Праща ли споделянето на интернет другите ви устройства през VPN?

Включването на споделяне на интернет не разпростира VPN върху всичко на бюрото ви. Двете функции отговарят на различни въпроси. Споделянето решава коя връзка захранва Mac и кои интерфейси раздават тази връзка, докато VPN решава накъде отива собственият трафик на Mac. Дали второто устройство наследява тунела зависи от маршрутизацията, от политиката на клиента и от това какво е готов да препраща шлюзът, а това са три неща, за които панелът за споделяне не знае нищо.

Митът: споделянето на връзката споделя тунела

Когато някой каже, че работи, обикновено е видял, че таблетът зад Mac е заредил страница. Това наблюдение е съвместимо с няколко различни пътя, включително такъв, при който страницата е излязла направо през физическия горен канал, докато браузърът на Mac е използвал тунела. Едно успешно зареждане на страница не разграничава нищо. То доказва само, че някакъв път съществува.

Второто устройство не наследява сесия. То получава адрес от Mac, изпраща пакети към Mac, а Mac решава какво да прави с тях според собствената си таблица за маршрутизация и собственото си състояние на защитната стена. Това решение се взема за всяка връзка поотделно, а не за всяко устройство. Две устройства зад един и същ Mac могат да поемат различни пътища, когато правилата се различават.

Какво всъщност избира панелът за споделяне

В Системни настройки контролите за споделяне на интернет питат за изходна връзка и за интерфейсите, които другите устройства ще използват. Източникът е горният канал на Mac и собственото ръководство на Apple предупреждава, че небрежното споделяне може да наруши работата на мрежата, към която сте свързани.

Нищо в този диалог не назовава VPN като шлюз за препращания трафик. Избирането на Ethernet като източник не означава, че тунелът се пренебрегва, нито означава, че тунелът се използва; означава, че физическият интерфейс на Mac е обявеният горен канал, а таблицата за маршрутизация все още решава.

Наличните опции зависят и от хардуера. Mac без порт Ethernet или такъв, към който не е свързана докинг станция, няма да предложи избора, който предполага някое ръководство. Проверете панела, който действително имате, преди да градите нещо около него.

Как препратен пакет намира пътя си

Устройствата надолу са скрити зад NAT и Mac пренаписва адресите им, преди да изпрати нещо нагоре. Ако в този момент тунелът притежава маршрута по подразбиране, пренаписаните пакети може да минат през него и точно затова подредбата изглежда работеща при бърз тест.

Изгледът не е политика. Клиентът за VPN за настолен компютър е изграден около собствения трафик на Mac и неговият прекъсвач за безопасност обикновено налага правила за локалните приложения, а не за LAN зад машината. Когато тунелът падне, Mac може да продължи да препраща за своите гости без никакво блокиращо правило.

Има и въпрос на версия. Доставчик, документирал поддръжка на споделяне в по-стар издание на macOS, може оттогава да е променил поведението, а ръководство, което показва вграден запис за VPN в списъка с източници, може да описва интерфейс, който настоящият ви клиент никога не създава.

Затова изпробвайте пътя, вместо да се доверявате на проекта. Пуснете заявка от второто устройство и я наблюдавайте от двата края, защото това е единственото доказателство, което оцелява след актуализация на клиента. Тест, който можете да повторите след следващата актуализация, струва повече от конфигурация, в която просто вярвате.

Изберете границата на покритие съзнателно

Ако второто устройство може да стартира одобрения клиент, това е по-силната подредба. То получава собствен профил, собствена идентичност и собствена политика, а Mac само доставя основната мрежа.

Ако не може да стартира клиент, тогава ви трябва или документирана функция за споделяне от доставчика на VPN, или одобрен шлюз, който препраща от името на устройството. И двете имат собственик и определен край, което е повече, отколкото може да предложи едно квадратче за отметка.

Работодателите често изискват модела с отделно устройство така или иначе, защото сесията на една машина, представяща четири други, е различно решение за доверие от четири регистрирани устройства.

Какво да проверите, преди да го обещаете

Проверете действителната дестинация на второто устройство, а не на Mac. Частната услуга и общественият изход са различни тестове и успехът в единия не казва нищо за другия.

Проверете и двете семейства адреси и разрешаването на имена. Подредба, която тунелира IPv4, но оставя IPv6 по физическия канал, създава устройство, което изглежда защитено в браузъра и изтича във всичко останало.

След това проверете състоянието при прекъсната връзка. Изключете тунела и повторете теста от второто устройство; ако то все още достига интернет, подредбата е споделяла връзка и никога не е споделяла VPN, което е добър резултат, стига никой да не го е записал като другото.