Setter Internett-deling de andre enhetene dine på VPN-en?

Å slå på Internett-deling utvider ikke VPN-en til alt på skrivebordet ditt. De to funksjonene svarer på ulike spørsmål. Deling avgjør hvilken tilkobling som mater Macen og hvilke grensesnitt som deler den tilkoblingen videre, mens en VPN avgjør hvor Macens egen trafikk går. Om den andre enheten arver tunnelen avhenger av ruting, av klientens policy og av hva slusen er villig til å videresende, og det er tre ting delingspanelet ikke vet noe om.

Myten: å dele tilkoblingen deler tunnelen

Når noen sier at det virker, er det de vanligvis har sett at nettbrettet bak Macen lastet en side. Den observasjonen stemmer med flere ulike veier, blant annet en der siden gikk rett ut gjennom den fysiske oppstrømsforbindelsen mens Macens nettleser brukte tunnelen. Én vellykket sideinnlasting skiller ingenting. Den beviser bare at en eller annen vei finnes.

En andre enhet arver ikke en økt. Den får en adresse fra Macen, sender pakker til Macen, og Macen avgjør hva som skal gjøres med dem etter sin egen rutetabell og sin egen brannmurstatus. Den avgjørelsen tas per tilkobling, ikke per enhet. To enheter bak samme Mac kan ta ulike veier når reglene er forskjellige.

Hva delingspanelet faktisk velger

I Systeminnstillinger spør kontrollene for Internett-deling etter en kildetilkobling og etter grensesnittene som andre enheter skal bruke. Kilden er Macens oppstrømsforbindelse, og Apples egen veiledning advarer om at uvøren deling kan forstyrre nettverket du er koblet til.

Ingenting i den dialogen nevner en VPN som sluse for videresendt trafikk. Å velge Ethernet som kilde betyr ikke at tunnelen ignoreres, og det betyr heller ikke at tunnelen brukes; det betyr at Macens fysiske grensesnitt er den erklærte oppstrømsforbindelsen, og at rutetabellen fortsatt avgjør.

De tilgjengelige valgene avhenger også av maskinvaren. En Mac uten Ethernet-port, eller en der en dokk ikke er tilkoblet, vil ikke tilby valget en veiledning forutsetter. Sjekk panelet du faktisk har før du bygger noe rundt det.

Hvordan en videresendt pakke finner veien

Enheter nedstrøms er skjult bak NAT, og Macen skriver om adressene deres før den sender noe oppstrøms. Hvis tunnelen eier standardruten i det øyeblikket, kan de omskrevne pakkene godt gå gjennom den, og det er derfor ordningen ser ut til å virke i en rask test.

Utseende er ikke policy. En VPN-klient for skrivebord er bygget rundt Macens egen trafikk, og dens sikkerhetsbryter håndhever vanligvis regler for lokale applikasjoner og ikke for et LAN bak maskinen. Når tunnelen faller, kan Macen fortsette å videresende for gjestene sine uten noen blokkeringsregel i det hele tatt.

Det er også versjonsspørsmålet. En leverandør som dokumenterte delingsstøtte på en eldre macOS-versjon kan ha endret oppførsel siden, og en veiledning som viser en innebygd VPN-oppføring i kildelisten kan beskrive et grensesnitt din nåværende klient aldri oppretter.

Så test veien i stedet for å stole på designet. Kjør en forespørsel fra den andre enheten og følg den i begge ender, for det er det eneste beviset som overlever en klientoppdatering. En test du kan gjenta etter neste oppdatering er verdt mer enn en konfigurasjon du bare tror på.

Velg dekningsgrensen med vilje

Hvis den andre enheten kan kjøre den godkjente klienten, er det den sterkere ordningen. Den får sin egen profil, sin egen identitet og sin egen policy, og Macen leverer bare det underliggende nettverket.

Hvis den ikke kan kjøre en klient, trenger du enten en dokumentert delingsfunksjon fra VPN-leverandøren eller en godkjent sluse som videresender på enhetens vegne. Begge har en eier og en definert slutt, som er mer enn en avkrysningsboks kan tilby.

Arbeidsgivere krever ofte likevel modellen med én enhet per enhet, fordi én maskins økt som representerer fire andre er en annen tillitsbeslutning enn fire registrerte enheter.

Hva du bør verifisere før du lover det

Sjekk den andre enhetens faktiske mål, ikke Macens. En privat tjeneste og en offentlig utgang er ulike tester, og å bestå den ene sier ingenting om den andre.

Sjekk begge adressefamilier og navneoppslag. Et oppsett som tunnelerer IPv4 mens IPv6 blir liggende på den fysiske forbindelsen, gir en enhet som ser beskyttet ut i en nettleser og lekker i alt annet.

Sjekk så den frakoblede tilstanden. Slå av tunnelen og gjenta testen fra den andre enheten; hvis den fortsatt når internett, delte ordningen en tilkobling og delte aldri en VPN, noe som er et godt resultat så lenge ingen skrev det ned som det andre.