La condivisione di internet mette gli altri dispositivi sulla VPN?

Attivare la condivisione di internet non estende la VPN a tutto ciò che sta sulla scrivania. Le due funzioni rispondono a domande diverse. La condivisione decide quale connessione alimenta il Mac e quali interfacce distribuiscono quella connessione, mentre una VPN decide dove va il traffico del Mac stesso. Se il secondo dispositivo erediti il tunnel dipende dall'instradamento, dalla politica del client e da ciò che il gateway è disposto a inoltrare, e sono tre cose che il pannello di condivisione ignora del tutto.

Il mito: condividere la connessione significa condividere il tunnel

Quando qualcuno dice che funziona, di solito ha osservato che il tablet dietro il Mac ha caricato una pagina. Quell'osservazione è compatibile con diversi percorsi, compreso uno in cui la pagina è uscita direttamente dal collegamento fisico mentre il browser del Mac usava il tunnel. Un caricamento riuscito non distingue nulla. Dimostra soltanto che un percorso esiste.

Un secondo dispositivo non eredita una sessione. Riceve un indirizzo dal Mac, invia pacchetti al Mac e il Mac decide cosa farne in base alla propria tabella di instradamento e al proprio stato del firewall. Questa decisione avviene per connessione e non per dispositivo. Due dispositivi dietro lo stesso Mac possono seguire percorsi diversi quando le regole differiscono.

Che cosa sceglie davvero il pannello di condivisione

Nelle Impostazioni di Sistema, i controlli della condivisione di internet chiedono una connessione di origine e le interfacce che gli altri dispositivi useranno. L'origine è il collegamento del Mac, e la guida di Apple stessa avverte che una condivisione distratta può disturbare la rete a cui siete collegati.

Niente in quella finestra indica una VPN come gateway del traffico inoltrato. Scegliere Ethernet come origine non significa che il tunnel venga ignorato, né significa che il tunnel venga usato; significa che l'interfaccia fisica del Mac è il collegamento dichiarato e che la tabella di instradamento decide ancora.

Le opzioni disponibili dipendono anche dall'hardware. Un Mac senza porta Ethernet, o uno a cui non è collegata una dock, non offrirà la scelta che un tutorial dà per scontata. Controllate il pannello che avete davvero prima di progettare qualcosa attorno a esso.

Come un pacchetto inoltrato trova la sua strada

I dispositivi a valle sono nascosti dietro NAT, e il Mac riscrive i loro indirizzi prima di inviare qualcosa a monte. Se in quel momento il tunnel possiede la rotta predefinita, i pacchetti riscritti possono benissimo attraversarlo, ed è per questo che la configurazione sembra funzionare in una prova rapida.

L'apparenza non è politica. Un client VPN da scrivania è costruito attorno al traffico del Mac stesso, e il suo kill switch di solito applica regole alle applicazioni locali e non a una LAN dietro la macchina. Quando il tunnel cade, il Mac può continuare a inoltrare per i suoi ospiti senza alcuna regola di blocco.

C'è anche la questione della versione. Un fornitore che ha documentato il supporto alla condivisione su una versione precedente di macOS può aver cambiato comportamento da allora, e un tutorial che mostra una voce VPN nativa nell'elenco delle origini potrebbe descrivere un'interfaccia che il vostro client attuale non crea mai.

Provate quindi il percorso invece di fidarvi del progetto. Lanciate una richiesta dal secondo dispositivo e osservatela a entrambe le estremità, perché è l'unica prova che sopravvive a un aggiornamento del client. Un test che potete ripetere dopo il prossimo aggiornamento vale più di una configurazione in cui credete soltanto.

Scegliete il confine di copertura deliberatamente

Se il secondo dispositivo può eseguire il client approvato, questa è la soluzione più solida. Ottiene un proprio profilo, una propria identità e una propria politica, e il Mac fornisce soltanto la rete sottostante.

Se non può eseguire un client, allora vi serve una funzione di condivisione documentata dal fornitore VPN oppure un gateway approvato che inoltri per conto del dispositivo. Entrambi hanno un responsabile e una fine definita, che è più di quanto possa offrire una casella di controllo.

I datori di lavoro spesso esigono comunque il modello per dispositivo, perché la sessione di una macchina che ne rappresenta altre quattro è una decisione di fiducia diversa da quattro dispositivi registrati.

Che cosa verificare prima di prometterlo

Controllate la destinazione reale del secondo dispositivo, non quella del Mac. Un servizio privato e un'uscita pubblica sono test diversi, e superarne uno non dice nulla sull'altro.

Controllate entrambe le famiglie di indirizzi e la risoluzione dei nomi. Una configurazione che incapsula IPv4 ma lascia IPv6 sul collegamento fisico produce un dispositivo che sembra protetto nel browser e perde da ogni altra parte.

Poi controllate lo stato disconnesso. Spegnete il tunnel e ripetete il test dal secondo dispositivo; se raggiunge ancora internet, la configurazione condivideva una connessione e non ha mai condiviso una VPN, il che è un buon esito purché nessuno l'abbia annotato come l'altra cosa.