A partilha de internet coloca os seus outros dispositivos na VPN?

Ativar a partilha de internet não estende a VPN a tudo o que está na sua secretária. As duas funcionalidades respondem a perguntas diferentes. A partilha decide que ligação alimenta o Mac e que interfaces distribuem essa ligação, enquanto uma VPN decide para onde vai o tráfego do próprio Mac. Se o segundo dispositivo herda o túnel depende do encaminhamento, da política do cliente e daquilo que o gateway está disposto a reencaminhar, e são três coisas que o painel de partilha desconhece por completo.

O mito: partilhar a ligação é partilhar o túnel

Quando alguém diz que funciona, o que habitualmente observou foi que o tablet atrás do Mac carregou uma página. Essa observação é compatível com vários caminhos diferentes, incluindo um em que a página saiu diretamente pela ligação física enquanto o navegador do Mac usava o túnel. Um carregamento bem-sucedido não distingue nada. Apenas prova que existe algum caminho.

Um segundo dispositivo não herda uma sessão. Recebe um endereço do Mac, envia pacotes para o Mac, e o Mac decide o que fazer com eles segundo a sua própria tabela de encaminhamento e o seu próprio estado de firewall. Essa decisão é tomada por ligação e não por dispositivo. Dois dispositivos atrás do mesmo Mac podem seguir caminhos diferentes quando as regras divergem.

O que o painel de partilha escolhe de facto

Nas Definições do Sistema, os controlos da partilha de internet pedem uma ligação de origem e as interfaces que os outros dispositivos vão usar. A origem é a ligação do Mac, e o próprio guia da Apple avisa que uma partilha descuidada pode perturbar a rede a que está ligado.

Nada nessa caixa de diálogo nomeia uma VPN como gateway do tráfego reencaminhado. Escolher Ethernet como origem não significa que o túnel seja ignorado, nem significa que o túnel seja usado; significa que a interface física do Mac é a ligação declarada e que a tabela de encaminhamento continua a decidir.

As opções disponíveis também dependem do hardware. Um Mac sem porta Ethernet, ou um em que não está ligada uma dock, não oferecerá a escolha que um tutorial assume. Verifique o painel que realmente tem antes de desenhar o que quer que seja à sua volta.

Como um pacote reencaminhado encontra o seu caminho

Os dispositivos a jusante ficam escondidos atrás de NAT, e o Mac reescreve os seus endereços antes de enviar seja o que for para montante. Se nesse momento o túnel detiver a rota predefinida, os pacotes reescritos podem muito bem passar por ele, e é por isso que o arranjo parece funcionar num teste rápido.

A aparência não é política. Um cliente VPN de ambiente de trabalho é construído em torno do tráfego do próprio Mac, e o seu kill switch aplica normalmente regras às aplicações locais e não a uma LAN atrás da máquina. Quando o túnel cai, o Mac pode continuar a reencaminhar para os seus convidados sem qualquer regra de bloqueio.

Existe também a questão da versão. Um fornecedor que documentou o suporte à partilha numa versão antiga do macOS pode ter mudado o comportamento desde então, e um tutorial que mostra uma entrada de VPN nativa na lista de origens pode descrever uma interface que o seu cliente atual nunca cria.

Teste portanto o caminho em vez de confiar no desenho. Lance um pedido a partir do segundo dispositivo e observe-o nas duas pontas, porque é a única prova que sobrevive a uma atualização do cliente. Um teste que possa repetir após a próxima atualização vale mais do que uma configuração em que apenas acredita.

Escolha o limite de cobertura deliberadamente

Se o segundo dispositivo conseguir executar o cliente aprovado, essa é a disposição mais sólida. Obtém o seu próprio perfil, a sua própria identidade e a sua própria política, e o Mac limita-se a fornecer a rede subjacente.

Se não conseguir executar um cliente, precisa de uma funcionalidade de partilha documentada pelo fornecedor de VPN ou de um gateway aprovado que reencaminhe em nome do dispositivo. Ambos têm um responsável e um fim definido, o que é mais do que uma caixa de verificação pode oferecer.

Os empregadores exigem muitas vezes o modelo por dispositivo, porque a sessão de uma máquina que representa outras quatro é uma decisão de confiança diferente de quatro dispositivos inscritos.

O que verificar antes de o prometer

Verifique o destino real do segundo dispositivo, não o do Mac. Um serviço privado e uma saída pública são testes diferentes, e passar um não diz nada sobre o outro.

Verifique ambas as famílias de endereços e a resolução de nomes. Um arranjo que encaminha IPv4 por túnel mas deixa o IPv6 na ligação física produz um dispositivo que parece protegido no navegador e fuga em tudo o resto.

Verifique depois o estado desligado. Desligue o túnel e repita o teste a partir do segundo dispositivo; se ainda chegar à internet, o arranjo partilhava uma ligação e nunca partilhou uma VPN, o que é um bom resultado desde que ninguém o tenha registado como a outra coisa.