Как поместить Apple TV за VPN без роутера

Если вы читали, что Apple TV может получить VPN только от роутера, этот совет устарел. С tvOS 17 Apple разрешает сторонние VPN-приложения на самом устройстве, поэтому телевизор может держать туннель так же, как телефон. Не изменилось то, что VPN, работающий на вашем Mac или телефоне, защищает только это устройство, как бы близко оно ни стояло к телевизору. Сначала выберите размещение, приложение на телевизоре или шлюз перед ним, а остальная настройка следует из этого выбора.

Совет только с роутером когда-то был верен

Более старые руководства тогда не ошибались. В tvOS не было сторонних VPN-приложений, поэтому единственным способом провести трафик телевизора через туннель было поставить перед ним шлюз или поделиться подключением Mac. Выпуск tvOS 17 изменил первую половину этого, потому что VPN-приложения стало можно устанавливать на Apple TV.

Доступность — это не то же самое, что повсеместная поддержка. Приложение должно быть в списке для вашего региона и вашего устройства, минимальная версия tvOS должна соблюдаться, а протокол, на котором оно говорит, должен соответствовать шлюзу, который у вас действительно есть.

Что приложение tvOS может и чего не может

VPN-приложение на Apple TV ведёт себя как то же приложение на телефоне. Оно устанавливает профиль, открывает туннель и направляет трафик устройства через него; вы входите в приложении или через поток кода устройства, выбираете местоположение и подключаетесь. Здесь нет терминала и редактора конфигурации, поэтому поставщику, который предлагает только настольный клиент или отредактированный вручную файл WireGuard, нечего здесь устанавливать.

Два ограничения застают людей врасплох. Приложение направляет то, что ему разрешает tvOS, поэтому стриминговый сервис, который закрепляет сертификаты или использует собственный резолвер, может по-прежнему возражать даже после того, как ваш адрес выхода изменился. А приложение, собранное для более нового выпуска tvOS, чем у вашего устройства, вообще не установится. Проверьте оба пункта, прежде чем покупать подписку ради этой цели.

Домашние учётные записи тоже имеют значение. VPN-приложение, в которое вошли с одним Apple ID, — это туннель на уровне устройства, а не настройка для каждого зрителя, поэтому все, кто пользуется этим телевизором, делят выбранное вами место выхода.

Когда шлюз всё ещё остаётся правильным ответом

Шлюз побеждает, когда вы хотите одно правило для нескольких устройств, когда у поставщика нет приложения tvOS или когда туннель должен пережить сброс или замену телевизора. Роутер, на котором работает VPN-клиент, или небольшая коробка в роли шлюза по умолчанию для телевизора перемещает трафик, ничего не устанавливая на телевизоре.

Такая схема требует двух вещей, которые люди пропускают: стабильного адреса для телевизора и определённого поведения при отказе. Дайте телевизору резервирование DHCP, чтобы правило маршрутизации продолжало совпадать, а затем решите, вернётся ли он к обычному подключению или потеряет интернет, когда туннель упадёт. Включите DNS в это решение, потому что шлюз, который пересылает трафик, но при этом сливает запросы резолверу поставщика, работу не закончил.

Само правило обычно строится по адресу источника или по сегменту сети. Поместите телевизор в его собственный VLAN, если роутер это поддерживает, пропустите этот сегмент через туннель, а остальной дом оставьте на обычном пути. Записанное так правило остаётся читаемым и через шесть месяцев.

VPN на вашем Mac — это не VPN для телевизора

Это миф, который живёт дольше всех, потому что настройка выглядит так, будто должна работать. Общий доступ к интернету в macOS может дать телевизору адрес и пересылать его трафик, но пересылает через то вышестоящее подключение, которое Mac использует в этот момент. VPN-клиент на Mac не становится этим вышестоящим подключением автоматически, а некоторые клиенты намеренно исключают пересылаемый трафик, чтобы никогда не гонять пакеты через себя. В зависимости от выпуска macOS панель общего доступа может указывать вашу службу VPN или нет, и даже когда указывает, клиент, исключающий пересылаемый трафик, телевизор не понесёт.

Если вы хотите, чтобы Mac работал как шлюз, используйте клиент, который документирует режим шлюза для других устройств, и проверяйте с телевизора, а не с Mac.

Проверяйте с телевизора, а не с телефона

Единственное доказательство, которое имеет значение, — это то, что сообщает телевизор. Откройте браузер или приложение сетевой информации на телевизоре и прочитайте публичный адрес, который он видит, или посмотрите в журнале роутера адрес телевизора, выходящий через туннель. Телефон в той же сети Wi-Fi ничего не доказывает о пути телевизора.

Затем проверьте путь отказа. Отключите туннель и подтвердите, что телевизор ведёт себя так, как вы решили раньше; если он тихо возвращается к обычному подключению, у вас утечка, а не резерв.

Пройдите этот список один раз, и настройка останется стабильной: подтвердите модель и версию tvOS, установите приложение поставщика из App Store или настройте шлюз, добавьте резервирование DHCP, если правило зависит от адреса, решите насчёт DNS и отключённого состояния и проверьте с самого телевизора. Если приложение устанавливается, но поток всё равно срывается, причина обычно в правилах учётной записи самого сервиса, а не в туннеле.