Le partage de connexion place-t-il vos autres appareils sur le VPN ?

Activer le partage de connexion n’étend pas le VPN à tout ce qui se trouve sur votre bureau. Les deux fonctions répondent à des questions différentes. Le partage décide quelle connexion alimente le Mac et quelles interfaces distribuent cette connexion, tandis qu’un VPN décide où va le trafic du Mac lui-même. Que le second appareil hérite du tunnel dépend du routage, de la stratégie du client et de ce que la passerelle accepte de transmettre, et ce sont trois choses dont le panneau de partage ne sait rien.

Le mythe : partager la connexion revient à partager le tunnel

Quand quelqu’un affirme que cela fonctionne, ce qu’il a généralement observé, c’est que la tablette derrière le Mac a chargé une page. Cette observation est compatible avec plusieurs chemins différents, dont celui où la page est sortie directement par la liaison physique pendant que le navigateur du Mac utilisait le tunnel. Un chargement de page réussi ne distingue rien. Il prouve seulement qu’un chemin existe.

Un second appareil n’hérite pas d’une session. Il reçoit une adresse du Mac, envoie des paquets au Mac, et le Mac décide quoi en faire selon sa propre table de routage et son propre état de pare-feu. Cette décision se prend par connexion et non par appareil. Deux appareils derrière le même Mac peuvent emprunter des chemins différents lorsque les règles diffèrent.

Ce que le panneau de partage choisit réellement

Dans les Réglages Système, les commandes de partage de connexion demandent une connexion source et les interfaces que les autres appareils utiliseront. La source est la liaison montante du Mac, et le guide d’Apple lui-même avertit qu’un partage imprudent peut perturber le réseau auquel vous êtes rattaché.

Rien dans ce dialogue ne désigne un VPN comme passerelle du trafic transmis. Choisir Ethernet comme source ne signifie pas que le tunnel est ignoré, ni qu’il est utilisé ; cela signifie que l’interface physique du Mac est la liaison montante déclarée, et que la table de routage décide toujours.

Les options disponibles dépendent aussi du matériel. Un Mac sans port Ethernet, ou dont la station d’accueil n’est pas connectée, n’offrira pas le choix qu’un tutoriel suppose. Vérifiez le panneau que vous avez réellement avant de concevoir quoi que ce soit autour de lui.

Comment un paquet transmis trouve son chemin

Les appareils en aval sont cachés derrière NAT, et le Mac réécrit leurs adresses avant d’envoyer quoi que ce soit en amont. Si le tunnel possède la route par défaut à ce moment-là, les paquets réécrits peuvent fort bien le traverser, et c’est pourquoi le montage semble fonctionner lors d’un test rapide.

L’apparence n’est pas la stratégie. Un client VPN de bureau est bâti autour du trafic du Mac lui-même, et son coupe-circuit applique généralement des règles aux applications locales plutôt qu’au réseau local situé derrière la machine. Quand le tunnel tombe, le Mac peut continuer à transmettre pour ses invités sans la moindre règle de blocage.

Il y a aussi la question de la version. Un fournisseur qui a documenté la prise en charge du partage sur une ancienne version de macOS a pu changer de comportement depuis, et un tutoriel qui montre une entrée VPN native dans la liste des sources décrit peut-être une interface que votre client actuel ne crée jamais.

Testez donc le chemin au lieu de faire confiance à la conception. Lancez une requête depuis le second appareil et observez-la aux deux extrémités, car c’est la seule preuve qui survit à une mise à jour du client. Un test que vous pouvez répéter après la prochaine mise à jour vaut mieux qu’une configuration à laquelle vous croyez seulement.

Choisissez la limite de couverture délibérément

Si le second appareil peut exécuter le client approuvé, c’est le montage le plus solide. Il obtient son propre profil, sa propre identité et sa propre stratégie, et le Mac ne fournit que le réseau sous-jacent.

S’il ne peut pas exécuter de client, il vous faut soit une fonction de partage documentée par le fournisseur VPN, soit une passerelle approuvée qui transmet pour le compte de l’appareil. Les deux ont un responsable et une fin définie, ce qui est plus qu’une case à cocher peut offrir.

Les employeurs exigent de toute façon souvent le modèle par appareil, car la session d’une machine représentant quatre autres est une décision de confiance différente de quatre appareils enrôlés.

Ce qu’il faut vérifier avant de le promettre

Vérifiez la destination réelle du second appareil, pas celle du Mac. Un service privé et une sortie publique sont deux tests différents, et réussir l’un ne dit rien de l’autre.

Vérifiez les deux familles d’adresses et la résolution de noms. Un montage qui tunnelise l’IPv4 tout en laissant l’IPv6 sur la liaison physique produit un appareil qui semble protégé dans un navigateur et fuit dans tout le reste.

Vérifiez ensuite l’état déconnecté. Coupez le tunnel et répétez le test depuis le second appareil ; s’il atteint encore internet, le montage partageait une connexion et n’a jamais partagé un VPN, ce qui est un bon résultat tant que personne ne l’a consigné comme l’autre chose.