Deckt das VPN des Smartphones den Laptop am Hotspot ab?

Der Browser des Telefons meldet eine Adresse in einem anderen Land, und der Laptop am Hotspot meldet weiterhin den Mobilfunkanbieter. Keine der beiden Beobachtungen ist falsch, und der Widerspruch, den Menschen sehen, entsteht aus der Annahme, dass das Teilen einer Internetverbindung auch einen Tunnel teilt. Drei Bedingungen entscheiden, ob Tethering-Verkehr in das VPN des Telefons gelangt, und nur eine davon betrifft die Einstellungen des Telefons. Arbeiten Sie sie durch, bevor Sie nach einer Freigabefunktion suchen, die es vielleicht nicht gibt.

Was der Hotspot tatsächlich weiterleitet

Tethering gibt dem Laptop einen Weg ins Internet über die mobile Schnittstelle des Telefons. Das Telefon leitet diese Pakete weiter und übersetzt im Normalfall die Adressen des Laptops beim Verlassen. Das ist eine Weiterleitungsfunktion, und Weiterleitung ist nicht dasselbe wie das Einfangen von Verkehr in einem Tunnel.

Ob die weitergeleiteten Pakete dann in das VPN des Telefons gelangen, hängt davon ab, wie die VPN-Anwendung ihre Routen und Regeln eingerichtet hat. Eine Anwendung, die nur am Telefon entstandenen Verkehr einfängt, sieht keine Pakete, die der Kernel im Namen eines angebundenen Clients weiterleitet.

Deshalb koexistieren die beiden Beobachtungen so leicht. Der Browser des Telefons nutzt den Tunnel, die Pakete des Laptops nehmen den Weiterleitungspfad, und nichts auf einem der beiden Bildschirme belügt Sie. Die beiden Geräte stellen derselben Schnittstelle einfach nicht dieselbe Frage. Sobald Sie diese Trennung sehen, wird die Beschwerde „warum ist mein Laptop nicht geschützt“ zu einer Designfrage statt zu einem Fehler.

Bedingung eins: welchen Tunnel das Telefon betreibt

Bestimmen Sie zunächst den Umfang des VPN auf dem Telefon. Ein Tunnel für das gesamte Gerät, ein Tunnel pro Anwendung und ein Proxy nur für den Browser sind drei verschiedene Dinge, und nur das erste hat eine Chance, weitergeleiteten Verkehr abzudecken. Schauen Sie auf die Beschreibung des Anbieters, was die App erfasst, statt auf das Symbol in der Statusleiste.

Prüfen Sie dann, was der Anbieter zum Tethering sagt. Manche dokumentieren ausdrücklich, dass gewöhnlicher Hotspot-Verkehr außerhalb des Tunnels liegt, was die ehrliche Antwort für einen Verbraucherdienst ist, der nie versprochen hat, ein Router zu sein. Proton VPNs Anleitung zum Android-Hotspot ist ein veröffentlichtes Beispiel für diese Unterscheidung; die eigene Dokumentation Ihres Anbieters ist die, die für Ihr Gerät zählt.

Ein VPN-Symbol in der Statusleiste sagt Ihnen, dass das Telefon einen Tunnel hat. Es sagt Ihnen nicht, welche Schnittstellen dieser Tunnel abdeckt, und in dieser Lücke lebt der größte Teil der Verwirrung.

Bedingung zwei: ob Tethering eingeschlossen ist

Selbst ein Tunnel für das gesamte Gerät kann weitergeleiteten Verkehr konstruktionsbedingt ausschließen, weil die Routingregeln der Anwendung für lokal erzeugte Pakete geschrieben wurden. Angebundene Clients einzubeziehen erfordert normalerweise, dass der Anbieter dies ausdrücklich unterstützt, oder ein gerootetes Gerät mit eigenen Regeln, die die meisten Menschen nicht versuchen sollten.

Der Wechsel von WLAN auf USB ändert daran nichts. Das Tethering-Subsystem unterstützt mehrere Transportwege, aber der Transport ist nicht die Routingentscheidung. Ein Kabel macht die Verbindung stabiler und tut nichts für die Tunnelabdeckung, weshalb der Rat, „einfach USB zu verwenden“, eine andere Frage beantwortet als die gestellte.

Alte Rezepte, die Firewall-Regeln leeren und bestimmte Schnittstellennamen annehmen, sind keine übertragbaren Anleitungen. Sie wurden für ein bestimmtes Gerät, ein bestimmtes ROM und ein bestimmtes Jahr geschrieben, und sie auf ein aktuelles Handy anzuwenden, wird eher das Tethering brechen als einen Tunnel erweitern.

Bedingung drei: welche Identität das Ziel braucht

Das ist die Bedingung, die das Design meist entscheidet, und sie hat nichts mit Hotspots zu tun. Muss der Laptop ein Netzwerk eines Arbeitgebers erreichen, gehört die entscheidende Identität zum Laptop, und ein Verbraucher-VPN auf dem Telefon kann sie nicht liefern.

ip -brief addr show
curl -sS https://ifconfig.me/ip
dig +short myip.opendns.com @resolver1.opendns.com

Führen Sie diese Befehle auf dem Laptop aus, nicht auf dem Telefon, denn die Frage ist, was das Ziel von dem Gerät sieht, das Sie interessiert. Eine öffentliche Adresse, die das Telefon meldet, beantwortet eine Frage über das Telefon.

Selbst ein übereinstimmendes Ergebnis vom Laptop ist begrenzter Beweis. Namensauflösung, andere Anwendungen und das Verhalten bei Tunnelausfall gehören alle zu dem Gerät, dessen Abdeckung Sie testen, und eine einzelne HTTP-Anfrage charakterisiert nichts davon. Testen Sie die Anwendung, die Ihnen wirklich wichtig ist, und testen Sie sie erneut, während der Tunnel absichtlich getrennt ist.

Was stattdessen zu tun ist, nach Aufwand geordnet

Die billigste richtige Antwort ist, das VPN auf dem Laptop auszuführen. Verbinden Sie ihn mit dem Hotspot, lassen Sie das Telefon die zugrunde liegende Mobilverbindung liefern und bauen Sie den Tunnel von dem Gerät auf, das die Identität braucht. Das funktioniert mit Arbeitgeber-VPNs, und das ist der Fall, der am meisten zählt.

Kann das Gerät überhaupt keinen VPN-Client ausführen, suchen Sie ein ausdrücklich unterstütztes Freigabe-Gateway oder einen Reiserouter, der den Tunnel beendet. Lesen Sie dessen Dokumentation für die tatsächliche Plattform, statt anzunehmen, eine Hotspot-Funktion sei dieses Gateway.

Ist beides nicht möglich, akzeptieren Sie die Einschränkung, statt sie mit einem Rezept zu umgehen, das Sie nicht pflegen können. Das VPN des Telefons deckt das Telefon ab; der Laptop braucht seinen eigenen Weg, und das vorher zu wissen ist mehr wert als ein Nachmittag mit Schnittstellenexperimenten. Dokumentieren Sie die Regelung, damit die nächste Person sie nicht während eines Vorfalls neu entdeckt. Eine Zeile im Team-Wiki genügt.