A VPN do celular cobre o notebook no hotspot?

O navegador do celular informa um endereço em outro país e o notebook no seu hotspot continua informando a operadora móvel. Nenhuma das duas observações está errada, e a contradição que as pessoas veem vem de supor que compartilhar uma conexão de internet também compartilha um túnel. Três condições decidem se o tráfego do dispositivo conectado entra na VPN do celular, e apenas uma delas diz respeito às configurações do celular. Passe por elas antes de procurar um recurso de compartilhamento que talvez não exista.

O que o hotspot realmente encaminha

O tethering dá ao notebook um caminho para a internet pela interface móvel do celular. O celular encaminha esses pacotes e, no caso comum, traduz os endereços do notebook quando eles saem. Isso é uma função de encaminhamento, e encaminhar não é o mesmo que capturar tráfego num túnel.

Se os pacotes encaminhados entram depois na VPN do celular depende de como o aplicativo de VPN instalou as suas rotas e regras. Um aplicativo que captura apenas o tráfego originado no celular não verá os pacotes que o kernel encaminha em nome de um cliente conectado.

É por isso que as duas observações coexistem tão facilmente. O navegador do próprio celular usa o túnel, os pacotes do notebook seguem o caminho de encaminhamento, e nada em nenhuma das telas mente para você. Os dois dispositivos simplesmente não fazem a mesma pergunta à mesma interface. Assim que você vê essa separação, a reclamação “por que o meu notebook não está protegido” passa a ser uma questão de projeto, e não um defeito.

Primeira condição: qual túnel o celular executa

Comece identificando o alcance da VPN no celular. Um túnel para todo o dispositivo, um túnel por aplicativo e um proxy apenas para o navegador são três coisas diferentes, e só o primeiro tem alguma chance de cobrir o tráfego encaminhado. Olhe a descrição do provedor sobre o que o aplicativo captura, e não o ícone da barra de status.

Depois verifique o que o provedor diz sobre tethering. Alguns documentam explicitamente que o tráfego comum do hotspot fica fora do túnel, o que é a resposta honesta para um serviço de consumidor que nunca prometeu ser um roteador. O guia da Proton VPN para hotspot no Android é um exemplo publicado dessa distinção; a documentação do seu próprio provedor é a que importa para o seu dispositivo.

Um ícone de VPN na barra de status avisa que o celular tem um túnel. Ele não diz quais interfaces esse túnel cobre, e é nessa lacuna que mora a maior parte da confusão.

Segunda condição: se o tethering está incluído

Mesmo um túnel para todo o dispositivo pode excluir por projeto o tráfego encaminhado, porque as regras de roteamento do aplicativo foram escritas para pacotes gerados localmente. Incluir clientes conectados normalmente exige que o provedor o suporte explicitamente, ou um dispositivo com root e regras personalizadas que a maioria das pessoas não deveria tentar.

Passar do Wi-Fi para o USB não muda isso. O subsistema de tethering suporta vários transportes, mas o transporte não é a decisão de roteamento. Um cabo torna o enlace mais estável e não faz nada pela cobertura do túnel, e é por isso que o conselho “use só USB” responde a uma pergunta diferente da que foi feita.

Receitas antigas que limpam regras de firewall e supõem nomes de interface específicos não são instruções portáveis. Foram escritas para um dispositivo específico, uma ROM específica e um ano específico, e aplicá-las a um celular atual tem mais chance de quebrar o tethering do que de estender um túnel.

Terceira condição: qual identidade o destino exige

Esta é a condição que normalmente resolve o projeto, e não tem nada a ver com hotspots. Se o notebook precisa alcançar a rede de um empregador, a identidade que importa pertence ao notebook, e uma VPN de consumidor no celular não pode fornecê-la.

ip -brief addr show
curl -sS https://ifconfig.me/ip
dig +short myip.opendns.com @resolver1.opendns.com

Execute esses comandos no notebook, não no celular, porque a pergunta é o que o destino vê a partir do dispositivo que lhe interessa. Um endereço público informado pelo celular responde a uma pergunta sobre o celular.

Mesmo um resultado coincidente a partir do notebook é evidência limitada. Resolução de nomes, outros aplicativos e comportamento quando o túnel falha pertencem ao dispositivo cuja cobertura você está testando, e uma única requisição HTTP não caracteriza nenhum deles. Teste o aplicativo que realmente lhe importa e depois teste de novo com o túnel deliberadamente desconectado.

O que fazer em vez disso, por ordem de esforço

A resposta correta mais barata é executar a VPN no notebook. Conecte-o ao hotspot, deixe o celular fornecer a conexão móvel subjacente e estabeleça o túnel a partir do dispositivo que precisa da identidade. Isso funciona com VPNs de empregadores, que é o caso que mais importa.

Se o dispositivo não consegue executar nenhum cliente de VPN, procure um gateway de compartilhamento explicitamente suportado ou um roteador de viagem que encerre o túnel. Leia a documentação dele para a plataforma real em vez de supor que um recurso de hotspot seja esse gateway.

Se nenhum dos dois for possível, aceite a limitação em vez de contorná-la com uma receita que você não consegue manter. A VPN do celular cobre o celular; o notebook precisa do seu próprio caminho, e saber disso antecipadamente vale mais do que uma tarde de experiências com interfaces. Documente o arranjo para que a próxima pessoa não o redescubra durante um incidente. Uma linha no wiki da equipe basta.