不用路由器，如何让 Apple TV 走 VPN

如果你读到过“Apple TV 只能靠路由器上 VPN”的说法，那条建议已经过时。自 tvOS 17 起，Apple 允许第三方 VPN 应用直接装在设备上，电视可以像手机一样持有隧道。没有改变的是：在 Mac 或手机上运行的 VPN 只覆盖那台设备，无论它离电视多近。先确定位置——电视上装应用，还是在它前面放网关——其余设置都由这个选择决定。

“只能用路由器”曾经是对的

旧指南在当时并没有错。tvOS 没有第三方 VPN 应用，要把电视的流量送进隧道，只能在前方放网关，或者共享 Mac 的连接。tvOS 17 改变了前半部分，因为 VPN 应用变得可以装在 Apple TV 上。

可用并不等于通用支持。应用必须在你所在地区和你的机型上架，必须满足最低 tvOS 版本，而且它使用的协议要和你真正拥有的网关匹配。

tvOS 应用能做什么、不能做什么

Apple TV 上的 VPN 应用和手机上的同一个应用行为一致。它会安装配置描述文件、打开隧道，并把设备流量导进去；你在应用内或用设备码流程登录，选择位置后连接。这里没有终端，也没有配置编辑器，所以只提供桌面客户端或手改 WireGuard 文件的服务商，在这里没有可安装的东西。

两个限制常让人意外。应用只能送它被允许送的流量，所以锁定证书或使用自有解析器的流媒体服务，即使你的出口地址变了也可能照样拒绝。而为比你的机型更新的 tvOS 构建的应用根本装不上。为此付费订阅之前，这两点都要确认。

家庭账户也有影响。用一个 Apple ID 登录的 VPN 应用是设备级隧道，不是每位观众各自的设置，因此使用那台电视的所有人共用你选择的出口位置。

什么时候网关仍是正确答案

想要多条设备共用一条规则、服务商没有 tvOS 应用，或者隧道必须在电视被重置或更换后依然存在时，网关胜出。运行 VPN 客户端的路由器，或充当电视默认网关的小盒子，可以在电视上什么都不装的情况下搬动流量。

这种方案需要两件常被跳过的事：电视的固定地址，以及明确的故障行为。给电视做 DHCP 保留，让路由规则一直匹配；然后决定隧道断开时是回落到普通连接，还是直接失去网络。把这个决定里的 DNS 也算进去，因为只转发流量却把查询泄露给运营商解析器的网关，并没有把活干完。

规则本身通常按源地址或网段来写。路由器支持的话，把电视放进它自己的 VLAN，让该网段走隧道，家里其余设备留在普通路径上。这样写出来的规则，半年后也还看得懂。

Mac 上的 VPN 不是电视的 VPN

这是流传最久的误解，因为这套配置看上去应该能用。macOS 的互联网共享可以给电视分配地址并转发它的流量，但转发走的是 Mac 当时正在使用的上游连接。在 Mac 上运行的 VPN 客户端不会自动变成那个上游，有些客户端还会刻意排除转发流量，免得数据包绕回自己。视 macOS 版本而定，共享面板里可能列出也可能不列出你的 VPN 服务；即使列出，排除转发流量的客户端也带不动电视。

如果你想让 Mac 当网关，就用明确记录“为其他设备提供网关模式”的客户端，并且从电视而不是从 Mac 去验证。

从电视测，不要从手机测

唯一算数的证据是电视自己报告的内容。在电视上打开浏览器或网络信息应用，读它看到的公网地址；或者查路由器日志，看电视的地址是不是从隧道出去。同一 Wi-Fi 下的手机证明不了电视走的是哪条路。

然后测故障路径。断开隧道，确认电视的表现和你先前的决定一致；如果它悄悄退回普通连接，那是泄露，不是兜底。

把这份清单走一遍，配置就能稳定下来：确认机型和 tvOS 版本，从 App Store 安装服务商应用或配置好网关，如果规则依赖地址就加 DHCP 保留，决定 DNS 和断线时的行为，并从电视本身验证。应用装上了但播放仍然失败时，原因通常是服务自身的账户规则，而不是隧道。