Собственные соединения часов устанавливает watchOS, используя радиочасти часов и имеющиеся учётные данные, и телефон их не пересылает. Это случай, когда строгий VPN для всего трафика на телефоне может работать безупречно, а приложение на часах всё равно выходит в интернет.

Обратная жалоба встречается чаще: приложение на часах перестаёт работать, как только поднимается туннель телефона.

Что покрывает includeAllNetworks, а что нет

Документация Apple по маршрутизации для Network Extension перечисляет связь с сопряжёнными устройствами, включая трафик к Apple Watch, среди исключений, которые она выделяет, описывая includeAllNetworks. Смысл в том, чтобы широкий туннель не ломал локальный канал между двумя устройствами. Читайте это узко: он защищает канал сопряжённого устройства, а не каждую службу, к которой может обратиться приложение на часах.

Он также не сертифицирует какой-либо конкретный продукт VPN и ничего не говорит о том, какой транспорт часы выбрали в момент сбоя. Уведомление, пришедшее поздно, не доказывает, что туннель его отбросил.

Исключение также не превращает часы на собственном Wi-Fi или сотовой связи в клиента внутри туннеля. Если вам нужна такая гарантия, туннель должен заканчиваться там, где трафик часов действительно проходит, а телефон на этом пути не находится.

Прочитайте путь, прежде чем менять профиль

Прежде чем трогать конфигурацию VPN, зафиксируйте три вещи: соединение, которое сообщают часы (телефон, Wi-Fi или сотовая связь), находится ли телефон в зоне Bluetooth и одно названное действие, которое не работает. Затем повторите это действие при неизменном пути и выключенном VPN, если политика позволяет. Результат, который появляется только при поднятом туннеле, — это проблема туннеля, а результат, который появляется в обоих случаях, — нет.

Держите оба устройства в одном и том же месте в обоих прогонах, иначе вы измеряете комнату, а не туннель.

Когда сбой переживает это сравнение, полезный отчёт сетевому администратору будет узким: это приложение, это действие, этот транспорт, туннель включён и выключен. Общие утверждения о несовместимости часов и VPN проверить нельзя, и они обычно скрывают портал авторизации или заблокированную службу за утверждением о радио.