Ein Apple TV debuggen

Von den drei Plattformen ist das Apple TV die schwierigste — aus Gründen, die nichts mit Chute zu tun haben: tvOS hat keinen Browser, kein Teilen-Menü, keinen Dateibrowser, keine Möglichkeit, vom Gerät aus ein Zertifikat zu installieren, und statt einer Tastatur eine Fernbedienung. Chute tvOS beantwortet jeden dieser Punkte damit, die Oberfläche woanders hinzulegen — in einen Browser auf Ihrem Telefon oder Mac, in einen QR-Code, in ein Dashboard-Fenster.

Deshalb hat diese Anleitung eine andere Form als die beiden anderen: Fast alles passiert außerhalb des Fernsehers.

1. Eine Konfiguration auf den Fernseher bringen

Eine Konfiguration mit einer Fernbedienung zu bearbeiten, will niemand zweimal tun — schreiben Sie sie also woanders und schicken Sie sie hinüber. Auf dem Apple TV bietet Konfiguration hinzufügen von... drei Wege:

• Datei über WLAN oder Chute iOS hochladen — der Fernseher öffnet einen lokalen HTTP-Listener und zeigt eine URL und einen QR-Code. Öffnen Sie die URL in einem beliebigen Browser und laden Sie die Datei hoch, oder scannen Sie den Code mit Chute iOS. Das chute://tv-URL-Schema öffnet dieselbe Import-Ansicht direkt in der Telefon-App.
• Von URL herunterladen — der Fernseher holt die Konfiguration selbst. Von den dreien die Variante mit dem wenigsten Tippen, sofern die Datei irgendwo liegt, wo er sie erreicht.
• Leere Konfiguration — eine leere, die auf dem Gerät bearbeitet wird.

Beim Hochladen müssen Fernseher und anderes Gerät im selben WLAN sein, und der Listener existiert nur, solange dieser Bildschirm offen ist — ihn zu verlassen oder das Gerät zu sperren, bricht die Übertragung ab.

2. Die zwei Listener einschalten, die Sie wirklich brauchen

Beide sind standardmäßig aus, und ohne mindestens einen davon lässt sich ein Apple TV nicht debuggen. Beide sind kostenlos — die Lizenz deckt auf dieser Plattform die Zeilen des lokalen Proxy-Servers und den Traffic-Recorder ab, nicht diese hier.

HTTP API + Web-UI — also die Web-Konsole, in der Bodies, HAR-Exporte und Diagnose leben:

[General]
external-http-controller = 0.0.0.0:9090
external-http-secret = your-own-token
external-http-ui = true

Binden Sie an 0.0.0.0, nicht an 127.0.0.1: Eine an Loopback gebundene Konsole lässt sich von keinem anderen Gerät öffnen, und auf dem Fernseher gibt es keinen Browser, der sie lokal öffnen könnte. Eine Bindung außerhalb von Loopback verlangt ein ausdrückliches external-http-secret, sonst verweigert der Controller den Start.

Externer Controller-Zugriff — der binäre Kanal, den Chute Dashboard spricht. Öffnen Sie im Konfigurationseditor Externer Controller:

1. Externer Controller-Zugriff einschalten.
2. Einen Port (hier ist 6171 die Voreinstellung) und ein eigenes Passwort setzen; leer darf es nicht sein.
3. Zugriff über WLAN erlauben einschalten. Auf einem Apple TV ist das nicht optional wie auf einem Telefon — es gibt keinen Kabelweg als Rückfallebene, also kommt ausgeschaltet nichts von außerhalb des Fernsehers heran.

Sie sollten sehen, im Kontrollfeld: HTTP-API-Port und Web-UI auf An, und Externer Zugriffsport mit Ihrem Port. Fehlt das, läuft der Tunnel mit einer älteren Fassung der Konfiguration — starten Sie ihn neu.

3. Die Konsole von einem anderen Gerät öffnen

Das Kontrollfeld hat unter dem Web-UI-Schalter eine Zeile Web-UI-Adresse. Wählen Sie sie aus:

• Ist der Listener von anderen Geräten erreichbar, zeigt der Fernseher einen QR-Code. Scannen Sie ihn mit einem Telefon im selben Netz, oder tippen Sie die Adresse in einen beliebigen Browser. Das Anmelde-Token reist im Code statt auf dem Bildschirm zu stehen, sodass niemand 32 Hexadezimalzeichen vom Fernseher abschreiben muss.
• Ist der Controller an Loopback gebunden, zeigt der Fernseher statt eines Codes eine Erklärung — siehe Schritt 2.

Von dort an ist die Konsole auf jeder Plattform dieselbe: Verbindungen mit Einzelansicht und Bodies, Regeln mit der Liste der Rewrites, die gegriffen haben, Diagnose mit den Sonden für Ping, DNS, Egress und URL-Test, und Protokolle.

4. Chute Dashboard verbinden

Öffnen Sie auf einem Mac Chute Dashboard und benutzen Sie den Bereich Remote: Host ist die Adresse des Apple TV — das Kontrollfeld zeigt sie unter LOCAL IP —, dazu Port und Passwort aus Schritt 2. Der USB-Bereich ist für iPhones; ein Apple TV wird über das Netz erreicht.

Alles, was Dashboard für ein Telefon tut, tut es auch hier — die Listen Aktiv und Kürzlich, die DNS- und UDP-Ansichten, die MitM-Werkzeugpanels, HAR- und curl-Export per Rechtsklick.

5. HTTPS entschlüsseln

Auf dieser Plattform sind zwei Dinge anders, und beide überraschen.

Die CA lässt sich nicht aus der App installieren. tvOS hat kein Safari und keinen Profil-Installer, also muss das Zertifikat auf dem einzigen Weg ankommen, auf dem tvOS Zertifikate überhaupt annimmt: MDM oder Apple Configurator. Die App sagt das dort, wo die Hostliste bearbeitet wird. Erzeugen oder importieren Sie die CA wie gewohnt in der Konfiguration, exportieren Sie sie und bringen Sie sie über einen dieser beiden Wege auf das Gerät.

Im Kontrollfeld gibt es keinen MitM-Schalter. iOS und macOS haben einen, tvOS nicht. Die Entschlüsselung wird eingeschaltet durch:

• die Konfiguration — enable = true in [MITM], die dauerhafte Antwort;
• die Konsole oder den Schalter in Dashboards Symbolleiste;
• PUT /api/features/mitm mit {"enabled": true}.

Die letzten drei wirken nur auf den laufenden Kernel und sind beim nächsten Neustart vergessen. Die hostname-Liste wird aus der Konfiguration gelesen und lässt sich sowohl in der Konsole als auch in Dashboard live bearbeiten.

[MITM]
enable = true
hostname = api.example.com, *.example.net

6. Aufzeichnen — und das Ergebnis vom Gerät bekommen

Daten ausgeben im Kontrollfeld ist der Traffic-Recorder — die Einstellung replica — und einer der beiden lizenzpflichtigen Schalter auf tvOS. Ohne ihn erscheinen Verbindungen weiterhin mit Regel, Richtlinie und Zeiten; es fehlen schlicht die Nutzdaten.

Und dann kommt der Teil, der dieser Plattform allein gehört: Das Apple TV hat keinen Ort für Dateien. Es gibt kein Teilen-Menü und keine Dateien-App, also geht jeder Export über HTTP hinaus:

• HAR — auf der Verbindungsseite der Konsole, HAR exportieren. Der Download landet auf der Maschine mit dem Browser.
• Laufzeit-Diagnosepaket — auf der Diagnoseseite der Konsole, Diagnosepaket herunterladen.
• Offline-Diagnosepaket — Einstellungen → Offline-Diagnosepaket, wenn der Tunnel nicht läuft. Der Fernseher baut das Archiv und zeigt einen QR-Code; der Link funktioniert nur, solange dieser Bildschirm offen ist.

7. Was der Fernseher selbst noch verrät

Manche Fragen brauchen gar kein zweites Gerät. Unter Einstellungen → DIAGNOSE:

• Sitzungen — die Verbindungen dieses Laufs. Eine auszuwählen öffnet ein Detailpanel mit BASIC (Datum, Status, Abbruchgrund, Dauer), POLICY (die passende Regel und die von ihr gewählte Richtlinie), NODES (lokal, Server, Gegenstelle, Host), TRAFFIC, TIMING (Proxy bereit, DNS-Auflösung, Regel, Gegenstelle bereit, gesamte Aktivzeit) und den Rewrites, die gegriffen haben. Keine Anfrage- oder Antwort-Bodies — dafür braucht es die Konsole oder Dashboard.
• Sitzungen → der Protokollbildschirm — mit einem Schweregradfilter darüber (Alle / Notify+ / Warning+ / Fatal), sodass eine Fernbedienung genügt, um einen Lauf auf seine Warnungen einzugrenzen.
• Netzwerkdiagnose, Proxy-Diagnose, Routing-Tabelle — Erreichbarkeit, Listener und Routing, wie das Gerät sie sieht.

Im Kontrollfeld liegt außerdem DNS-Cache leeren, der schnellste Weg, eine [Host]-Zuordnung ohne Tunnel-Neustart erneut zu prüfen.