Sender deling af internet dine andre enheder ud på VPN'en?

At slå Internetdeling til udvider ikke VPN'en til alt på dit skrivebord. De to funktioner besvarer forskellige spørgsmål. Deling afgør, hvilken forbindelse der forsyner Mac'en, og hvilke grænseflader der sender den forbindelse videre, mens en VPN afgør, hvor Mac'ens egen trafik går hen. Om den anden enhed arver tunnelen, afhænger af routing, af klientens politik og af, hvad gatewayen er villig til at videresende, og det er tre ting, som delingspanelet intet ved om.

Myten: deler man forbindelsen, deler man tunnelen

Når nogen siger, at det virker, er det, de normalt har set, at tabletten bag Mac'en indlæste en side. Den observation stemmer med flere forskellige veje, herunder en hvor siden gik direkte ud gennem det fysiske uplink, mens Mac'ens browser brugte tunnelen. Én vellykket sideindlæsning beviser intet. Den beviser kun, at der findes en eller anden vej.

En anden enhed arver ikke en session. Den får en adresse fra Mac'en, sender pakker til Mac'en, og Mac'en afgør, hvad der skal ske med dem, ud fra sin egen routingtabel og sin egen firewalltilstand. Den beslutning træffes for hver forbindelse og ikke for hver enhed. To enheder bag den samme Mac kan tage forskellige veje, når reglerne er forskellige.

Hvad delingspanelet faktisk vælger

I Systemindstillinger spørger Internetdeling efter en kildeforbindelse og efter de grænseflader, som andre enheder skal bruge. Kilden er Mac'ens uplink, og Apples egen vejledning advarer om, at uagtsom deling kan forstyrre det netværk, du er koblet på.

Intet i den dialog udpeger en VPN som gateway for videresendt trafik. At vælge Ethernet som kilde betyder ikke, at tunnelen ignoreres, og det betyder heller ikke, at tunnelen bruges; det betyder, at Mac'ens fysiske grænseflade er det erklærede uplink, og at routingtabellen stadig bestemmer.

De mulige valg afhænger også af hardwaren. En Mac uden Ethernet-port, eller en hvor en dock ikke er tilsluttet, vil ikke tilbyde det valg, en vejledning forudsætter. Kontroller det panel, du faktisk har, før du bygger noget som helst op omkring det.

Hvordan en videresendt pakke finder sin vej

Nedstrømsenheder er skjult bag NAT, og Mac'en omskriver deres adresser, før den sender noget opstrøms. Hvis tunnelen på det tidspunkt ejer standardruten, kan de omskrevne pakker sagtens gå gennem den, og det er derfor, ordningen ser ud til at virke i en hurtig test.

Udseende er ikke politik. En VPN-klient til skrivebordet er bygget op om Mac'ens egen trafik, og dens kill switch håndhæver normalt regler for lokale programmer snarere end for et LAN bag maskinen. Når tunnelen falder, kan Mac'en fortsætte med at videresende for sine gæster helt uden en blokeringsregel.

Der er også versionsspørgsmålet. En udbyder, der dokumenterede delingsstøtte på en ældre macOS-version, kan have ændret adfærd siden, og en vejledning, der viser en indbygget VPN-post på kildelisten, beskriver måske en grænseflade, som din nuværende klient aldrig opretter.

Så test vejen i stedet for at stole på designet. Kør en forespørgsel fra den anden enhed, og se den i begge ender, for det er det eneste bevis, der overlever en klientopdatering. En test, du kan gentage efter næste opdatering, er mere værd end en konfiguration, du blot tror på.

Vælg dækningsgrænsen bevidst

Hvis den anden enhed kan køre den godkendte klient, er det den stærkere ordning. Den får sin egen profil, sin egen identitet og sin egen politik, og Mac'en leverer blot det underliggende netværk.

Hvis den ikke kan køre en klient, har du brug for enten en dokumenteret delingsfunktion fra VPN-udbyderen eller en godkendt gateway, der videresender på enhedens vegne. Begge har en ejer og en defineret slutning, hvilket er mere, end et afkrydsningsfelt kan tilbyde.

Arbejdsgivere kræver ofte alligevel modellen med én enhed ad gangen, fordi én maskines session, der repræsenterer fire andre, er en anden tillidsbeslutning end fire tilmeldte enheder.

Hvad du skal verificere, før du lover det

Kontroller den anden enheds faktiske destination, ikke Mac'ens. En privat tjeneste og en offentlig udgang er forskellige tests, og det at bestå den ene siger intet om den anden.

Kontroller begge adressefamilier og navneoversættelsen. En opsætning, der tunnelerer IPv4, men lader IPv6 blive på det fysiske link, giver en enhed, der ser beskyttet ud i en browser og lækker i alt andet.

Kontroller derefter den afbrudte tilstand. Slå tunnelen fra, og gentag testen fra den anden enhed; hvis den stadig når internettet, delte ordningen en forbindelse og delte aldrig en VPN, hvilket er et udmærket resultat, så længe ingen skrev det ned som det andet.