Zet Internet Sharing je andere apparaten op de VPN?

Internet Sharing aanzetten breidt de VPN niet uit naar alles op je bureau. De twee functies beantwoorden verschillende vragen. Delen bepaalt welke verbinding de Mac voedt en welke interfaces die verbinding doorgeven, terwijl een VPN bepaalt waar het eigen verkeer van de Mac heen gaat. Of het tweede apparaat de tunnel erft, hangt af van routing, van het beleid van de client en van wat de gateway bereid is door te sturen, en dat zijn drie dingen waar het paneel voor Delen niets van weet.

De mythe: de verbinding delen deelt de tunnel

Als iemand zegt dat het werkt, is wat hij meestal zag dat de tablet achter de Mac een pagina laadde. Die waarneming past bij verschillende paden, waaronder een waarbij de pagina rechtstreeks via de fysieke uplink naar buiten ging terwijl de browser van de Mac de tunnel gebruikte. Eén geslaagde paginalading onderscheidt niets. Ze bewijst alleen dat er ergens een pad bestaat.

Een tweede apparaat erft geen sessie. Het krijgt een adres van de Mac, stuurt pakketten naar de Mac, en de Mac beslist wat ermee gebeurt volgens zijn eigen routetabel en zijn eigen firewallstatus. Die beslissing valt per verbinding, niet per apparaat. Twee apparaten achter dezelfde Mac kunnen verschillende paden nemen wanneer de regels verschillen.

Wat het paneel voor Delen werkelijk kiest

In Systeeminstellingen vragen de bedieningselementen voor Internet Sharing om een bronverbinding en om de interfaces die andere apparaten gaan gebruiken. De bron is de uplink van de Mac, en Apple's eigen handleiding waarschuwt dat zorgeloos delen het netwerk waaraan je hangt kan verstoren.

Niets in dat dialoogvenster noemt een VPN als gateway voor doorgestuurd verkeer. Ethernet als bron kiezen betekent niet dat de tunnel wordt genegeerd, en het betekent ook niet dat de tunnel wordt gebruikt; het betekent dat de fysieke interface van de Mac de verklaarde uplink is, en dat de routetabel nog steeds beslist.

De beschikbare opties hangen ook van de hardware af. Een Mac zonder Ethernet-poort, of een waarbij geen dock is aangesloten, biedt niet de keuze die een handleiding veronderstelt. Controleer het paneel dat je werkelijk hebt voordat je er iets omheen bouwt.

Hoe een doorgestuurd pakket zijn weg vindt

Apparaten stroomafwaarts zitten verborgen achter NAT, en de Mac herschrijft hun adressen voordat er iets stroomopwaarts wordt gestuurd. Als de tunnel op dat moment de standaardroute bezit, kunnen de herschreven pakketten er heel goed doorheen gaan, en daarom lijkt de opstelling in een snelle test te werken.

Uiterlijk is geen beleid. Een desktop-VPN-client is gebouwd rond het eigen verkeer van de Mac, en zijn kill switch handhaaft meestal regels voor lokale toepassingen en niet voor een LAN achter de machine. Wanneer de tunnel wegvalt, kan de Mac blijven doorsturen voor zijn gasten zonder enige blokkeringsregel.

Er is ook de versiekwestie. Een aanbieder die deelondersteuning documenteerde op een oudere macOS-versie heeft het gedrag sindsdien misschien veranderd, en een handleiding die een native VPN-vermelding in de bronlijst toont, beschrijft misschien een interface die je huidige client nooit aanmaakt.

Test dus het pad in plaats van het ontwerp te vertrouwen. Stuur een verzoek vanaf het tweede apparaat en volg het aan beide uiteinden, want dat is het enige bewijs dat een clientupdate overleeft. Een test die je na de volgende update kunt herhalen is meer waard dan een configuratie waarin je alleen maar gelooft.

Kies de dekkingsgrens bewust

Als het tweede apparaat de goedgekeurde client kan draaien, is dat de sterkere opstelling. Het krijgt een eigen profiel, een eigen identiteit en een eigen beleid, en de Mac levert alleen het onderliggende netwerk.

Als het geen client kan draaien, heb je ofwel een gedocumenteerde deelfunctie van de VPN-aanbieder nodig, ofwel een goedgekeurde gateway die namens het apparaat doorstuurt. Beide hebben een eigenaar en een gedefinieerd einde, wat meer is dan een selectievakje kan bieden.

Werkgevers eisen vaak toch het model van één apparaat per stuk, omdat de sessie van één machine die vier andere vertegenwoordigt een andere vertrouwensbeslissing is dan vier ingeschreven apparaten.

Wat je moet verifiëren voordat je het belooft

Controleer de werkelijke bestemming van het tweede apparaat, niet die van de Mac. Een particuliere dienst en een openbare uitgang zijn verschillende tests, en slagen voor de ene zegt niets over de andere.

Controleer beide adresfamilies en naamresolutie. Een opstelling die IPv4 door de tunnel leidt maar IPv6 op de fysieke verbinding laat, levert een apparaat op dat in een browser beschermd lijkt en in al het andere lekt.

Controleer dan de losgekoppelde toestand. Zet de tunnel uit en herhaal de test vanaf het tweede apparaat; als het nog steeds internet bereikt, deelde de opstelling een verbinding en nooit een VPN, wat een prima uitkomst is zolang niemand het als het andere heeft opgeschreven.