A compartición de internet pón os seus outros dispositivos na VPN?

Activar a compartición de internet non estende a VPN a todo o que hai no seu escritorio. As dúas funcións responden a preguntas distintas. A compartición decide que conexión alimenta o Mac e que interfaces reparten esa conexión, mentres que unha VPN decide a onde vai o tráfico do propio Mac. Que o segundo dispositivo herde o túnel depende do encamiñamento, da política do cliente e do que a pasarela estea disposta a reenviar, e son tres cousas das que o panel de compartición non sabe nada.

O mito: compartir a conexión comparte o túnel

Cando alguén di que funciona, o que adoita observar é que a tableta situada detrás do Mac cargou unha páxina. Esa observación encaixa con varias rutas distintas, incluída unha na que a páxina saíu directamente polo enlace físico mentres o navegador do Mac usaba o túnel. Unha carga de páxina correcta non distingue nada. Só demostra que existe algunha ruta.

Un segundo dispositivo non herda unha sesión. Recibe un enderezo do Mac, envía paquetes ao Mac e o Mac decide que facer con eles segundo a súa propia táboa de encamiñamento e o seu propio estado de firewall. Esa decisión tómase por conexión e non por dispositivo. Dous dispositivos detrás do mesmo Mac poden tomar camiños distintos cando as regras difiren.

Que escolle en realidade o panel de compartición

Nos Axustes do Sistema, os controis de compartición de internet piden unha conexión de orixe e as interfaces que usarán os demais dispositivos. A orixe é o enlace do Mac, e a propia guía de Apple advirte de que unha compartición descoidada pode alterar a rede á que está conectado.

Nada nese diálogo nomea unha VPN como pasarela do tráfico reenviado. Escoller Ethernet como orixe non significa que se ignore o túnel, nin significa que se use o túnel; significa que a interface física do Mac é o enlace declarado e que a táboa de encamiñamento segue decidindo.

As opcións dispoñibles tamén dependen do hardware. Un Mac sen porto Ethernet, ou un no que non hai unha base conectada, non ofrecerá a opción que un titorial dá por suposta. Revise o panel que realmente ten antes de deseñar nada arredor del.

Como atopa o seu camiño un paquete reenviado

Os dispositivos de baixada quedan ocultos tras NAT, e o Mac reescribe os seus enderezos antes de enviar nada cara arriba. Se nese momento o túnel é dono da ruta predeterminada, os paquetes reescritos poden pasar por el sen problema, e por iso o montaxe parece funcionar nunha proba rápida.

A aparencia non é política. Un cliente VPN de escritorio está construído arredor do tráfico do propio Mac, e o seu interruptor de seguridade adoita aplicar regras para as aplicacións locais e non para unha LAN situada detrás da máquina. Cando cae o túnel, o Mac pode seguir reenviando para os seus convidados sen ningunha regra de bloqueo.

Tamén está a cuestión da versión. Un provedor que documentou a compatibilidade coa compartición nunha versión anterior de macOS pode ter cambiado o comportamento desde entón, e un titorial que mostra unha entrada de VPN nativa na lista de orixes pode describir unha interface que o seu cliente actual nunca crea.

Así que probe a ruta en lugar de confiar no deseño. Lance unha petición desde o segundo dispositivo e obsérvea nos dous extremos, porque é a única proba que sobrevive a unha actualización do cliente. Unha proba que poida repetir tras a próxima actualización vale máis que unha configuración na que só cre.

Escolla o límite de cobertura a propósito

Se o segundo dispositivo pode executar o cliente aprobado, esa é a disposición máis sólida. Obtén o seu propio perfil, a súa propia identidade e a súa propia política, e o Mac só achega a rede subxacente.

Se non pode executar un cliente, necesita ou ben unha función de compartición documentada polo provedor de VPN, ou ben unha pasarela aprobada que reenvíe no nome do dispositivo. Ámbalas dúas teñen un responsable e un final definido, o que é máis do que pode ofrecer unha caixa de verificación.

Os empregadores adoitan esixir de todos os xeitos o modelo por dispositivo, porque a sesión dunha máquina que representa outras catro é unha decisión de confianza distinta de catro dispositivos inscritos.

Que verificar antes de prometelo

Comprobe o destino real do segundo dispositivo, non o do Mac. Un servizo privado e unha saída pública son probas distintas, e superar unha non di nada da outra.

Comprobe ambas as familias de enderezos e a resolución de nomes. Unha montaxe que tuneliza IPv4 pero deixa IPv6 no enlace físico produce un dispositivo que parece protexido nun navegador e filtra en todo o demais.

Despois comprobe o estado desconectado. Apague o túnel e repita a proba desde o segundo dispositivo; se segue chegando a internet, a montaxe compartía unha conexión e nunca compartiu unha VPN, o que é un bo resultado sempre que ninguén o anotase como o outro.