Apple TV VPN: val per app eller en enhetsregel i routern

Båda förfrågningarna börjar med samma mening: sätt Apple TV:n bakom VPN:en. Den ena menar hela boxen, den andra menar en enda streamingapp som körs på den. Det är olika omfång, och på tvOS är vanligtvis bara ett av dem tillgängligt i dag. Skillnaden handlar inte om protokollet eller leverantören, utan om vem som kan se vilken applikation som skapade en anslutning. En router ser paket och adresser, medan en app på tv:n ser processidentitet bara när dess egen klient implementerar det valet.

Skillnaden är vem som kan se appens identitet

En router vidarebefordrar efter källadress, måladdress och port. Den tar aldrig emot namnet på den tvOS-process som öppnade en socket, så den kan inte uttrycka "den här appen och inget annat".

En VPN-app som körs på tv:n ligger innanför processgränsen och kan i princip tillämpa regler per app. Om den levererade klienten erbjuder det är en produktfråga och inte en protokollfråga.

Vad en tvOS VPN-app kan och inte kan välja

Apple lade till stöd för tredjeparts VPN-appar i tvOS 17, vilket plattformsmeddelandet noterar. Det rättade den äldre föreställningen att en router måste vara slutpunkten. Det lovade dock inte att varje klient erbjuder en lista för inkludering eller exkludering, och det är i den luckan de flesta av dessa jämförelser går fel. Läs leverantörens tvOS-sida, inte dess Windows- eller Android-sida.

Split tunnelling som beskrivs för en skrivbordsversion är inte bevis för tv-versionen. Leverantörer levererar olika kodbaser per plattform, och tv-klienten är ofta den minsta av dem.

Apples dokumentation om hanterad VPN per app beskriver en distributionsmodell för övervakade enheter, inte en konsumentbrytare. Kontrollera listan över plattformar som stöds innan du importerar instruktioner skrivna för en hanterad iPhone eller Mac.

Vad en routerregel faktiskt väljer

Med routern som slutpunkt väljer en enhetsregel Apple TV:ns adress eller segment. Det är val av hela enheten inom regelverkets omfång, och det blir inte "bara en app" för att du testade med en app. Om en andra app på samma tv använder tunneln fungerar regeln precis som den är tänkt.

Det är oftast rätt svar när målet är "den här tv:n, allt". Det överlever också appuppdateringar, nya streamingtjänster och profiländringar, vilket är mer än de flesta listor per app kan säga.

Domän- och målregler är inte appidentiteter

En målregel väljer adresser eller underhållna domänuppsättningar. En app kontaktar slutpunkter för inloggning, media, telemetri och annonsering, och flera appar kan dela samma leveransinfrastruktur. En domänregel kan därför missa en del av den app du menade och fånga trafik från en du inte menade.

DNS-vidarebefordran och oberoende resolvers gör det ännu mer komplicerat. Om tv:n löser namn via en annan väg än regeln förutsätter är måluppsättningen fel även när regeln själv är korrekt skriven.

En kontroll av offentlig adress från din laptop säger ingenting om tv:ns väg. Testa från tv:n, eller från den app du verkligen bryr dig om.

Att välja mellan de två

Välj routerregeln när kravet gäller hela enheten, när du kontrollerar nätverket och när du kan acceptera att en misslyckad tunnel påverkar allt på den tv:n. Välj tvOS-appen när leverantörens egen klient dokumenterar val per app för tvOS och du kan bekräfta det på enheten. Däremellan är det ärliga svaret att du har omfång för hela enheten och att det bör skrivas ned innan någon förlitar sig på det.

Håll hur som helst tjänstens åtkomstregler intakta. Routingförmåga utökar inte ett kontos regionala rättighet, och ett beslut om omfång ändrar inte vad leverantören kommer att leverera till dig.

Två frågor avgör de flesta av dessa ärenden: vem måste kunna namnge appen, och vad ska hända när tunneln faller? Svara på båda innan du köper hårdvara eller en prenumeration.