Sätter internetdelning dina andra enheter på VPN:et?

Att slå på internetdelning utökar inte VPN:et till allt på ditt skrivbord. De två funktionerna svarar på olika frågor. Delningen avgör vilken anslutning som försörjer Macen och vilka gränssnitt som lämnar den anslutningen vidare, medan ett VPN avgör vart Macens egen trafik tar vägen. Om den andra enheten ärver tunneln beror på routning, på klientens policy och på vad gatewayen är villig att vidarebefordra, och det är tre saker som delningspanelen inte vet något om.

Myten: att dela anslutningen är att dela tunneln

När någon säger att det fungerar har de oftast sett att surfplattan bakom Macen laddade en sida. Den iakttagelsen stämmer med flera olika vägar, bland annat en där sidan gick direkt ut genom den fysiska uppströmslänken medan Macens webbläsare använde tunneln. En lyckad sidladdning skiljer inte på något. Den bevisar bara att någon väg finns.

En andra enhet ärver inte en session. Den får en adress från Macen, skickar paket till Macen, och Macen avgör vad som ska göras med dem enligt sin egen routingtabell och sitt eget brandväggstillstånd. Det beslutet fattas per anslutning och inte per enhet. Två enheter bakom samma Mac kan ta olika vägar när reglerna skiljer sig.

Vad delningspanelen faktiskt väljer

I Systeminställningar frågar reglagen för internetdelning efter en källanslutning och de gränssnitt som andra enheter ska använda. Källan är Macens uppströmslänk, och Apples egen guide varnar för att slarvig delning kan störa nätet du är ansluten till.

Ingenting i den dialogen namnger ett VPN som gateway för vidarebefordrad trafik. Att välja Ethernet som källa betyder inte att tunneln ignoreras, och det betyder inte heller att tunneln används; det betyder att Macens fysiska gränssnitt är den deklarerade uppströmslänken och att routingtabellen fortfarande avgör.

De tillgängliga alternativen beror också på hårdvaran. En Mac utan Ethernetport, eller en där en docka inte är ansluten, erbjuder inte det val som en guide förutsätter. Kontrollera panelen du faktiskt har innan du designar något runt den.

Hur ett vidarebefordrat paket hittar sin väg

Enheter nedströms är dolda bakom NAT, och Macen skriver om deras adresser innan den skickar något uppströms. Om tunneln äger standardvägen i det ögonblicket kan de omskrivna paketen mycket väl gå genom den, och det är därför arrangemanget verkar fungera i ett snabbt test.

Utseende är inte policy. En skrivbords-VPN-klient är byggd kring Macens egen trafik, och dess kill switch tillämpar vanligtvis regler för lokala program och inte för ett LAN bakom maskinen. När tunneln faller kan Macen fortsätta att vidarebefordra för sina gäster helt utan någon blockerande regel.

Det finns också versionsfrågan. En leverantör som dokumenterade delningsstöd på en äldre macOS-version kan ha ändrat beteendet sedan dess, och en guide som visar en inbyggd VPN-post i källistan kan beskriva ett gränssnitt som din nuvarande klient aldrig skapar.

Testa därför vägen i stället för att lita på designen. Kör en begäran från den andra enheten och följ den i båda ändar, för det är det enda beviset som överlever en klientuppdatering. Ett test du kan upprepa efter nästa uppdatering är värt mer än en konfiguration du bara tror på.

Välj täckningsgränsen medvetet

Om den andra enheten kan köra den godkända klienten är det den starkare lösningen. Den får en egen profil, en egen identitet och en egen policy, och Macen levererar bara nätet under.

Om den inte kan köra en klient behöver du antingen en dokumenterad delningsfunktion från VPN-leverantören eller en godkänd gateway som vidarebefordrar å enhetens vägnar. Båda har en ägare och ett definierat slut, vilket är mer än en kryssruta kan erbjuda.

Arbetsgivare kräver ofta ändå modellen per enhet, eftersom en maskins session som representerar fyra andra är ett annat förtroendebeslut än fyra registrerade enheter.

Vad du ska verifiera innan du lovar det

Kontrollera den andra enhetens faktiska destination, inte Macens. En privat tjänst och en offentlig utgång är olika tester, och att klara det ena säger inget om det andra.

Kontrollera båda adressfamiljerna och namnmatchningen. Ett arrangemang som tunnlar IPv4 men lämnar IPv6 på den fysiska länken ger en enhet som ser skyddad ut i en webbläsare och läcker i allt annat.

Kontrollera sedan det frånkopplade tillståndet. Stäng av tunneln och upprepa testet från den andra enheten; om den fortfarande når internet delade arrangemanget en anslutning och delade aldrig ett VPN, vilket är ett bra resultat så länge ingen skrev ner det som det andra.