Compartir Internet posa els teus altres dispositius a la VPN?

Activar Compartir Internet no estén la VPN a tot el que tens sobre la taula. Les dues funcions responen preguntes diferents. Compartir decideix quina connexió alimenta el Mac i quines interfícies reparteixen aquesta connexió, mentre que una VPN decideix on va el trànsit propi del Mac. Que el segon dispositiu hereti el túnel depèn de l’encaminament, de la política del client i del que la porta d’enllaç estigui disposada a reenviar, i això són tres coses que el tauler de Compartir no sap.

El mite: compartir la connexió comparteix el túnel

Quan algú diu que funciona, normalment ha vist que la tauleta que hi ha darrere del Mac carregava una pàgina. Aquesta observació encaixa amb diversos camins diferents, inclòs un en què la pàgina va sortir directament per l’enllaç físic d’entrada mentre el navegador del Mac feia servir el túnel. Una càrrega de pàgina amb èxit no distingeix res. Només demostra que algun camí existeix.

Un segon dispositiu no hereta una sessió. Rep una adreça del Mac, envia paquets al Mac, i el Mac decideix què fer-ne segons la seva pròpia taula d’encaminament i el seu propi estat de tallafocs. Aquesta decisió es pren per connexió, no per dispositiu. Dos dispositius darrere del mateix Mac poden seguir camins diferents quan les regles difereixen.

Què tria realment el tauler de Compartir

A Configuració del Sistema, els controls de Compartir Internet demanen una connexió d’origen i les interfícies que faran servir els altres dispositius. L’origen és l’enllaç d’entrada del Mac, i la pròpia guia d’Apple adverteix que compartir sense cura pot pertorbar la xarxa a què estàs connectat.

Res d’aquest diàleg no anomena una VPN com a porta d’enllaç del trànsit reenviat. Triar Ethernet com a origen no vol dir que el túnel s’ignori, ni vol dir que el túnel s’utilitzi; vol dir que la interfície física del Mac és l’enllaç d’entrada declarat, i la taula d’encaminament continua decidint.

Les opcions disponibles també depenen del maquinari. Un Mac sense port Ethernet, o un en què no hi ha connectada una base d’acoblament, no oferirà l’elecció que pressuposa un tutorial. Reviseu el tauler que realment teniu abans de dissenyar res al seu voltant.

Com troba el camí un paquet reenviat

Els dispositius de baix queden amagats darrere del NAT, i el Mac reescriu les seves adreces abans d’enviar res cap amunt. Si el túnel posseeix la ruta per defecte en aquell moment, els paquets reescrits poden passar-hi, i per això la disposició sembla funcionar en una prova ràpida.

L’aparença no és política. Un client VPN d’escriptori es construeix al voltant del trànsit propi del Mac, i el seu interruptor de seguretat normalment aplica regles a les aplicacions locals, no a una LAN darrere de la màquina. Quan el túnel cau, el Mac pot continuar reenviant per als seus convidats sense cap regla de bloqueig.

També hi ha la qüestió de la versió. Un proveïdor que va documentar el suport de compartir en una versió anterior de macOS pot haver canviat el comportament des d’aleshores, i un tutorial que mostra una entrada de VPN nativa a la llista d’orígens pot descriure una interfície que el vostre client actual no crea mai.

Per tant, proveu el camí en lloc de confiar en el disseny. Llanceu una petició des del segon dispositiu i observeu-la als dos extrems, perquè és l’única evidència que sobreviu a una actualització del client. Una prova que podeu repetir després de la propera actualització val més que una configuració en què només creieu.

Trieu el límit de cobertura deliberadament

Si el segon dispositiu pot executar el client aprovat, aquesta és la disposició més sòlida. Obté el seu propi perfil, la seva pròpia identitat i la seva pròpia política, i el Mac només forneix la xarxa subjacent.

Si no pot executar cap client, aleshores necessiteu o bé una funció de compartir documentada del proveïdor de VPN, o bé una porta d’enllaç aprovada que reenviï en nom del dispositiu. Totes dues tenen un propietari i un final definit, cosa que és més del que pot oferir una casella de selecció.

Els empresaris sovint exigeixen igualment el model d’un dispositiu per màquina, perquè la sessió d’una màquina que representa quatre altres és una decisió de confiança diferent de quatre dispositius inscrits.

Què cal verificar abans de prometre-ho

Comproveu la destinació real del segon dispositiu, no la del Mac. Un servei privat i una sortida pública són proves diferents, i passar-ne una no diu res de l’altra.

Comproveu les dues famílies d’adreces i la resolució de noms. Una configuració que encamina IPv4 pel túnel però deixa IPv6 a l’enllaç físic produeix un dispositiu que sembla protegit al navegador i filtra a tota la resta.

Després comproveu l’estat desconnectat. Apagueu el túnel i repetiu la prova des del segon dispositiu; si encara arriba a Internet, la disposició compartia una connexió i mai no compartia una VPN, cosa que és un bon resultat sempre que ningú no ho hagi anotat com l’altra cosa.