Покрывает ли VPN на телефоне ноутбук в его точке доступа?

Браузер телефона сообщает адрес в другой стране, а ноутбук в его точке доступа по-прежнему сообщает мобильного оператора. Ни одно из этих наблюдений не ошибочно, и противоречие, которое видят люди, возникает из предположения, что совместное использование интернет-соединения означает и совместное использование туннеля. Три условия определяют, попадает ли трафик подключённого устройства в VPN телефона, и только одно из них относится к настройкам телефона. Пройдите по ним, прежде чем искать функцию раздачи, которой может и не быть.

Что точка доступа на самом деле пересылает

Режим модема даёт ноутбуку путь в интернет через мобильный интерфейс телефона. Телефон пересылает эти пакеты и обычно транслирует адреса ноутбука при их выходе. Это функция пересылки, и пересылка не то же самое, что захват трафика в туннель.

Попадут ли пересланные пакеты затем в VPN телефона, зависит от того, как приложение VPN установило свои маршруты и правила. Приложение, которое перехватывает только трафик, возникший на телефоне, не увидит пакеты, которые ядро пересылает от имени подключённого клиента.

Поэтому оба наблюдения так легко сосуществуют. Браузер самого телефона использует туннель, пакеты ноутбука идут путём пересылки, и ни на одном из экранов вам не лгут. Два устройства просто не задают один и тот же вопрос одному и тому же интерфейсу. Как только вы увидите это разделение, жалоба «почему мой ноутбук не защищён» станет вопросом проектирования, а не ошибкой.

Условие первое: какой туннель запускает телефон

Начните с определения охвата VPN на телефоне. Туннель для всего устройства, туннель для отдельного приложения и прокси только для браузера три разные вещи, и только у первого есть шанс охватить пересылаемый трафик. Смотрите на описание провайдера о том, что перехватывает приложение, а не на значок в строке состояния.

Затем проверьте, что провайдер говорит о режиме модема. Некоторые прямо документируют, что обычный трафик точки доступа находится вне туннеля, и это честный ответ для потребительского сервиса, который никогда не обещал быть маршрутизатором. Руководство Proton VPN по точке доступа в Android — один опубликованный пример такого различия; документация вашего собственного провайдера — та, что важна для вашего устройства.

Значок VPN в строке состояния сообщает, что у телефона есть туннель. Он не сообщает, какие интерфейсы охватывает этот туннель, и именно в этом промежутке живёт большая часть путаницы.

Условие второе: включён ли режим модема

Даже туннель для всего устройства может по замыслу исключать пересылаемый трафик, потому что правила маршрутизации приложения писались для локально созданных пакетов. Включение подключённых клиентов обычно требует явной поддержки провайдера либо устройства с root и собственными правилами, которые большинству людей пробовать не стоит.

Переход с Wi-Fi на USB этого не меняет. Подсистема режима модема поддерживает несколько транспортов, но транспорт не является решением о маршрутизации. Кабель делает соединение стабильнее и ничего не даёт охвату туннеля, поэтому совет «просто используй USB» отвечает на другой вопрос, а не на заданный.

Старые рецепты, которые очищают правила межсетевого экрана и предполагают определённые имена интерфейсов, не являются переносимыми инструкциями. Они писались под конкретное устройство, конкретный ROM и конкретный год, и их применение к нынешнему телефону скорее сломает режим модема, чем расширит туннель.

Условие третье: чья идентичность нужна получателю

Это условие обычно и решает проект, и оно никак не связано с точками доступа. Если ноутбуку нужно попасть в сеть работодателя, важная идентичность принадлежит ноутбуку, и потребительский VPN на телефоне не может её предоставить.

ip -brief addr show
curl -sS https://ifconfig.me/ip
dig +short myip.opendns.com @resolver1.opendns.com

Выполняйте эти команды на ноутбуке, а не на телефоне, потому что вопрос в том, что видит получатель с устройства, которое вас интересует. Публичный адрес, который сообщает телефон, отвечает на вопрос о телефоне.

Даже совпадающий результат с ноутбука слабое доказательство. Разрешение имён, другие приложения и поведение при отказе туннеля относятся к устройству, покрытие которого вы проверяете, и один HTTP-запрос не характеризует ничего из этого. Проверьте приложение, которое действительно важно, а затем проверьте его снова с намеренно отключённым туннелем.

Что делать вместо этого, по порядку затрат

Самый дешёвый правильный ответ запустить VPN на ноутбуке. Подключите его к точке доступа, пусть телефон обеспечивает базовое мобильное соединение, а туннель поднимайте с устройства, которому нужна идентичность. Это работает с корпоративными VPN, и это самый важный случай.

Если устройство вообще не может запустить клиент VPN, ищите явно поддерживаемый шлюз раздачи или дорожный маршрутизатор, который завершает туннель. Читайте его документацию для реальной платформы, а не предполагайте, что функция точки доступа и есть этот шлюз.

Если ни то ни другое невозможно, примите ограничение, а не обходите его рецептом, который вы не сможете поддерживать. VPN телефона покрывает телефон; ноутбуку нужен собственный путь, и знать это заранее ценнее, чем день экспериментов с интерфейсами. Задокументируйте договорённость, чтобы следующий человек не открывал её заново во время инцидента. Одной строки в вики команды достаточно.