Bringt Internetfreigabe Ihre anderen Geräte ins VPN?

Internetfreigabe einzuschalten dehnt das VPN nicht auf alles auf Ihrem Schreibtisch aus. Die beiden Funktionen beantworten verschiedene Fragen. Die Freigabe entscheidet, welche Verbindung den Mac versorgt und welche Schnittstellen diese Verbindung weitergeben, während ein VPN entscheidet, wohin der eigene Verkehr des Macs geht. Ob das zweite Gerät den Tunnel erbt, hängt vom Routing ab, von der Richtlinie des Clients und davon, was das Gateway weiterzuleiten bereit ist, und das sind drei Dinge, von denen das Freigabe-Fenster nichts weiß.

Der Mythos: Wer die Verbindung teilt, teilt den Tunnel

Wenn jemand sagt, es funktioniere, hat er meist beobachtet, dass das Tablet hinter dem Mac eine Seite geladen hat. Diese Beobachtung passt zu mehreren verschiedenen Wegen, auch zu einem, bei dem die Seite direkt über den physischen Uplink hinausging, während der Browser des Macs den Tunnel nutzte. Ein erfolgreicher Seitenaufruf unterscheidet nichts. Er belegt nur, dass irgendein Weg existiert.

Ein zweites Gerät erbt keine Sitzung. Es bekommt eine Adresse vom Mac, schickt Pakete an den Mac, und der Mac entscheidet nach seiner eigenen Routing-Tabelle und seinem eigenen Firewall-Zustand, was damit geschieht. Diese Entscheidung fällt pro Verbindung und nicht pro Gerät. Zwei Geräte hinter demselben Mac können verschiedene Wege nehmen, wenn die Regeln verschieden sind.

Was das Freigabe-Fenster tatsächlich auswählt

In den Systemeinstellungen verlangt die Internetfreigabe eine Quellverbindung und die Schnittstellen, die andere Geräte nutzen sollen. Die Quelle ist der Uplink des Macs, und Apples eigener Leitfaden warnt davor, dass unachtsames Freigeben das Netz stören kann, mit dem Sie verbunden sind.

Nichts in diesem Dialog nennt ein VPN als Gateway für weitergeleiteten Verkehr. Ethernet als Quelle zu wählen heißt nicht, dass der Tunnel ignoriert wird, und es heißt auch nicht, dass der Tunnel genutzt wird; es heißt, dass die physische Schnittstelle des Macs der erklärte Uplink ist und die Routing-Tabelle weiterhin entscheidet.

Die verfügbaren Optionen hängen auch von der Hardware ab. Ein Mac ohne Ethernet-Anschluss oder einer, an dem kein Dock hängt, bietet die Wahl nicht an, die ein Tutorial voraussetzt. Prüfen Sie das Fenster, das Sie tatsächlich haben, bevor Sie irgendetwas darum herum entwerfen.

Wie ein weitergeleitetes Paket seinen Weg findet

Geräte stromabwärts sind hinter NAT verborgen, und der Mac schreibt ihre Adressen um, bevor er etwas stromaufwärts sendet. Gehört der Tunnel in diesem Moment die Standardroute, können die umgeschriebenen Pakete durchaus durch ihn laufen, und deshalb scheint die Anordnung in einem schnellen Test zu funktionieren.

Schein ist keine Richtlinie. Ein Desktop-VPN-Client ist um den eigenen Verkehr des Macs herum gebaut, und sein Kill Switch setzt Regeln meist für lokale Anwendungen durch und nicht für ein LAN hinter der Maschine. Fällt der Tunnel aus, kann der Mac für seine Gäste weiterleiten, ganz ohne blockierende Regel.

Es gibt auch die Versionsfrage. Ein Anbieter, der die Freigabeunterstützung für eine ältere macOS-Version dokumentiert hat, kann das Verhalten seither geändert haben, und ein Tutorial, das einen nativen VPN-Eintrag in der Quellenliste zeigt, beschreibt womöglich eine Schnittstelle, die Ihr aktueller Client nie erzeugt.

Testen Sie also den Weg, statt dem Entwurf zu vertrauen. Starten Sie eine Anfrage vom zweiten Gerät und beobachten Sie sie an beiden Enden, denn das ist der einzige Beweis, der ein Client-Update übersteht. Ein Test, den Sie nach dem nächsten Update wiederholen können, ist mehr wert als eine Konfiguration, an die Sie nur glauben.

Wählen Sie die Abgrenzung der Abdeckung bewusst

Kann das zweite Gerät den freigegebenen Client ausführen, ist das die stärkere Anordnung. Es erhält ein eigenes Profil, eine eigene Identität und eine eigene Richtlinie, und der Mac liefert nur das zugrunde liegende Netz.

Kann es keinen Client ausführen, brauchen Sie entweder eine dokumentierte Freigabefunktion des VPN-Anbieters oder ein freigegebenes Gateway, das für das Gerät weiterleitet. Beide haben einen Verantwortlichen und ein definiertes Ende, was mehr ist, als ein Kontrollkästchen bieten kann.

Arbeitgeber verlangen ohnehin oft das Modell pro Gerät, weil die Sitzung einer Maschine, die vier andere vertritt, eine andere Vertrauensentscheidung ist als vier registrierte Geräte.

Was Sie prüfen sollten, bevor Sie es versprechen

Prüfen Sie das tatsächliche Ziel des zweiten Geräts, nicht das des Macs. Ein privater Dienst und ein öffentlicher Ausgang sind verschiedene Tests, und das Bestehen des einen sagt nichts über den anderen.

Prüfen Sie beide Adressfamilien und die Namensauflösung. Eine Einrichtung, die IPv4 tunnelt, IPv6 aber auf der physischen Verbindung lässt, erzeugt ein Gerät, das im Browser geschützt aussieht und in allem anderen leckt.

Prüfen Sie dann den getrennten Zustand. Schalten Sie den Tunnel aus und wiederholen Sie den Test vom zweiten Gerät; erreicht es weiterhin das Internet, dann teilte die Anordnung eine Verbindung und nie ein VPN, was ein gutes Ergebnis ist, solange es niemand als das andere aufschreibt.