Přenese sdílení internetu VPN i na vaše ostatní zařízení?

Zapnutí sdílení internetu nerozšíří VPN na všechno na vašem stole. Obě funkce odpovídají na různé otázky. Sdílení rozhoduje o tom, které připojení napájí Mac a která rozhraní toto připojení předávají dál, zatímco VPN rozhoduje o tom, kam směřuje provoz samotného Macu. Zda druhé zařízení tunel zdědí, závisí na směrování, na zásadách klienta a na tom, co je brána ochotna předávat dál – a to jsou tři věci, o kterých panel Sdílení neví vůbec nic.

Mýtus: sdílení připojení znamená sdílení tunelu

Když někdo řekne, že to funguje, obvykle pozoroval, že tablet za Macem načetl stránku. Toto pozorování je slučitelné s několika různými cestami, včetně té, kdy stránka odešla přímo fyzickým uplinkem, zatímco prohlížeč na Macu použil tunel. Jedno úspěšné načtení stránky nerozlišuje nic. Dokazuje pouze to, že nějaká cesta existuje.

Druhé zařízení nedědí relaci. Dostane adresu od Macu, posílá pakety Macu a Mac rozhoduje, co s nimi udělá, podle své vlastní směrovací tabulky a stavu vlastního firewallu. Toto rozhodnutí probíhá pro každé spojení, nikoli pro každé zařízení. Dvě zařízení za stejným Macem mohou jít různými cestami, pokud se pravidla liší.

Co panel Sdílení vlastně volí

V Nastavení systému vyžadují ovládací prvky sdílení internetu zdrojové připojení a rozhraní, která budou používat ostatní zařízení. Zdrojem je uplink Macu a samotný průvodce Applu varuje, že nepromyšlené sdílení může narušit síť, ke které jste připojeni.

Nic v tomto dialogu neoznačuje VPN jako bránu pro předávaný provoz. Volba Ethernetu jako zdroje neznamená, že se tunel ignoruje, a neznamená ani, že se tunel použije; znamená, že deklarovaným uplinkem je fyzické rozhraní Macu a že stále rozhoduje směrovací tabulka.

Dostupné možnosti závisí také na hardwaru. Mac bez ethernetového portu, nebo takový, u něhož není připojena dokovací stanice, nenabídne volbu, kterou návod předpokládá. Než kolem něj začnete cokoli navrhovat, zkontrolujte panel, který skutečně máte.

Jak si předávaný paket najde cestu

Zařízení po proudu jsou skryta za NAT a Mac přepisuje jejich adresy, než cokoli odešle směrem nahoru. Pokud v tu chvíli tunel vlastní výchozí trasu, přepsané pakety mohou klidně projít jím, a právě proto se sestava v rychlém testu jeví jako funkční.

Vzhled není zásada. Klientský VPN pro počítač je postaven kolem provozu samotného Macu a jeho kill switch obvykle vynucuje pravidla pro místní aplikace, nikoli pro LAN za strojem. Když tunel spadne, Mac může dál předávat provoz svým hostům zcela bez blokovacího pravidla.

Existuje také otázka verze. Poskytovatel, který zdokumentoval podporu sdílení u starší verze macOS, mohl od té doby změnit chování, a návod, který v seznamu zdrojů ukazuje nativní položku VPN, může popisovat rozhraní, jež váš současný klient nikdy nevytvoří.

Proto testujte cestu, místo abyste věřili návrhu. Spusťte požadavek z druhého zařízení a sledujte ho na obou koncích, protože to je jediný důkaz, který přežije aktualizaci klienta. Test, který můžete po příští aktualizaci zopakovat, má větší cenu než konfigurace, které jen věříte.

Zvolte hranici pokrytí vědomě

Pokud druhé zařízení dokáže spustit schváleného klienta, je to silnější uspořádání. Získá vlastní profil, vlastní identitu a vlastní zásady a Mac pouze dodává základní síť.

Pokud klienta spustit nedokáže, potřebujete buď zdokumentovanou funkci sdílení od poskytovatele VPN, nebo schválenou bránu, která předává provoz jménem zařízení. Obě možnosti mají vlastníka a definovaný konec, což je víc, než může nabídnout zaškrtávací políčko.

Zaměstnavatelé často i tak vyžadují model pro každé zařízení, protože relace jednoho stroje zastupující čtyři další je jiné rozhodnutí o důvěře než čtyři zapsaná zařízení.

Co ověřit, než to slíbíte

Zkontrolujte skutečné cílové místo druhého zařízení, ne toho Macu. Soukromá služba a veřejný výstup jsou různé testy a absolvování jednoho nic neříká o druhém.

Zkontrolujte obě rodiny adres i překlad jmen. Sestava, která tuneluje IPv4, ale IPv6 nechává na fyzickém spoji, vytváří zařízení, jež v prohlížeči vypadá chráněně a ve všem ostatním uniká.

Potom zkontrolujte odpojený stav. Vypněte tunel a zopakujte test z druhého zařízení; pokud se stále dostane na internet, sestava sdílela připojení a nikdy nesdílela VPN, což je dobrý výsledek, dokud to nikdo nezapsal jako to druhé.