インターネット共有で他の機器もVPNにつながる？

インターネット共有をオンにしても、机上のすべてがVPNに包まれるわけではない。この二つの機能は別の問いに答えるものだ。共有は、どの接続がMacに供給され、どのインターフェイスがその接続を配るかを決めるが、VPNはMac自身の通信がどこへ向かうかを決める。二台目がトンネルを引き継ぐかどうかは、経路、クライアントのポリシー、そしてゲートウェイが転送を許す範囲にかかっており、共有パネルはその三つについて何も知らない。

俗説：接続を共有すればトンネルも共有される

「動いた」と言う人がたいてい目撃しているのは、Macの後ろのタブレットがページを読み込めたという事実だ。その観察は、ページが物理的な上流回線から直接出て行き、Macのブラウザだけがトンネルを使っていた場合も含め、複数の経路と両立する。ページが一度読めたというだけでは、何も区別できない。何らかの経路が存在することしか示していない。

二台目の機器はセッションを引き継がない。Macからアドレスを受け取り、Macへパケットを送り、Macが自身の経路テーブルとファイアウォールの状態に従ってその扱いを決める。その判断は機器ごとではなく接続ごとに行われる。同じMacの後ろにある二台の機器でも、規則が違えば別の経路を通りうる。

共有パネルが実際に選ぶもの

システム設定のインターネット共有は、元の接続と、他の機器が使うインターフェイスを尋ねる。元になるのはMacの上流回線であり、Apple自身のガイドも、不注意な共有は接続中のネットワークを乱しうると警告している。

そのダイアログのどこにも、転送される通信のゲートウェイとしてVPNを指定する項目はない。元としてEthernetを選んでも、トンネルが無視されるわけでも、使われるわけでもなく、Macの物理インターフェイスが上流回線として宣言され、判断は今も経路テーブルが下すというだけだ。

選べる項目はハードウェアにも左右される。EthernetポートのないMacや、ドックが接続されていないMacでは、入門記事が前提にしている選択肢は現れない。その周りに何かを設計する前に、実際にあるパネルを確認してほしい。

転送されたパケットはどう経路を見つけるか

下流の機器はNATの背後に隠れ、Macは上流へ何かを送る前にそのアドレスを書き換える。その時点でトンネルが既定経路を持っていれば、書き換えられたパケットはトンネルを通ることも十分あり得るため、短い試験では、この構成が動いているように見える。

見かけはポリシーではない。デスクトップ向けVPNクライアントはMac自身の通信を中心に作られており、そのキルスイッチは通常、機械の後ろのLANではなくローカルなアプリに対して規則を適用する。トンネルが切れても、Macは遮断規則を一切持たないまま、ゲストのために転送を続けるかもしれない。

バージョンの問題もある。古いmacOSで共有の対応を記した提供元が、その後挙動を変えているかもしれず、元の一覧に標準のVPN項目が表示されるという記事が、現在のクライアントでは決して作られないインターフェイスを説明していることもある。

だから設計を信じるのではなく、経路を試してほしい。二台目の機器から要求を出して両端で観察すること、クライアントの更新を越えて残る証拠はそれだけだからだ。次の更新のあとに繰り返せる試験は、ただ信じている設定より価値がある。

適用範囲の境界は意識して選ぶ

二台目の機器が承認済みのクライアントを動かせるなら、そちらのほうが強い構成だ。独自のプロファイル、独自の身元、独自のポリシーを持ち、Macは下のネットワークを提供するだけになる。

クライアントを動かせないなら、VPN提供元が文書化した共有機能か、機器の代わりに転送する承認済みゲートウェイのどちらかが必要だ。どちらにも責任者と定められた終わりがあり、それはチェックボックスが出せるものより多い。

雇用主はたいてい、一台のセッションが他の四台を代表するのは四台を登録するのとは別の信頼の判断だという理由で、どのみち機器ごとの方式を求める。

約束する前に何を確かめるか

確かめるのは二台目の実際の宛先であり、Macの宛先ではない。社内サービスと公の出口は別の試験であり、片方に通っても他方については何も言えない。

アドレスの両方の族と名前解決を確かめてほしい。IPv4だけをトンネルし、IPv6を物理リンクに残す構成は、ブラウザでは守られて見え、それ以外のすべてで漏れる機器を生む。

そのうえで、切断した状態を確かめる。トンネルを切り、二台目の機器から同じ試験を繰り返したうえで、それでもインターネットに出られるなら、その構成は接続を共有していただけでVPNは共有していなかったわけで、誰かがそう書き残していない限り、悪くない結果だ。