Ці трапляюць іншыя вашы прылады ў VPN пры абагульванні інтэрнэту?

Уключэнне абагульвання інтэрнэту не пашырае VPN на ўсё, што стаіць на вашым стале. Гэтыя дзве функцыі адказваюць на розныя пытанні. Абагульванне вырашае, якое злучэнне корміць Mac і якія інтэрфейсы раздаюць гэтае злучэнне, а VPN вырашае, куды ідзе ўласны трафік Mac. Ці атрымае другая прылада тунель у спадчыну, залежыць ад маршрутызацыі, ад палітыкі кліента і ад таго, што шлюз гатовы перасылаць, а гэта тры рэчы, пра якія панэль абагульвання не ведае нічога.

Міф: абагульванне злучэння абагульвае тунель

Калі хтосьці кажа, што гэта працуе, ён звычайна бачыў, што планшэт за Mac загрузіў старонку. Гэта назіранне ўзгоднена з некалькімі рознымі шляхамі, у тым ліку з такім, дзе старонка выйшла напрамкі з фізічнага верхняга канала, пакуль браўзер Mac карыстаўся тунелем. Адна паспяховая загрузка старонкі нічога не разрознівае. Яна даказвае толькі, што нейкі шлях існуе.

Другая прылада не атрымлівае сеанс у спадчыну. Яна атрымлівае адрас ад Mac, дасылае пакеты на Mac, і Mac вырашае, што з імі рабіць, паводле сваёй табліцы маршрутызацыі і свайго стану міжсеткавага экрана. Гэтае рашэнне прымаецца для кожнага злучэння асобна, а не для кожнай прылады. Дзве прылады за адным Mac могуць ісці рознымі шляхамі, калі правілы розныя.

Што панэль абагульвання выбірае насамрэч

У Сістэмных наладах элементы кіравання абагульваннем інтэрнэту пытаюцца пра зыходнае злучэнне і пра інтэрфейсы, якімі будуць карыстацца іншыя прылады. Зыход — гэта верхні канал Mac, і ўласнае кіраўніцтва Apple папярэджвае, што няўважлівае абагульванне можа парушыць працу сеткі, да якой вы падключаныя.

Нішто ў гэтым дыялогу не называе VPN шлюзам для перанакіраванага трафіку. Выбар Ethernet у якасці зыходу не азначае, што тунель ігнаруецца, і не азначае, што тунель выкарыстоўваецца; гэта азначае, што фізічны інтэрфейс Mac абвешчаны верхнім каналам, а табліца маршрутызацыі ўсё яшчэ вырашае.

Даступныя варыянты таксама залежаць ад абсталявання. Mac без порта Ethernet або той, да якога не падключана док-станцыя, не прапануе выбар, які мяркуе падручнік. Праверце панэль, якая ў вас насамрэч ёсць, перш чым нешта будаваць вакол яе.

Як перанакіраваны пакет знаходзіць свой шлях

Прылады ўнізе хаваюцца за NAT, і Mac перапісвае іх адрасы, перш чым нешта адправіць уверх. Калі ў гэты момант тунель валодае маршрутам па змаўчанні, перапісаныя пакеты могуць прайсці праз яго, і менавіта таму ўладкаванне выглядае працаздольным у хуткім тэсце.

Выгляд — гэта не палітыка. Кліент VPN для настольнай сістэмы будуецца вакол уласнага трафіку Mac, і яго пераключальнік блакіроўкі звычайна ўжывае правілы да лакальных праграм, а не да LAN за машынай. Калі тунель падае, Mac можа працягваць перасылаць трафік для сваіх гасцей без любога блакіруючага правіла.

Ёсць і пытанне версіі. Правайдэр, які дакументаваў падтрымку абагульвання ў старэйшым выпуску macOS, мог з таго часу змяніць паводзіны, а падручнік, які паказвае ўласны запіс VPN у спісе зыходаў, можа апісваць інтэрфейс, які ваш бягучы кліент ніколі не стварае.

Таму праверце шлях, а не давярайце праекту. Запусціце запыт з другой прылады і паназірайце за ім з абодвух бакоў, бо гэта адзіны доказ, які перажывае абнаўленне кліента. Тэст, які вы можаце паўтарыць пасля наступнага абнаўлення, каштоўнейшы за канфігурацыю, у якую вы проста верыце.

Выбірайце мяжу пакрыцця свядома

Калі другая прылада можа запусціць зацверджаны кліент, гэта больш моцнае ўладкаванне. Яна атрымлівае свой профіль, сваю ідэнтычнасць і сваю палітыку, а Mac проста пастаўляе базавую сетку.

Калі ж яна не можа запусціць кліент, вам патрэбна альбо дакументаваная функцыя абагульвання ад правайдэра VPN, альбо зацверджаны шлюз, які перасылае ад імя прылады. І тое, і другое мае ўласніка і вызначаны канец, а гэта больш, чым можа прапанаваць сцяжок.

Работодаўцы часта патрабуюць мадэль «адна прылада — адзін кліент», бо сеанс адной машыны, які прадстаўляе чатыры іншыя, — гэта іншае рашэнне аб даверы, чым чатыры зарэгістраваныя прылады.

Што праверыць, перш чым гэта абяцаць

Праверце фактычны пункт прызначэння другой прылады, а не Mac. Прыватная паслуга і публічны выхад — розныя тэсты, і поспех у адным нічога не кажа пра другі.

Праверце абедзве сям’і адрасоў і развязанне імён. Уладкаванне, якое праводзіць IPv4 праз тунель, пакідаючы IPv6 на фізічным канале, стварае прыладу, што выглядае абароненай у браўзеры і церпіць уцечкі ва ўсім іншым.

Затым праверце стан у адключэнні. Выключыце тунель і паўтарыце тэст з другой прылады; калі яна ўсё яшчэ дасягае інтэрнэту, уладкаванне абагульвала злучэнне і ніколі не абагульвала VPN, а гэта добры вынік, пакуль ніхто не запісаў яго як іншае.