Як розмістити Apple TV за VPN без роутера

Якщо ви читали, що Apple TV може отримати VPN лише від роутера, ця порада застаріла. З tvOS 17 Apple дозволяє сторонні VPN-застосунки на самому пристрої, тож телевізор може тримати тунель так само, як телефон. Незмінним залишилося те, що VPN, який працює на вашому Mac або телефоні, захищає лише цей пристрій, хоч би як близько він стояв до телевізора. Спершу виберіть розміщення, застосунок на телевізорі або шлюз перед ним, а решта налаштування випливає з цього вибору.

Порада лише з роутером колись була правильною

Старші посібники тоді не помилялися. У tvOS не було сторонніх VPN-застосунків, тому єдиним способом провести трафік телевізора через тунель було поставити перед ним шлюз або поділитися з'єднанням Mac. Випуск tvOS 17 змінив першу половину цього, бо VPN-застосунки стало можна встановлювати на Apple TV.

Доступність — це не те саме, що повсюдна підтримка. Застосунок має бути в списку для вашого регіону та вашого пристрою, мінімальна версія tvOS має бути виконана, а протокол, яким він говорить, має відповідати шлюзу, який ви справді маєте.

Що застосунок tvOS може і чого не може

VPN-застосунок на Apple TV поводиться як той самий застосунок на телефоні. Він установлює профіль, відкриває тунель і спрямовує трафік пристрою через нього; ви входите в застосунку або через потік коду пристрою, обираєте місце й підключаєтеся. Тут немає термінала й редактора конфігурації, тому постачальникові, який пропонує лише настільний клієнт або відредагований вручну файл WireGuard, нема чого встановлювати.

Два обмеження застають людей зненацька. Застосунок спрямовує те, що йому дозволяє tvOS, тому стрімінговий сервіс, який закріплює сертифікати або використовує власний резолвер, може й далі заперечувати навіть після зміни вашої адреси виходу. А застосунок, зібраний для новішого випуску tvOS, ніж той, що працює на вашому пристрої, взагалі не встановиться. Перевірте обидва пункти, перш ніж купувати підписку заради цієї мети.

Домашні облікові записи теж мають значення. VPN-застосунок, у який увійшли з одним Apple ID, — це тунель на рівні пристрою, а не налаштування для кожного глядача, тож усі, хто користується цим телевізором, поділяють обране вами місце виходу.

Коли шлюз усе ще правильна відповідь

Шлюз перемагає, коли ви хочете одне правило для кількох пристроїв, коли постачальник не має застосунку tvOS або коли тунель має пережити скидання чи заміну телевізора. Роутер, на якому працює VPN-клієнт, або невелика коробка в ролі шлюзу за замовчуванням для телевізора переміщує трафік, нічого не встановлюючи на телевізорі.

Така схема потребує двох речей, які люди пропускають: стабільної адреси для телевізора й визначеної поведінки під час збою. Дайте телевізорові резервування DHCP, щоб правило маршрутизації далі збігалося, а потім вирішіть, чи він повернеться до звичайного з'єднання, чи втратить інтернет, коли тунель упаде. Включіть DNS у це рішення, бо шлюз, який пересилає трафік, але зливає запити до резолвера постачальника, не завершив роботу.

Саме правило зазвичай будується за адресою джерела або сегментом мережі. Розмістіть телевізор у його власному VLAN, якщо роутер це підтримує, пропустіть цей сегмент через тунель, а решту дому залиште на звичайному шляху. Записане так, правило залишається читабельним і через шість місяців.

VPN на вашому Mac — це не VPN для телевізора

Це міф, який живе найдовше, бо налаштування виглядає так, ніби має працювати. Спільний доступ до інтернету в macOS може дати телевізорові адресу й пересилати його трафік, але пересилає через те вище з'єднання, яке Mac використовує в цей момент. VPN-клієнт на Mac не стає цим вищим з'єднанням автоматично, а деякі клієнти навмисно виключають пересланий трафік, щоб ніколи не ганяти пакети через себе. Залежно від випуску macOS панель спільного доступу може вказувати вашу службу VPN або ні, і навіть коли вказує, клієнт, що виключає пересланий трафік, телевізор не понесе.

Якщо ви хочете, щоб Mac працював як шлюз, використовуйте клієнт, який документує режим шлюзу для інших пристроїв, і перевіряйте з телевізора, а не з Mac.

Перевіряйте з телевізора, а не з телефона

Єдиний доказ, який має значення, — це те, що повідомляє телевізор. Відкрийте браузер або застосунок мережевої інформації на телевізорі й прочитайте публічну адресу, яку він бачить, або подивіться в журналі роутера адресу телевізора, що виходить через тунель. Телефон у тій самій мережі Wi-Fi нічого не доводить про шлях телевізора.

Далі перевірте шлях збою. Від'єднайте тунель і підтвердьте, що телевізор поводиться так, як ви вирішили раніше; якщо він тихо повертається до звичайного з'єднання, у вас витік, а не резерв.

Пройдіть цей список один раз, і налаштування залишиться стабільним: підтвердьте модель і версію tvOS, установіть застосунок постачальника з App Store або налаштуйте шлюз, додайте резервування DHCP, якщо правило залежить від адреси, вирішіть щодо DNS і відключеного стану та перевірте з самого телевізора. Якщо застосунок встановлюється, але потік усе одно зривається, причина зазвичай у правилах облікового запису самого сервісу, а не в тунелі.