Dekt de VPN van je telefoon de laptop op zijn hotspot?

De browser van de telefoon meldt een adres in een ander land en de laptop op zijn hotspot meldt nog steeds de mobiele provider. Geen van beide waarnemingen is fout, en de tegenstrijdigheid die mensen zien komt uit de aanname dat het delen van een internetverbinding ook een tunnel deelt. Drie voorwaarden bepalen of verkeer van een aangesloten apparaat in de VPN van de telefoon komt, en slechts één daarvan gaat over de instellingen van de telefoon. Loop ze door voordat je zoekt naar een deelfunctie die misschien niet bestaat.

Wat de hotspot feitelijk doorstuurt

Tethering geeft de laptop een route naar internet via de mobiele interface van de telefoon. De telefoon stuurt die pakketten door en vertaalt normaal gesproken de adressen van de laptop wanneer ze vertrekken. Dat is een doorstuurfunctie, en doorsturen is niet hetzelfde als verkeer in een tunnel vangen.

Of de doorgestuurde pakketten daarna in de VPN van de telefoon komen, hangt af van hoe de VPN-applicatie zijn routes en regels heeft geïnstalleerd. Een applicatie die alleen verkeer opvangt dat op de telefoon ontstaat, ziet geen pakketten die de kernel namens een aangesloten client doorstuurt.

Daarom bestaan de twee waarnemingen zo gemakkelijk naast elkaar. De browser van de telefoon zelf gebruikt de tunnel, de pakketten van de laptop nemen de doorstuurroute, en niets op een van beide schermen liegt tegen je. De twee apparaten stellen simpelweg niet dezelfde vraag aan dezelfde interface. Zodra je die splitsing ziet, wordt de klacht “waarom is mijn laptop niet beschermd” een ontwerpvraag in plaats van een bug.

Voorwaarde één: welke tunnel de telefoon draait

Begin met het bepalen van de reikwijdte van de VPN op de telefoon. Een tunnel voor het hele apparaat, een tunnel per applicatie en een proxy alleen voor de browser zijn drie verschillende dingen, en alleen de eerste heeft enige kans om doorgestuurd verkeer te dekken. Kijk naar de beschrijving van de provider over wat de app opvangt, niet naar het pictogram in de statusbalk.

Controleer daarna wat de provider over tethering zegt. Sommige documenteren uitdrukkelijk dat gewoon hotspotverkeer buiten de tunnel valt, wat het eerlijke antwoord is voor een consumentendienst die nooit heeft beloofd een router te zijn. De handleiding van Proton VPN voor Android-hotspot is een gepubliceerd voorbeeld van dat onderscheid; de documentatie van je eigen provider is degene die voor jouw apparaat telt.

Een VPN-pictogram in de statusbalk vertelt je dat de telefoon een tunnel heeft. Het vertelt je niet welke interfaces die tunnel dekt, en in die leemte leeft het grootste deel van de verwarring.

Voorwaarde twee: of tethering is inbegrepen

Zelfs een tunnel voor het hele apparaat kan doorgestuurd verkeer ontwerpmatig uitsluiten, omdat de routeringsregels van de applicatie zijn geschreven voor lokaal gegenereerde pakketten. Aangesloten clients meenemen vereist meestal dat de provider dit uitdrukkelijk ondersteunt, of een geroot apparaat met eigen regels die de meeste mensen niet zouden moeten proberen.

Overstappen van Wi-Fi naar USB verandert dit niet. Het tethering-subsysteem ondersteunt meerdere transporten, maar het transport is niet de routeringsbeslissing. Een kabel maakt de verbinding stabieler en doet niets voor tunneldekking, en daarom beantwoordt het advies “gebruik gewoon USB” een andere vraag dan de gestelde.

Oude recepten die firewallregels leegmaken en bepaalde interfacenamen aannemen zijn geen overdraagbare instructies. Ze zijn geschreven voor een bepaald apparaat, een bepaalde ROM en een bepaald jaar, en ze toepassen op een huidige telefoon zal eerder tethering breken dan een tunnel uitbreiden.

Voorwaarde drie: welke identiteit de bestemming nodig heeft

Dit is de voorwaarde die het ontwerp meestal beslist, en hij heeft niets met hotspots te maken. Als de laptop het netwerk van een werkgever moet bereiken, hoort de identiteit die ertoe doet bij de laptop, en een consumenten-VPN op de telefoon kan die niet leveren.

ip -brief addr show
curl -sS https://ifconfig.me/ip
dig +short myip.opendns.com @resolver1.opendns.com

Voer die opdrachten uit op de laptop, niet op de telefoon, want de vraag is wat de bestemming ziet vanaf het apparaat dat je belangrijk vindt. Een openbaar adres dat de telefoon meldt, beantwoordt een vraag over de telefoon.

Zelfs een overeenkomstig resultaat vanaf de laptop is beperkt bewijs. Naamresolutie, andere applicaties en gedrag wanneer de tunnel uitvalt, horen allemaal bij het apparaat waarvan je de dekking test, en één HTTP-verzoek karakteriseert geen daarvan. Test de applicatie die je echt belangrijk vindt, en test die daarna opnieuw met de tunnel opzettelijk verbroken.

Wat je in plaats daarvan moet doen, in volgorde van inspanning

Het goedkoopste juiste antwoord is de VPN op de laptop draaien. Verbind hem met de hotspot, laat de telefoon de onderliggende mobiele verbinding leveren, en zet de tunnel op vanaf het apparaat dat de identiteit nodig heeft. Dit werkt met werkgevers-VPN's, en dat is het geval dat het meest telt.

Als het apparaat helemaal geen VPN-client kan draaien, zoek dan een uitdrukkelijk ondersteunde deelgateway of een reisrouter die de tunnel beëindigt. Lees de documentatie voor het werkelijke platform in plaats van aan te nemen dat een hotspotfunctie die gateway is.

Als geen van beide mogelijk is, accepteer de beperking in plaats van die te omzeilen met een recept dat je niet kunt onderhouden. De VPN van de telefoon dekt de telefoon; de laptop heeft zijn eigen route nodig, en dat vooraf weten is meer waard dan een middag interface-experimenten. Documenteer de regeling zodat de volgende persoon die niet opnieuw ontdekt tijdens een incident. Eén regel in de wiki van het team is genoeg.