هل تضع مشاركة الإنترنت أجهزتك الأخرى على VPN؟

تشغيل مشاركة الإنترنت لا يمدّ الـ VPN إلى كل ما على مكتبك. فالميزتان تجيبان عن سؤالين مختلفين. تحدد المشاركة أي اتصال يغذّي جهاز Mac وأي واجهات توزّع ذلك الاتصال، بينما يحدد الـ VPN وجهة حركة جهاز Mac نفسه. أما هل يرث الجهاز الثاني النفق فيعتمد على التوجيه، وعلى سياسة العميل، وعلى ما تقبل البوابة تمريره، وهذه ثلاثة أمور لا تعرف لوحة المشاركة شيئًا عنها.

الأسطورة: مشاركة الاتصال تعني مشاركة النفق

حين يقول أحدهم إن الأمر يعمل، فما لاحظه عادةً هو أن الجهاز اللوحي خلف جهاز Mac حمّل صفحة. وهذه الملاحظة تتوافق مع مسارات مختلفة عدة، منها مسار خرجت فيه الصفحة مباشرة من الوصلة الفيزيائية بينما كان متصفح جهاز Mac يستخدم النفق. تحميل صفحة واحدة بنجاح لا يميّز شيئًا. إنه يثبت فقط أن ثمة مسارًا ما موجود.

الجهاز الثاني لا يرث جلسة. إنه يحصل على عنوان من جهاز Mac، ويرسل الحزم إلى جهاز Mac، ويقرر جهاز Mac ما يفعله بها وفق جدول التوجيه الخاص به وحالة جدار الحماية لديه. ويحدث ذلك القرار لكل اتصال على حدة، لا لكل جهاز. ويمكن لجهازين خلف الجهاز نفسه أن يسلكا مسارين مختلفين عندما تختلف القواعد.

ما تختاره لوحة المشاركة فعلًا

في إعدادات النظام، تسأل عناصر التحكم في مشاركة الإنترنت عن اتصال مصدر وعن الواجهات التي ستستخدمها الأجهزة الأخرى. والمصدر هو وصلة جهاز Mac الصاعدة، ويحذر دليل Apple نفسه من أن المشاركة غير الحذرة قد تعطّل الشبكة التي أنت متصل بها.

لا شيء في ذلك الحوار يسمّي الـ VPN بوابةً للحركة المعاد توجيهها. اختيار Ethernet مصدرًا لا يعني أن النفق يُتجاهَل، ولا يعني أنه يُستخدم أيضًا؛ بل يعني أن الواجهة الفيزيائية لجهاز Mac هي الوصلة الصاعدة المعلنة، وأن جدول التوجيه هو من يقرر بعد ذلك.

تعتمد الخيارات المتاحة على العتاد أيضًا. فالجهاز الذي لا منفذ Ethernet فيه، أو الذي لم تُوصل به قاعدة توصيل، لن يعرض الخيار الذي تفترضه إحدى الشروحات. افحص اللوحة الموجودة لديك فعلًا قبل أن تبني أي شيء عليها.

كيف تجد الحزمة المعاد توجيهها طريقها

الأجهزة الواقعة في المصبّ مخفية خلف NAT، ويعيد جهاز Mac كتابة عناوينها قبل إرسال أي شيء إلى المصدر. وإذا كان النفق يملك المسار الافتراضي في تلك اللحظة، فقد تمرّ الحزم المعاد كتابتها عبره، ولهذا يبدو الترتيب ناجحًا في اختبار سريع.

المظهر ليس سياسة. فعميل الـ VPN لسطح المكتب مبني حول حركة جهاز Mac نفسه، ومفتاح الإيقاف لديه يفرض عادةً قواعد على التطبيقات المحلية لا على شبكة LAN خلف الجهاز. وعندما يسقط النفق، قد يواصل جهاز Mac التمرير لضيوفه دون أي قاعدة حجب.

وهناك أيضًا مسألة الإصدار. فالمزوّد الذي وثّق دعم المشاركة في إصدار أقدم من macOS ربما غيّر السلوك منذ ذلك الحين، والشرح الذي يعرض إدخال الـ VPN أصليًا في قائمة المصادر ربما يصف واجهة لا ينشئها عميلك الحالي أبدًا.

لذا اختبر المسار بدلًا من الثقة بالتصميم. أرسل طلبًا من الجهاز الثاني وراقبه عند الطرفين، فهذا هو الدليل الوحيد الذي يصمد أمام تحديث العميل. والاختبار الذي يمكنك تكراره بعد التحديث التالي أثمن من إعداد تظنّ أنك تثق به فحسب.

اختر حدّ التغطية عن قصد

إذا كان الجهاز الثاني قادرًا على تشغيل العميل المعتمد، فهذا هو الترتيب الأقوى. فهو يحصل على ملف تعريف خاص به وهوية خاصة به وسياسة خاصة به، ويكتفي جهاز Mac بتوفير الشبكة الأساسية.

وإذا لم يكن قادرًا على تشغيل عميل، فأنت تحتاج إما إلى ميزة مشاركة موثقة من مزوّد الـ VPN، وإما إلى بوابة معتمدة تمرّر الحركة نيابة عن الجهاز. وكلا الأمرين له مالك ونهاية محددة، وهذا أكثر مما يمكن أن يقدمه مربع اختيار.

كثيرًا ما يطلب أصحاب العمل نموذج جهاز لكل جهاز على أي حال، لأن جلسة جهاز واحد تمثّل أربعة أجهزة أخرى قرار ثقة مختلف عن أربعة أجهزة مسجّلة.

ما يجب التحقق منه قبل أن تَعِد به

افحص الوجهة الفعلية للجهاز الثاني، لا وجهة جهاز Mac. فالخدمة الخاصة والمخرج العام اختباران مختلفان، والنجاح في أحدهما لا يقول شيئًا عن الآخر.

افحص عائلتي العناوين وقرار الأسماء معًا. فالترتيب الذي يمرّر IPv4 عبر النفق ويترك IPv6 على الوصلة الفيزيائية ينتج جهازًا يبدو محميًا في المتصفح ويسرّب في كل شيء آخر.

ثم افحص الحالة بعد قطع الاتصال. أوقف النفق وكرّر الاختبار من الجهاز الثاني؛ فإن وصل إلى الإنترنت رغم ذلك، فكان الترتيب يشترك في اتصال ولم يشترك في الـ VPN قط، وهي نتيجة جيدة ما دام لم يكتبها أحد على أنها الشيء الآخر.