¿La compartición de internet pone sus otros dispositivos en la VPN?

Activar la compartición de internet no extiende la VPN a todo lo que hay en su escritorio. Las dos funciones responden a preguntas distintas. La compartición decide qué conexión alimenta al Mac y qué interfaces reparten esa conexión, mientras que una VPN decide a dónde va el tráfico del propio Mac. Que el segundo dispositivo herede el túnel depende del enrutado, de la política del cliente y de lo que la puerta de enlace esté dispuesta a reenviar, y son tres cosas de las que el panel de compartición no sabe nada.

El mito: compartir la conexión comparte el túnel

Cuando alguien dice que funciona, lo que suele haber observado es que la tableta situada detrás del Mac cargó una página. Esa observación encaja con varias rutas distintas, incluida una en la que la página salió directamente por el enlace físico mientras el navegador del Mac usaba el túnel. Una carga de página correcta no distingue nada. Solo demuestra que existe alguna ruta.

Un segundo dispositivo no hereda una sesión. Recibe una dirección del Mac, envía paquetes al Mac y el Mac decide qué hacer con ellos según su propia tabla de enrutado y su propio estado de cortafuegos. Esa decisión se toma por conexión y no por dispositivo. Dos dispositivos detrás del mismo Mac pueden tomar caminos distintos cuando las reglas difieren.

Qué elige en realidad el panel de compartición

En Ajustes del Sistema, los controles de compartición de internet piden una conexión de origen y las interfaces que usarán los demás dispositivos. El origen es el enlace del Mac, y la propia guía de Apple advierte de que una compartición descuidada puede alterar la red a la que está conectado.

Nada en ese diálogo nombra una VPN como puerta de enlace del tráfico reenviado. Elegir Ethernet como origen no significa que el túnel se ignore, ni significa que el túnel se use; significa que la interfaz física del Mac es el enlace declarado y que la tabla de enrutado sigue decidiendo.

Las opciones disponibles también dependen del hardware. Un Mac sin puerto Ethernet, o uno en el que no hay una base conectada, no ofrecerá la opción que un tutorial da por supuesta. Revise el panel que realmente tiene antes de diseñar nada en torno a él.

Cómo encuentra su camino un paquete reenviado

Los dispositivos de bajada quedan ocultos tras NAT, y el Mac reescribe sus direcciones antes de enviar nada hacia arriba. Si en ese momento el túnel es dueño de la ruta predeterminada, los paquetes reescritos pueden pasar por él sin problema, y por eso el montaje parece funcionar en una prueba rápida.

La apariencia no es política. Un cliente VPN de escritorio está construido en torno al tráfico del propio Mac, y su interruptor de seguridad suele aplicar reglas para las aplicaciones locales y no para una LAN situada detrás de la máquina. Cuando el túnel cae, el Mac puede seguir reenviando para sus invitados sin ninguna regla de bloqueo.

También está la cuestión de la versión. Un proveedor que documentó la compatibilidad con la compartición en una versión anterior de macOS puede haber cambiado su comportamiento desde entonces, y un tutorial que muestra una entrada de VPN nativa en la lista de orígenes puede describir una interfaz que su cliente actual nunca crea.

Así que pruebe la ruta en lugar de confiar en el diseño. Lance una petición desde el segundo dispositivo y obsérvela en ambos extremos, porque es la única prueba que sobrevive a una actualización del cliente. Una prueba que pueda repetir tras la próxima actualización vale más que una configuración en la que solo cree.

Elija el límite de cobertura a propósito

Si el segundo dispositivo puede ejecutar el cliente aprobado, esa es la disposición más sólida. Obtiene su propio perfil, su propia identidad y su propia política, y el Mac solo aporta la red subyacente.

Si no puede ejecutar un cliente, necesita o bien una función de compartición documentada por el proveedor de VPN, o bien una puerta de enlace aprobada que reenvíe en nombre del dispositivo. Ambas tienen un responsable y un final definido, lo que es más de lo que puede ofrecer una casilla de verificación.

Los empleadores suelen exigir de todos modos el modelo por dispositivo, porque la sesión de una máquina que representa a otras cuatro es una decisión de confianza distinta de cuatro dispositivos inscritos.

Qué verificar antes de prometerlo

Compruebe el destino real del segundo dispositivo, no el del Mac. Un servicio privado y una salida pública son pruebas distintas, y superar una no dice nada de la otra.

Compruebe ambas familias de direcciones y la resolución de nombres. Un montaje que tuneliza IPv4 pero deja IPv6 en el enlace físico produce un dispositivo que parece protegido en un navegador y filtra en todo lo demás.

Después compruebe el estado desconectado. Apague el túnel y repita la prueba desde el segundo dispositivo; si sigue llegando a internet, el montaje compartía una conexión y nunca compartió una VPN, lo cual es un buen resultado siempre que nadie lo haya anotado como lo otro.