Чи покриває VPN на телефоні ноутбук у його точці доступу?

Браузер телефона повідомляє адресу в іншій країні, а ноутбук у його точці доступу досі повідомляє мобільного оператора. Жодне з цих спостережень не є помилковим, і суперечність, яку бачать люди, виникає з припущення, що спільне використання інтернет-з'єднання означає і спільне використання тунелю. Три умови визначають, чи потрапляє трафік під'єднаного пристрою до VPN телефона, і лише одна з них стосується налаштувань телефона. Пройдіть їх, перш ніж шукати функцію роздачі, якої може й не бути.

Що точка доступу насправді пересилає

Режим модема дає ноутбуку шлях до інтернету через мобільний інтерфейс телефона. Телефон пересилає ці пакети й зазвичай транслює адреси ноутбука, коли вони виходять. Це функція пересилання, і пересилання не те саме, що захоплення трафіку в тунель.

Чи потрапляють переслані пакети далі до VPN телефона, залежить від того, як застосунок VPN установив свої маршрути й правила. Застосунок, який перехоплює лише трафік, що виникає на телефоні, не побачить пакетів, які ядро пересилає від імені під'єднаного клієнта.

Тому обидва спостереження так легко співіснують. Браузер самого телефона використовує тунель, пакети ноутбука йдуть шляхом пересилання, і ні на одному з екранів вам не брешуть. Два пристрої просто не ставлять те саме питання одному й тому самому інтерфейсу. Щойно ви побачите цей поділ, скарга «чому мій ноутбук не захищений» стане питанням проєктування, а не помилкою.

Умова перша: який тунель запускає телефон

Почніть із визначення обсягу VPN на телефоні. Тунель для всього пристрою, тунель для окремого застосунку й проксі лише для браузера три різні речі, і лише перший має якийсь шанс охопити пересланий трафік. Дивіться на опис постачальника про те, що перехоплює застосунок, а не на значок у рядку стану.

Далі перевірте, що постачальник каже про режим модема. Деякі прямо документують, що звичайний трафік точки доступу перебуває поза тунелем, і це чесна відповідь для споживчого сервісу, який ніколи не обіцяв бути маршрутизатором. Посібник Proton VPN щодо точки доступу в Android один опублікований приклад такої відмінності; документація вашого власного постачальника та, що важлива для вашого пристрою.

Значок VPN у рядку стану повідомляє, що телефон має тунель. Він не повідомляє, які інтерфейси охоплює цей тунель, і саме в цій прогалині живе більшість плутанини.

Умова друга: чи включено режим модема

Навіть тунель для всього пристрою може за задумом виключати пересланий трафік, бо правила маршрутизації застосунку писалися для локально створених пакетів. Включення під'єднаних клієнтів зазвичай вимагає явної підтримки постачальника або пристрою з root і власними правилами, які більшості людей пробувати не варто.

Перехід з Wi-Fi на USB цього не змінює. Підсистема режиму модема підтримує кілька транспортів, але транспорт не є рішенням про маршрутизацію. Кабель робить з'єднання стабільнішим і нічого не додає охопленню тунелю, тому порада «просто використай USB» відповідає на інше питання, а не на поставлене.

Старі рецепти, які очищують правила міжмережевого екрана й припускають певні назви інтерфейсів, не є переносними інструкціями. Вони писалися під конкретний пристрій, конкретний ROM і конкретний рік, і їхнє застосування до нинішнього телефона швидше зламає режим модема, ніж розширить тунель.

Умова третя: чия ідентичність потрібна одержувачу

Це умова, яка зазвичай і вирішує проєкт, і вона ніяк не пов'язана з точками доступу. Якщо ноутбуку треба потрапити до мережі роботодавця, важлива ідентичність належить ноутбуку, і споживчий VPN на телефоні не може її надати.

ip -brief addr show
curl -sS https://ifconfig.me/ip
dig +short myip.opendns.com @resolver1.opendns.com

Виконуйте ці команди на ноутбуці, а не на телефоні, бо питання в тому, що бачить одержувач з пристрою, який вас цікавить. Публічна адреса, яку повідомляє телефон, відповідає на питання про телефон.

Навіть збіжний результат з ноутбука слабкий доказ. Розв'язання імен, інші застосунки й поведінка за відмови тунелю належать пристрою, покриття якого ви перевіряєте, і один HTTP-запит не характеризує нічого з цього. Перевірте застосунок, який справді важливий, а потім перевірте його знову з навмисно вимкненим тунелем.

Що робити натомість, за порядком зусиль

Найдешевша правильна відповідь запустити VPN на ноутбуці. Під'єднайте його до точки доступу, нехай телефон забезпечує базове мобільне з'єднання, а тунель піднімайте з пристрою, якому потрібна ідентичність. Це працює з корпоративними VPN, і це найважливіший випадок.

Якщо пристрій узагалі не може запустити клієнт VPN, шукайте явно підтримуваний шлюз роздачі або дорожній маршрутизатор, який завершує тунель. Читайте його документацію для реальної платформи, а не припускайте, що функція точки доступу і є цим шлюзом.

Якщо ні те ні інше неможливе, прийміть обмеження, а не обходьте його рецептом, який ви не зможете підтримувати. VPN телефона покриває телефон; ноутбуку потрібен власний шлях, і знати це заздалегідь цінніше, ніж день експериментів з інтерфейсами. Задокументуйте домовленість, щоб наступна людина не відкривала її заново під час інциденту. Одного рядка у вікі команди достатньо.