Använder din Apple Watch iPhonens VPN-anslutning?

Klockan har ingen VPN-inställning som du kan öppna, och det är det första du behöver förstå. Hela VPN-konfigurationen ligger på den parkopplade iPhonen, i en profil eller inne i en apps Network Extension. Om klockans trafik verkligen går genom den tunneln beror på vilken länk klockan använder i det ögonblicket. Detta enda faktum förklarar de flesta förvirrande rapporterna om en klocka som fortsätter att fungera medan telefonen är på en VPN, eller tvärtom.

watchOS har ingen VPN-klient att peka på

watchOS levereras utan skärm för VPN-konfiguration, så det finns ingen tunnel per klocka att slå på eller felsöka. En profil som installeras på iPhonen gäller för iPhonen, och klockan ärver beteende bara genom de vägar de två enheterna delar. Behandla varje påstående om en VPN-inställning på klockan som ett tecken på att personen beskriver telefonens skärm.

Det är också därför MDM-team inte kan skicka en VPN-nyttolast till en klocka som de skickar en till en telefon.

Det klockan har är en uppsättning transportvägar, och den väljer ständigt mellan dem: Bluetooth till den närliggande telefonen, ett kompatibelt Wi-Fi-nätverk som den har inloggningsuppgifter för, eller mobilnät på en modell med abonnemang. Varje val ändrar vem som bär paketen, och det är den delen som spelar roll för din tunnel.

Bluetooth: telefonen bär paketen

När telefonen är nära föredrar klockan Bluetooth eftersom det drar mycket mindre ström än Wi-Fi eller mobilnät. Data från en app på klockan lämnar enheten via den länken, når telefonen och följer sedan telefonens routing- och tunnelregler som all annan trafik telefonen skapar eller vidarebefordrar. I det läget ligger telefonens VPN verkligen i vägen. Det är därför en app på klockan kan misslyckas med tunneln uppe, trots att klockan aldrig öppnade en egen anslutning.

Den vidarebefordran är inte samma sak som att klockan går in i tunneln. Tunneln tillhör telefonens nätverksstack, och klockan har ingen insyn i den: ingen adresstilldelning, inga egna rutter, ingen tunnelstatus att läsa. Du hittar inte klockans trafik som en separat session inne i tunneln.

Ett användbart test är att stänga av Bluetooth bara på telefonen och upprepa den misslyckade åtgärden. Om den börjar fungera var vägen vidarebefordran via telefonen.

Wi-Fi och mobilnät: klockan lämnar tunneln

Om Bluetooth går ur räckvidd eller stängs av försöker klockan med ett kompatibelt Wi-Fi-nätverk som den redan känner till, och en mobil modell med täckning kan falla tillbaka på operatören. Apples vägledning för klockans anslutning beskriver den ordningen och noterar att Wi-Fi-ikonen betyder att klockan är på Wi-Fi och inte talar med iPhonen. Trafik på dessa vägar slutar vid klockan, inte vid telefonen.

Telefonens tunnel sträcker sig alltså inte dit. Klockans egna anslutningar skapas av watchOS, med klockans radio och de inloggningsuppgifter den har, och telefonen vidarebefordrar dem inte. Det här är fallet där en strikt VPN för all trafik på telefonen kan fungera perfekt medan en app på klockan ändå når internet.

Det omvända klagomålet är vanligare: en app på klockan misslyckas så snart telefonens tunnel kommer upp.

Vad includeAllNetworks täcker och inte täcker

Apples routingdokumentation för Network Extension listar kommunikation med följeslagarenheter, inklusive trafik till en Apple Watch, bland de undantag den pekar ut när den beskriver includeAllNetworks. Avsikten är att en bred tunnel inte ska bryta den lokala länken mellan de två enheterna. Läs det snävt: det skyddar följeslagarkanalen, inte varje tjänst en app på klockan kan anropa.

Den certifierar inte heller någon särskild VPN-produkt och säger ingenting om vilken transportväg klockan valde i felets ögonblick. Ett meddelande som kommer sent är inte bevis för att tunneln tappade det.

Undantaget gör inte heller en klocka på sitt eget Wi-Fi eller mobilnät till en tunnlad klient. Behöver du den garantin måste tunneln sluta där klockans trafik faktiskt passerar, och telefonen är inte på den vägen.

Läs vägen innan du ändrar profilen

Innan du rör VPN-konfigurationen, notera tre saker: anslutningen klockan rapporterar (telefon, Wi-Fi eller mobilnät), om telefonen är inom Bluetooth-räckvidd, och en namngiven åtgärd som misslyckas. Upprepa sedan den åtgärden med oförändrad väg och VPN avstängt, om policyn tillåter det. Ett resultat som bara visas med tunneln uppe är ett tunnelproblem, och ett resultat som visas i båda fallen är det inte.

Håll båda enheterna på samma plats vid båda körningarna, annars mäter du rummet i stället för tunnelen.

När felet överlever den jämförelsen är den användbara rapporten till en nätverksadministratör smal: den här appen, den här åtgärden, den här transportvägen, tunnel på och av. Allmänna påståenden om att klocka och VPN inte fungerar ihop går inte att kontrollera, och de döljer oftast en captive portal eller en blockerad tjänst bakom ett påstående om radion.