Czy udostępnianie internetu umieszcza inne urządzenia w VPN?

Włączenie udostępniania internetu nie rozszerza VPN na wszystko na biurku. Te dwie funkcje odpowiadają na różne pytania. Udostępnianie decyduje, które połączenie zasila Maca i które interfejsy przekazują to połączenie dalej, a VPN decyduje, dokąd trafia własny ruch Maca. Czy drugie urządzenie dziedziczy tunel, zależy od routingu, od polityki klienta i od tego, co brama jest gotowa przekazywać, a to trzy rzeczy, o których panel udostępniania nie wie nic.

Mit: udostępnianie połączenia udostępnia tunel

Kiedy ktoś mówi, że to działa, zwykle widział, że tablet za Makiem wczytał stronę. Ta obserwacja pasuje do kilku różnych ścieżek, w tym do takiej, w której strona wyszła prosto przez fizyczne łącze górne, podczas gdy przeglądarka Maca korzystała z tunelu. Jedno udane wczytanie strony niczego nie rozróżnia. Dowodzi tylko, że jakaś ścieżka istnieje.

Drugie urządzenie nie dziedziczy sesji. Dostaje adres od Maca, wysyła pakiety do Maca, a Mac decyduje, co z nimi zrobić, według własnej tablicy routingu i własnego stanu zapory. Ta decyzja zapada dla każdego połączenia, nie dla każdego urządzenia. Dwa urządzenia za tym samym Makiem mogą wybrać różne ścieżki, gdy reguły się różnią.

Co panel udostępniania naprawdę wybiera

W Ustawieniach systemowych kontrolki udostępniania internetu pytają o połączenie źródłowe i o interfejsy, których będą używać inne urządzenia. Źródłem jest łącze górne Maca, a własny przewodnik Apple ostrzega, że nieostrożne udostępnianie może zakłócić sieć, do której jesteś podłączony.

Nic w tym oknie nie nazywa VPN bramą dla przekazywanego ruchu. Wybór Ethernetu jako źródła nie oznacza, że tunel jest ignorowany, ani nie oznacza, że tunel jest używany; oznacza, że fizyczny interfejs Maca jest zadeklarowanym łączem górnym, a tablica routingu nadal decyduje.

Dostępne opcje zależą też od sprzętu. Mac bez portu Ethernet albo taki, do którego nie podłączono stacji dokującej, nie zaproponuje wyboru, który zakłada jakiś poradnik. Sprawdź panel, który naprawdę masz, zanim cokolwiek wokół niego zbudujesz.

Jak przekazywany pakiet znajduje swoją drogę

Urządzenia poniżej są ukryte za NAT, a Mac przepisuje ich adresy, zanim cokolwiek wyśle w górę. Jeśli tunel ma w tej chwili trasę domyślną, przepisane pakiety mogą przez niego przejść, i dlatego ten układ wydaje się działać w szybkim teście.

Wygląd to nie polityka. Klient VPN na komputer stacjonarny jest zbudowany wokół własnego ruchu Maca, a jego wyłącznik bezpieczeństwa zwykle egzekwuje reguły dla lokalnych aplikacji, a nie dla LAN za maszyną. Gdy tunel padnie, Mac może dalej przekazywać ruch dla swoich gości bez żadnej reguły blokującej.

Jest też kwestia wersji. Dostawca, który udokumentował obsługę udostępniania w starszym wydaniu macOS, mógł od tego czasu zmienić zachowanie, a poradnik pokazujący natywny wpis VPN na liście źródeł może opisywać interfejs, którego twój obecny klient nigdy nie tworzy.

Dlatego testuj ścieżkę, zamiast ufać projektowi. Wyślij żądanie z drugiego urządzenia i obserwuj je na obu końcach, bo to jedyny dowód, który przetrwa aktualizację klienta. Test, który możesz powtórzyć po następnej aktualizacji, jest wart więcej niż konfiguracja, w którą tylko wierzysz.

Wybierz granicę zasięgu świadomie

Jeśli drugie urządzenie może uruchomić zatwierdzonego klienta, to jest mocniejszy układ. Dostaje własny profil, własną tożsamość i własną politykę, a Mac dostarcza tylko sieć pod spodem.

Jeśli nie może uruchomić klienta, potrzebujesz albo udokumentowanej funkcji udostępniania od dostawcy VPN, albo zatwierdzonej bramy, która przekazuje w imieniu urządzenia. Oba mają właściciela i określony koniec, co jest więcej, niż może zaoferować pole wyboru.

Pracodawcy często i tak wymagają modelu jednego urządzenia na urządzenie, bo sesja jednej maszyny reprezentująca cztery inne to inna decyzja o zaufaniu niż cztery zarejestrowane urządzenia.

Co sprawdzić, zanim to obiecasz

Sprawdź rzeczywisty cel drugiego urządzenia, a nie Maca. Usługa prywatna i wyjście publiczne to różne testy, a zdanie jednego nic nie mówi o drugim.

Sprawdź obie rodziny adresów i rozwiązywanie nazw. Konfiguracja, która prowadzi IPv4 przez tunel, ale zostawia IPv6 na łączu fizycznym, daje urządzenie, które w przeglądarce wygląda na chronione, a wycieka we wszystkim innym.

Następnie sprawdź stan po rozłączeniu. Wyłącz tunel i powtórz test z drugiego urządzenia; jeśli nadal dociera do internetu, układ współdzielił połączenie i nigdy nie współdzielił VPN, co jest dobrym wynikiem, dopóki nikt nie zapisał tego jako tej drugiej rzeczy.