La VPN del telefono copre il portatile sul suo hotspot?

Il browser del telefono segnala un indirizzo in un altro paese e il portatile collegato al suo hotspot segnala ancora l'operatore mobile. Nessuna delle due osservazioni è sbagliata, e la contraddizione che le persone vedono nasce dall'assumere che condividere una connessione internet significhi condividere anche un tunnel. Tre condizioni decidono se il traffico del dispositivo collegato entra nella VPN del telefono, e solo una riguarda le impostazioni del telefono. Passale in rassegna prima di cercare una funzione di condivisione che potrebbe non esistere.

Che cosa inoltra davvero l'hotspot

Il tethering dà al portatile un percorso verso internet attraverso l'interfaccia mobile del telefono. Il telefono inoltra quei pacchetti e, nel caso ordinario, traduce gli indirizzi del portatile quando escono. È una funzione di inoltro, e inoltrare non è la stessa cosa che catturare il traffico in un tunnel.

Se i pacchetti inoltrati entrano poi nella VPN del telefono dipende da come l'applicazione VPN ha installato le sue rotte e regole. Un'applicazione che cattura solo il traffico originato sul telefono non vedrà i pacchetti che il kernel inoltra per conto di un client collegato.

Ecco perché le due osservazioni convivono così facilmente. Il browser del telefono usa il tunnel, i pacchetti del portatile seguono il percorso di inoltro, e nulla in nessuna delle due schermate vi mente. I due dispositivi semplicemente non pongono la stessa domanda alla stessa interfaccia. Una volta vista questa separazione, la lamentela «perché il mio portatile non è protetto» diventa una questione di progettazione e non un bug.

Prima condizione: quale tunnel esegue il telefono

Iniziate identificando l'ambito della VPN sul telefono. Un tunnel per l'intero dispositivo, un tunnel per applicazione e un proxy solo per il browser sono tre cose diverse, e solo il primo ha qualche possibilità di coprire il traffico inoltrato. Guardate la descrizione del fornitore su ciò che l'app cattura, non l'icona nella barra di stato.

Poi verificate che cosa dice il fornitore sul tethering. Alcuni documentano esplicitamente che il traffico ordinario dell'hotspot è fuori dal tunnel, che è la risposta onesta per un servizio consumer che non ha mai promesso di essere un router. La guida di Proton VPN per l'hotspot su Android è un esempio pubblicato di questa distinzione; la documentazione del vostro fornitore è quella che conta per il vostro dispositivo.

Un'icona VPN nella barra di stato vi dice che il telefono ha un tunnel. Non vi dice quali interfacce copra quel tunnel, ed è in questo divario che vive la maggior parte della confusione.

Seconda condizione: se il tethering è incluso

Anche un tunnel per l'intero dispositivo può escludere per progetto il traffico inoltrato, perché le regole di instradamento dell'applicazione sono state scritte per pacchetti generati localmente. Includere i client collegati di solito richiede che il fornitore lo supporti esplicitamente, oppure un dispositivo con root e regole personalizzate che la maggior parte delle persone non dovrebbe tentare.

Passare dal Wi-Fi all'USB non cambia questo. Il sottosistema di tethering supporta diversi trasporti, ma il trasporto non è la decisione di instradamento. Un cavo rende il collegamento più stabile e non fa nulla per la copertura del tunnel, ed è per questo che il consiglio «usa semplicemente l'USB» risponde a una domanda diversa da quella posta.

Le vecchie ricette che svuotano le regole del firewall e presumono nomi di interfaccia precisi non sono istruzioni portabili. Sono state scritte per un dispositivo preciso, una ROM precisa e un anno preciso, e applicarle a un telefono attuale ha più probabilità di rompere il tethering che di estendere un tunnel.

Terza condizione: quale identità richiede la destinazione

Questa è la condizione che di solito risolve il progetto, e non ha nulla a che vedere con gli hotspot. Se il portatile deve raggiungere la rete di un datore di lavoro, l'identità che conta appartiene al portatile, e una VPN consumer sul telefono non può fornirla.

ip -brief addr show
curl -sS https://ifconfig.me/ip
dig +short myip.opendns.com @resolver1.opendns.com

Eseguite quei comandi sul portatile, non sul telefono, perché la domanda è che cosa vede la destinazione dal dispositivo che vi interessa. Un indirizzo pubblico riportato dal telefono risponde a una domanda sul telefono.

Anche un risultato coincidente dal portatile è una prova limitata. La risoluzione dei nomi, le altre applicazioni e il comportamento quando il tunnel fallisce appartengono al dispositivo di cui state testando la copertura, e una sola richiesta HTTP non caratterizza nessuna di queste cose. Testate l'applicazione che vi interessa davvero, poi testatela di nuovo con il tunnel deliberatamente disconnesso.

Che cosa fare invece, in ordine di sforzo

La risposta corretta più economica è eseguire la VPN sul portatile. Colleghiamolo all'hotspot, lasciate che il telefono fornisca la connessione mobile sottostante e stabilite il tunnel dal dispositivo che ha bisogno dell'identità. Questo funziona con le VPN aziendali, che è il caso che conta di più.

Se il dispositivo non può eseguire alcun client VPN, cercate un gateway di condivisione esplicitamente supportato o un router da viaggio che termini il tunnel. Leggete la sua documentazione per la piattaforma reale invece di presumere che una funzione hotspot sia quel gateway.

Se nessuno dei due è possibile, accettate il limite invece di aggirarlo con una ricetta che non potete mantenere. La VPN del telefono copre il telefono; il portatile ha bisogno del proprio percorso, e saperlo in anticipo vale più di un pomeriggio di esperimenti sulle interfacce. Documentate l'accordo perché la persona successiva non lo riscopra durante un incidente. Una riga nel wiki del team basta.