Täcker telefonens VPN laptopen på dess hotspot?

Telefonens webbläsare rapporterar en adress i ett annat land och laptopen på dess hotspot rapporterar fortfarande mobiloperatören. Ingen av de två observationerna är fel, och motsägelsen folk ser kommer från antagandet att det att dela en internetanslutning också delar en tunnel. Tre villkor avgör om trafik från en ansluten enhet hamnar i telefonens VPN, och bara ett av dem handlar om telefonens inställningar. Gå igenom dem innan du letar efter en delningsfunktion som kanske inte finns.

Vad hotspoten faktiskt vidarebefordrar

Tethering ger laptopen en väg till internet genom telefonens mobila gränssnitt. Telefonen vidarebefordrar dessa paket och översätter vanligtvis laptopens adresser när de lämnar den. Det är en vidarebefordringsfunktion, och vidarebefordran är inte samma sak som att fånga trafik i en tunnel.

Om de vidarebefordrade paketen sedan hamnar i telefonens VPN beror på hur VPN-programmet installerade sina rutter och regler. Ett program som bara fångar trafik som uppstår på telefonen ser inte paket som kärnan vidarebefordrar på uppdrag av en ansluten klient.

Därför samexisterar de två observationerna så lätt. Telefonens egen webbläsare använder tunneln, laptopens paket tar vidarebefordringsvägen, och ingenting på någon av skärmarna ljuger för dig. De två enheterna ställer helt enkelt inte samma fråga till samma gränssnitt. När du ser den uppdelningen blir klagomålet ”varför är inte min laptop skyddad” en designfråga i stället för en bugg.

Villkor ett: vilken tunnel telefonen kör

Börja med att fastställa VPN:ens omfattning på telefonen. En tunnel för hela enheten, en tunnel per program och en proxy bara för webbläsaren är tre olika saker, och bara den första har någon chans att täcka vidarebefordrad trafik. Titta på leverantörens beskrivning av vad appen fångar, inte på ikonen i statusfältet.

Kontrollera sedan vad leverantören säger om tethering. Vissa dokumenterar uttryckligen att vanlig hotspottrafik ligger utanför tunneln, vilket är det ärliga svaret för en konsumenttjänst som aldrig lovade att vara en router. Proton VPN:s vägledning för Android-hotspot är ett publicerat exempel på den skillnaden; din egen leverantörs dokumentation är den som gäller för din enhet.

En VPN-ikon i statusfältet berättar att telefonen har en tunnel. Den berättar inte vilka gränssnitt tunneln täcker, och i den luckan bor större delen av förvirringen.

Villkor två: om tethering ingår

Även en tunnel för hela enheten kan enligt designen utesluta vidarebefordrad trafik, eftersom programmets routingregler skrevs för lokalt genererade paket. Att inkludera anslutna klienter kräver oftast att leverantören uttryckligen stöder det, eller en rootad enhet med egna regler som de flesta inte borde försöka.

Att byta från Wi-Fi till USB ändrar inte detta. Tethering-undersystemet stöder flera transporter, men transporten är inte routingbeslutet. En kabel gör förbindelsen stabilare och gör ingenting för tunneltäckningen, och därför svarar rådet ”använd bara USB” på en annan fråga än den som ställs.

Gamla recept som tömmer brandväggsregler och antar bestämda gränssnittsnamn är inte flyttbara instruktioner. De skrevs för en bestämd enhet, en bestämd ROM och ett bestämt år, och att tillämpa dem på en nuvarande telefon bryter snarare tethering än utökar en tunnel.

Villkor tre: vilken identitet destinationen behöver

Detta är villkoret som oftast avgör designen, och det har ingenting med hotspots att göra. Om laptopen behöver nå en arbetsgivares nätverk tillhör identiteten som betyder något laptopen, och en konsument-VPN på telefonen kan inte tillhandahålla den.

ip -brief addr show
curl -sS https://ifconfig.me/ip
dig +short myip.opendns.com @resolver1.opendns.com

Kör dessa på laptopen, inte på telefonen, eftersom frågan är vad destinationen ser från enheten du bryr dig om. En offentlig adress som telefonen rapporterar svarar på en fråga om telefonen.

Även ett överensstämmande resultat från laptopen är begränsade bevis. Namnuppslagning, andra program och beteende när tunneln fallerar tillhör alla enheten vars täckning du testar, och en enda HTTP-begäran karaktäriserar inget av det. Testa programmet du faktiskt bryr dig om och testa det sedan igen med tunneln medvetet frånkopplad.

Vad du bör göra i stället, i ordning efter ansträngning

Det billigaste korrekta svaret är att köra VPN:en på laptopen. Anslut den till hotspoten, låt telefonen leverera den underliggande mobila anslutningen och etablera tunneln från enheten som behöver identiteten. Detta fungerar med arbetsgivares VPN:er, och det är fallet som betyder mest.

Om enheten inte alls kan köra en VPN-klient, leta efter en uttryckligen stödd delningsgateway eller en resrouter som avslutar tunneln. Läs dokumentationen för den faktiska plattformen i stället för att anta att en hotspotfunktion är den gatewayen.

Om inget av dem är möjligt, acceptera begränsningen i stället för att kringgå den med ett recept du inte kan underhålla. Telefonens VPN täcker telefonen; laptopen behöver sin egen väg, och att veta det i förväg är värt mer än en eftermiddag med gränssnittsexperiment. Dokumentera arrangemanget så att nästa person inte upptäcker det igen under en incident. En rad i teamets wiki räcker.