Чи використовує Apple Watch VPN-з’єднання iPhone?

У годинника немає налаштування VPN, яке можна відкрити, і це перше, що треба зрозуміти. Уся конфігурація VPN живе на спряженому iPhone, у профілі або всередині Network Extension програми. Чи справді трафік годинника проходить через цей тунель, залежить від того, який канал годинник використовує в цей момент. Цей єдиний факт пояснює більшість заплутаних повідомлень про годинник, який продовжує працювати, коли телефон у VPN, або навпаки.

У watchOS немає клієнта VPN, на який можна вказати

watchOS постачається без екрана налаштування VPN, тому окремого тунелю для кожного годинника немає — ні ввімкнути, ні зневаджити. Профіль, встановлений на iPhone, діє для iPhone, а годинник успадковує поведінку лише через шляхи, які поділяють два пристрої. Будь-яке твердження про налаштування VPN на годиннику сприймайте як ознаку того, що людина описує екран телефона.

Тому команди MDM не можуть надіслати корисне навантаження VPN на годинник так, як надсилають його на телефон.

Годинник має набір транспортних шляхів і постійно вибирає між ними: Bluetooth до близького телефона, сумісна мережа Wi-Fi, для якої є облікові дані, або стільниковий зв’язок на моделі з тарифом. Кожен вибір змінює, хто несе пакети, і саме це важливо для вашого тунелю.

Bluetooth: пакети несе телефон

Коли телефон поруч, годинник надає перевагу Bluetooth, бо він споживає значно менше енергії, ніж Wi-Fi або стільниковий зв’язок. Дані програми на годиннику виходять цим каналом, доходять до телефона і далі підкоряються правилам маршрутизації та тунелю телефона, як будь-який інший трафік, який телефон створює або пересилає. У цьому стані VPN телефона справді на шляху. Тому програма на годиннику може не працювати при піднятому тунелі, хоча годинник жодного разу не відкривав власного з’єднання.

Це пересилання — не те саме, що входження годинника в тунель. Тунель належить мережевому стеку телефона, і годинник його не бачить: ні призначення адреси, ні власних маршрутів, ні стану тунелю для читання. Ви не знайдете трафік годинника окремою сесією всередині тунелю.

Корисний тест — вимкнути Bluetooth лише на телефоні й повторити дію, що не працює. Якщо вона запрацювала, шляхом було пересилання через телефон.

Wi-Fi і стільниковий зв’язок: годинник виходить із тунелю

Якщо Bluetooth виходить за межі дії або вимикається, годинник пробує сумісну мережу Wi-Fi, яку вже знає, а стільникова модель із обслуговуванням може перемкнутися на оператора. Посібник Apple з підключення годинника описує цей порядок і зазначає, що значок Wi-Fi означає, що годинник працює через Wi-Fi, а не говорить з iPhone. Трафік на цих шляхах закінчується на годиннику, а не на телефоні.

Отже, тунель телефона туди не сягає. Власні з’єднання годинника встановлює watchOS, використовуючи радіомодулі годинника й наявні облікові дані, а телефон їх не пересилає. Це випадок, коли суворий VPN для всього трафіку на телефоні може працювати бездоганно, а програма на годиннику все одно виходить в інтернет.

Зворотна скарга трапляється частіше: програма на годиннику перестає працювати, щойно піднімається тунель телефона.

Що includeAllNetworks покриває, а що ні

Документація Apple з маршрутизації для Network Extension перелічує зв’язок із супутніми пристроями, включно з трафіком до Apple Watch, серед винятків, які вона виокремлює, описуючи includeAllNetworks. Мета — щоб широкий тунель не ламав локальний канал між двома пристроями. Читайте це вузько: він захищає канал супутнього пристрою, а не кожну службу, яку може викликати програма на годиннику.

Він також не сертифікує жодного конкретного продукту VPN і нічого не каже про те, який транспортний шлях обрав годинник у момент збою. Повідомлення, що надійшло пізно, не є доказом, що тунель його відкинув.

Виняток також не перетворює годинник на власному Wi-Fi чи стільниковому зв’язку на клієнта всередині тунелю. Якщо вам потрібна така гарантія, тунель має закінчуватися там, де трафік годинника справді проходить, а телефон на цьому шляху відсутній.

Прочитайте шлях, перш ніж змінювати профіль

Перш ніж торкатися конфігурації VPN, зафіксуйте три речі: з’єднання, яке повідомляє годинник (телефон, Wi-Fi або стільниковий зв’язок), чи телефон у зоні дії Bluetooth і одну названу дію, що не працює. Потім повторіть цю дію з незмінним шляхом і вимкненим VPN, якщо політика дозволяє. Результат, що з’являється лише при піднятому тунелі, — це проблема тунелю, а результат, що з’являється в обох випадках, — ні.

Тримайте обидва пристрої в одному місці в обох спробах, інакше ви міряєте кімнату, а не тунель.

Коли збій переживає це порівняння, корисний звіт мережевому адміністратору буде вузьким: ця програма, ця дія, цей транспортний шлях, тунель увімкнено й вимкнено. Загальні твердження про несумісність годинника й VPN перевірити неможливо, і вони зазвичай ховають портал перехоплення або заблоковану службу за твердженням про радіо.