Переводит ли общий доступ в интернет другие устройства в VPN?

Включение общего доступа в интернет не распространяет VPN на всё, что стоит на вашем столе. Две функции отвечают на разные вопросы. Общий доступ решает, какое соединение питает Mac и какие интерфейсы раздают это соединение, а VPN решает, куда идёт трафик самого Mac. Унаследует ли второе устройство туннель, зависит от маршрутизации, от политики клиента и от того, что шлюз готов пересылать, и это три вещи, о которых панель общего доступа не знает ничего.

Миф: поделиться соединением значит поделиться туннелем

Когда кто-то говорит, что это работает, обычно он наблюдал, что планшет за Mac загрузил страницу. Это наблюдение согласуется с несколькими разными путями, включая тот, где страница ушла прямо через физический восходящий канал, пока браузер Mac использовал туннель. Одна успешная загрузка страницы ничего не различает. Она доказывает только то, что какой-то путь существует.

Второе устройство не наследует сеанс. Оно получает адрес от Mac, отправляет пакеты на Mac, и Mac решает, что с ними делать, по своей собственной таблице маршрутизации и по своему собственному состоянию межсетевого экрана. Это решение принимается для каждого соединения, а не для каждого устройства. Два устройства за одним и тем же Mac могут пойти разными путями, если правила различаются.

Что на самом деле выбирает панель общего доступа

В Системных настройках элементы управления общего доступа в интернет запрашивают исходное соединение и интерфейсы, которые будут использовать другие устройства. Источник — восходящий канал Mac, и собственное руководство Apple предупреждает, что небрежный общий доступ может нарушить сеть, к которой вы подключены.

Ничто в этом диалоге не называет VPN шлюзом для пересылаемого трафика. Выбор Ethernet в качестве источника не означает, что туннель игнорируется, и не означает, что туннель используется; это означает, что физический интерфейс Mac объявлен восходящим каналом, а решение по-прежнему принимает таблица маршрутизации.

Доступные варианты зависят и от оборудования. Mac без порта Ethernet или такой, к которому не подключена док-станция, не предложит выбор, который подразумевает руководство. Проверьте панель, которая у вас действительно есть, прежде чем что-либо вокруг неё проектировать.

Как пересылаемый пакет находит свой путь

Устройства ниже по потоку скрыты за NAT, и Mac перезаписывает их адреса, прежде чем отправить что-либо вверх. Если в этот момент туннель владеет маршрутом по умолчанию, перезаписанные пакеты вполне могут пройти через него, и именно поэтому схема кажется работающей в быстрой проверке.

Внешность — не политика. Клиент VPN для настольного компьютера построен вокруг трафика самого Mac, и его аварийный выключатель обычно применяет правила к локальным приложениям, а не к локальной сети за машиной. Когда туннель падает, Mac может продолжать пересылку для своих гостей вообще без блокирующего правила.

Есть и вопрос версии. Поставщик, который задокументировал поддержку общего доступа в старой версии macOS, мог с тех пор изменить поведение, а руководство, показывающее штатную запись VPN в списке источников, может описывать интерфейс, который ваш нынешний клиент никогда не создаёт.

Поэтому проверяйте путь, а не доверяйте схеме. Запустите запрос со второго устройства и наблюдайте его на обоих концах, потому что это единственное доказательство, которое переживает обновление клиента. Проверка, которую можно повторить после следующего обновления, стоит больше, чем конфигурация, в которую вы просто верите.

Выбирайте границу охвата осознанно

Если второе устройство может запускать одобренный клиент, это более прочная схема. Оно получает собственный профиль, собственную личность и собственную политику, а Mac лишь предоставляет нижележащую сеть.

Если оно не может запускать клиент, то нужна либо документированная функция общего доступа от поставщика VPN, либо одобренный шлюз, который пересылает от имени устройства. У обоих есть ответственный и определённый конец, и это больше, чем может предложить флажок.

Работодатели часто всё равно требуют модель на каждое устройство, потому что сеанс одной машины, представляющий ещё четыре, — это иное решение о доверии, чем четыре зарегистрированных устройства.

Что проверить, прежде чем это обещать

Проверьте фактический адресат второго устройства, а не Mac. Частный сервис и публичный выход — разные проверки, и прохождение одной ничего не говорит о другой.

Проверьте оба семейства адресов и разрешение имён. Схема, которая пропускает через туннель IPv4, но оставляет IPv6 на физическом канале, даёт устройство, которое выглядит защищённым в браузере и утекает во всём остальном.

Затем проверьте отключённое состояние. Выключите туннель и повторите проверку со второго устройства; если оно всё ещё выходит в интернет, схема делилась соединением и никогда не делилась VPN, что является хорошим результатом, пока никто не записал это как другое.