Ein Apple TV debuggen

Von den vier Plattformen ist das Apple TV die schwierigste — aus Gründen, die nichts mit Chute zu tun haben: tvOS hat keinen Browser, kein Teilen-Menü, keinen Dateibrowser, keine Möglichkeit, vom Gerät aus ein Zertifikat zu installieren, und statt einer Tastatur eine Fernbedienung. Chute tvOS beantwortet jeden dieser Punkte damit, die Oberfläche woanders hinzulegen — in einen Browser auf Ihrem Telefon oder Mac, in einen QR-Code, in ein Dashboard-Fenster.

Deshalb hat diese Anleitung eine andere Form als die beiden anderen: Fast alles passiert außerhalb des Fernsehers.

1. Eine Konfiguration auf den Fernseher bringen

Eine Konfiguration mit einer Fernbedienung zu bearbeiten, will niemand zweimal tun — schreiben Sie sie also woanders und schicken Sie sie hinüber. Auf dem Apple TV bietet Konfiguration hinzufügen von... drei Wege:

• Datei über WLAN oder Chute iOS hochladen — der Fernseher öffnet einen lokalen HTTP-Listener und zeigt eine URL und einen QR-Code. Öffnen Sie die URL in einem beliebigen Browser und laden Sie die Datei hoch, oder scannen Sie den Code mit Chute iOS. Das chute://tv-URL-Schema öffnet dieselbe Import-Ansicht direkt in der Telefon-App.
• Von URL herunterladen — der Fernseher holt die Konfiguration selbst. Von den dreien die Variante mit dem wenigsten Tippen, sofern die Datei irgendwo liegt, wo er sie erreicht.
• Leere Konfiguration — eine leere, die auf dem Gerät bearbeitet wird.

Beim Hochladen müssen Fernseher und anderes Gerät im selben WLAN sein, und der Listener existiert nur, solange dieser Bildschirm offen ist — ihn zu verlassen oder das Gerät zu sperren, bricht die Übertragung ab.

2. Die zwei Listener einschalten, die Sie wirklich brauchen

Beide sind standardmäßig aus, und ohne mindestens einen davon lässt sich ein Apple TV nicht debuggen. Beide sind kostenlos — im Bedienfeld dieser Plattform deckt die Lizenz die Zeilen des lokalen Proxy-Servers und die Datenverkehrsaufzeichnung ab, nicht diese hier.

HTTP-Control-API + Web-Konsole — also die Web-Konsole, in der Bodies, HAR-Exporte und Diagnose leben:

[General]
external-http-controller = 0.0.0.0:9090
external-http-secret = your-own-token
external-http-ui = true

Binden Sie an 0.0.0.0, nicht an 127.0.0.1: Eine an Loopback gebundene Konsole lässt sich von keinem anderen Gerät öffnen, und auf dem Fernseher gibt es keinen Browser, der sie lokal öffnen könnte. Eine Bindung außerhalb von Loopback verlangt ein ausdrückliches external-http-secret, sonst verweigert der Controller den Start.

Externer Controller-Zugriff — der binäre Kanal, den Chute Dashboard spricht. Öffnen Sie im Konfigurationseditor Externer Controller:

1. Externer Controller-Zugriff einschalten.
2. Einen Port (hier ist 6171 die Voreinstellung) und ein eigenes Passwort setzen; leer darf es nicht sein.
3. Zugriff über WLAN erlauben einschalten. Auf einem Apple TV ist das nicht optional wie auf einem Telefon — es gibt keinen Kabelweg als Rückfallebene, also kommt ausgeschaltet nichts von außerhalb des Fernsehers heran.

Sie sollten sehen, im Bedienfeld: HTTP-API-Port und Web-Konsole auf An, und Externer Zugriffsport mit Ihrem Port. Fehlt das, läuft der Tunnel mit einer älteren Fassung der Konfiguration — starten Sie ihn neu.

3. Die Konsole von einem anderen Gerät öffnen

Das Bedienfeld hat eine Zeile Adresse der Web-Konsole, einige Zeilen unterhalb des Schalters „Web-Konsole“. Wählen Sie sie aus:

• Ist der Listener von anderen Geräten erreichbar, zeigt der Fernseher einen QR-Code. Scannen Sie ihn mit einem Telefon im selben Netz, oder tippen Sie die Adresse in einen beliebigen Browser. Das Anmelde-Token reist im Code statt auf dem Bildschirm zu stehen, sodass niemand 32 Hexadezimalzeichen vom Fernseher abschreiben muss.
• Ist der Controller an Loopback gebunden, zeigt der Fernseher statt eines Codes eine Erklärung — siehe Schritt 2.

Von dort an ist die Konsole auf jeder Plattform dieselbe: Verbindungen mit Einzelansicht und Bodies, Regeln mit der Liste der Umschreibungen, die gegriffen haben, Diagnose mit den Prüfungen für Ping, DNS, Egress und URL-Test, und Protokolle.

4. Chute Dashboard verbinden

Öffnen Sie auf einem Mac Chute Dashboard und wählen Sie Mit entferntem Rechner verbinden: Host ist die Adresse des Apple TV — das Bedienfeld zeigt sie unter LOKALE IP —, dazu Port und Passwort aus Schritt 2. Über USB verbinden ist für iPhones und Android-Geräte; ein Apple TV wird über das Netz erreicht.

Alles, was Dashboard für ein Telefon tut, tut es auch hier — die Listen Aktiv und Kürzlich, die DNS- und UDP-Ansichten, die MitM-Werkzeugpanels, HAR- und curl-Export per Rechtsklick.

5. HTTPS entschlüsseln

Auf dieser Plattform sind zwei Dinge anders, und beide überraschen.

Die CA lässt sich nicht aus der App installieren. tvOS hat kein Safari und keinen Profil-Installer, also muss das Zertifikat auf dem einzigen Weg ankommen, auf dem tvOS Zertifikate überhaupt annimmt: MDM oder Apple Configurator. Die App sagt das dort, wo die Hostliste bearbeitet wird, und sie kann eine CA auch weder erzeugen noch importieren oder exportieren: Erstellen Sie die CA in Chute Mac, übernehmen Sie dieselben ca-p12 und ca-passphrase in die Konfiguration des Fernsehers, und bringen Sie das Zertifikat — Zertifikat exportieren in Chute Mac schreibt es als .pem — über einen dieser beiden Wege auf das Gerät.

Im Bedienfeld gibt es keinen MitM-Schalter. iOS und macOS haben einen, tvOS nicht. Die Entschlüsselung wird eingeschaltet durch:

• die Konfiguration — enable = true in [MITM], die dauerhafte Antwort;
• die Konsole oder den Schalter in Dashboards Symbolleiste;
• PUT /api/features/mitm mit {"enabled": true}.

Die letzten drei wirken nur auf die laufende Engine und sind beim nächsten Neustart vergessen. Die hostname-Liste wird aus der Konfiguration gelesen und lässt sich sowohl in der Konsole als auch in Dashboard live bearbeiten. Wie auch immer sie eingeschaltet wird: Die Entschlüsselung braucht auf dem Apple TV wie auf dem iPhone eine Lizenz — ohne sie entschlüsselt die Engine nichts.

[MITM]
enable = true
hostname = api.example.com, *.example.net

6. Aufzeichnen — und das Ergebnis vom Gerät bekommen

Datenverkehrsaufzeichnung im Bedienfeld schaltet die Aufzeichnung — die Einstellung replica — und ist eine der drei lizenzpflichtigen Zeilen im Bedienfeld von tvOS; die anderen beiden sind die lokalen Proxy-Server. Ohne sie erscheinen Verbindungen weiterhin mit Regel, Richtlinie und Zeiten; es fehlen schlicht die Nutzdaten.

Und dann kommt der Teil, der dieser Plattform allein gehört: Das Apple TV hat keinen Ort für Dateien. Es gibt kein Teilen-Menü und keine Dateien-App, also geht jeder Export über HTTP hinaus:

• HAR — auf der Verbindungsseite der Konsole, HAR exportieren. Der Download landet auf der Maschine mit dem Browser.
• Laufzeit-Diagnosepaket — auf der Diagnoseseite der Konsole, Diagnosepaket herunterladen.
• Offline-Diagnosepaket — Einstellungen → Offline-Diagnosepaket, wenn der Tunnel nicht läuft. Der Fernseher baut das Archiv und zeigt einen QR-Code; der Link funktioniert nur, solange dieser Bildschirm offen ist.

7. Was der Fernseher selbst noch verrät

Manche Fragen brauchen gar kein zweites Gerät. Unter Einstellungen → DIAGNOSE:

• Dashboard — die laufende Sitzung: ihre Tunnel, DNS und Statistiken. Eine Verbindung auszuwählen öffnet ein Detailpanel mit BASIS (Datum, Status, Schließgrund, Dauer), RICHTLINIE (die passende Regel und die von ihr gewählte Richtlinie), KNOTEN (lokal, Server, Gegenstelle, Host), DATENVERKEHR, ZEITMESSUNG (Proxy bereit, DNS-Auflösung, Regel, Gegenstelle bereit, gesamte Aktivzeit) und den Umschreibungen, die gegriffen haben. Keine Anfrage- oder Antwort-Bodies — dafür braucht es die Konsole oder Chute Dashboard.
• Sitzungen — frühere Läufe, jeder mit seinen Tunnel, demselben Detailpanel und seinem Protokoll. Der Protokollbildschirm hat einen Schweregradfilter darüber (Alle / Hinweis+ / Warnung+ / Schwerwiegend), sodass eine Fernbedienung genügt, um einen Lauf auf seine Warnungen einzugrenzen. Die laufende Sitzung lässt sich hier nicht öffnen — dafür ist Dashboard da —, und ihr Protokoll liest man in der Konsole.
• Netzwerkdiagnose, Proxy-Diagnose, Routing-Tabelle — Erreichbarkeit, Listener und Routing, wie das Gerät sie sieht.

Im Bedienfeld liegt außerdem DNS-Cache leeren, der schnellste Weg, eine [Host]-Zuordnung ohne Tunnel-Neustart erneut zu prüfen.