Az internetmegosztás a VPN-re teszi a többi eszközét?

Az internetmegosztás bekapcsolása nem terjeszti ki a VPN-t mindenre az asztalán. A két funkció különböző kérdésekre válaszol. A megosztás eldönti, melyik kapcsolat táplálja a Macet, és mely interfészek adják tovább ezt a kapcsolatot, a VPN pedig eldönti, hová megy a Mac saját forgalma. Hogy a második eszköz örökli-e az alagutat, az útvonalválasztástól, a kliens házirendjétől és attól függ, mit hajlandó az átjáró továbbítani, és ez három olyan dolog, amelyről a megosztási panel semmit sem tud.

A mítosz: a kapcsolat megosztása az alagutat is megosztja

Amikor valaki azt mondja, hogy működik, általában azt látta, hogy a Mac mögötti táblagép betöltött egy oldalt. Ez a megfigyelés több különböző útvonallal is összeegyeztethető, köztük azzal, ahol az oldal egyenesen a fizikai felső kapcsolaton ment ki, miközben a Mac böngészője az alagutat használta. Egyetlen sikeres oldalbetöltés semmit sem különböztet meg. Csak azt bizonyítja, hogy létezik valamilyen útvonal.

A második eszköz nem örököl munkamenetet. Címet kap a Mactől, csomagokat küld a Macnek, a Mac pedig saját útvonalválasztási táblázata és saját tűzfalállapota szerint dönti el, mit tesz velük. Ez a döntés kapcsolatonként születik, nem eszközönként. Két eszköz ugyanazon Mac mögött különböző útvonalakra kerülhet, ha a szabályok eltérnek.

Mit választ valójában a megosztási panel

A Rendszerbeállításokban az internetmegosztás vezérlői forráskapcsolatot és azokat az interfészeket kérdezik, amelyeket a többi eszköz használni fog. A forrás a Mac felső kapcsolata, és az Apple saját útmutatója figyelmeztet, hogy a gondatlan megosztás megzavarhatja a hálózatot, amelyhez csatlakozik.

Ebben a párbeszédablakban semmi sem nevezi meg a VPN-t a továbbított forgalom átjárójaként. Az Ethernet forrásként való kiválasztása nem jelenti azt, hogy az alagutat figyelmen kívül hagyják, és azt sem, hogy az alagutat használják; azt jelenti, hogy a Mac fizikai interfésze a kinyilvánított felső kapcsolat, és továbbra is az útvonalválasztási táblázat dönt.

A rendelkezésre álló lehetőségek a hardvertől is függenek. Egy Ethernet-port nélküli Mac, vagy az, amelyhez nincs dokkoló csatlakoztatva, nem kínálja fel azt a választást, amelyet egy útmutató feltételez. Nézze meg a panelt, amely valóban van, mielőtt bármit is építene rá.

Hogyan találja meg az útját egy továbbított csomag

A lefelé irányuló eszközök a NAT mögött rejtőznek, és a Mac átírja a címeiket, mielőtt bármit felfelé küldene. Ha abban a pillanatban az alagút birtokolja az alapértelmezett útvonalat, az átírt csomagok átmehetnek rajta, és ezért tűnik úgy, hogy a felállás egy gyors próbában működik.

A látszat nem házirend. Az asztali VPN-kliens a Mac saját forgalma köré épül, a biztonsági kapcsolója pedig általában a helyi alkalmazásokra vonatkozó szabályokat érvényesíti, nem a gép mögötti LAN-ra. Amikor az alagút leesik, a Mac továbbra is továbbíthat a vendégei számára minden blokkoló szabály nélkül.

Ott van a verzió kérdése is. Egy szolgáltató, amely egy régebbi macOS-kiadáson dokumentálta a megosztás támogatását, azóta megváltoztathatta a viselkedést, és egy útmutató, amely natív VPN-bejegyzést mutat a forráslistán, olyan interfészt írhat le, amelyet a jelenlegi kliense soha nem hoz létre.

Ezért tesztelje az útvonalat, ahelyett hogy megbízik a tervben. Indítson kérést a második eszközről, és figyelje meg mindkét végén, mert csak ez az egyetlen bizonyíték éli túl a kliensfrissítést. Egy teszt, amelyet a következő frissítés után meg tud ismételni, többet ér, mint egy konfiguráció, amelyben csak hisz.

Válassza meg tudatosan a lefedettség határát

Ha a második eszköz futtatni tudja a jóváhagyott klienst, az az erősebb felállás. Saját profilt, saját identitást és saját házirendet kap, a Mac pedig csak az alatta lévő hálózatot biztosítja.

Ha nem tud klienst futtatni, akkor vagy a VPN-szolgáltató dokumentált megosztási funkciójára van szüksége, vagy egy jóváhagyott átjáróra, amely az eszköz nevében továbbít. Mindkettőnek van tulajdonosa és meghatározott vége, ami több annál, mint amit egy jelölőnégyzet kínálhat.

A munkáltatók gyakran így is az eszközönkénti modellt követelik, mert az, hogy egy gép munkamenete négy másikat képvisel, más bizalmi döntés, mint négy regisztrált eszköz.

Mit ellenőrizzen, mielőtt megígéri

A második eszköz tényleges célját ellenőrizze, nem a Macét. Egy magánszolgáltatás és egy nyilvános kijárat különböző tesztek, és az egyiken való átjutás semmit sem mond a másikról.

Ellenőrizze mindkét címcsaládot és a névfeloldást. Az a beállítás, amely az IPv4-et az alagúton viszi, de az IPv6-ot a fizikai kapcsolaton hagyja, olyan eszközt hoz létre, amely a böngészőben védettnek látszik, és minden másban szivárog.

Ezután ellenőrizze a bontott állapotot. Kapcsolja ki az alagutat, és ismételje meg a tesztet a második eszközről; ha még mindig eléri az internetet, a felállás kapcsolatot osztott meg, és soha nem osztott meg VPN-t, ami jó eredmény mindaddig, amíg valaki nem írta le a másik dologként.