Чи переносить спільний доступ до інтернету інші пристрої у VPN?

Увімкнення спільного доступу до інтернету не поширює VPN на все, що стоїть на вашому столі. Дві функції відповідають на різні питання. Спільний доступ вирішує, яке з’єднання живить Mac і які інтерфейси роздають це з’єднання далі, тоді як VPN вирішує, куди йде трафік самого Mac. Чи успадкує другий пристрій тунель, залежить від маршрутизації, від політики клієнта і від того, що шлюз готовий пересилати, і це три речі, про які панель спільного доступу не знає нічого.

Міф: поділитися з’єднанням означає поділитися тунелем

Коли хтось каже, що це працює, зазвичай він спостерігав, що планшет за Mac завантажив сторінку. Це спостереження узгоджується з кількома різними шляхами, зокрема з тим, де сторінка вийшла прямо через фізичний висхідний канал, поки браузер Mac використовував тунель. Одне успішне завантаження сторінки нічого не розрізняє. Воно доводить лише те, що якийсь шлях існує.

Другий пристрій не успадковує сеанс. Він отримує адресу від Mac, надсилає пакети на Mac, і Mac вирішує, що з ними робити, за своєю власною таблицею маршрутизації та власним станом брандмауера. Це рішення ухвалюється для кожного з’єднання, а не для кожного пристрою. Два пристрої за одним і тим самим Mac можуть піти різними шляхами, якщо правила різняться.

Що насправді обирає панель спільного доступу

У Системних налаштуваннях елементи керування спільним доступом до інтернету запитують вихідне з’єднання та інтерфейси, які використовуватимуть інші пристрої. Джерелом є висхідний канал Mac, і власний посібник Apple попереджає, що необачний спільний доступ може порушити мережу, до якої ви підключені.

Ніщо в цьому діалозі не називає VPN шлюзом для пересилання трафіку. Вибір Ethernet як джерела не означає, що тунель ігнорується, і не означає, що тунель використовується; це означає, що фізичний інтерфейс Mac є оголошеним висхідним каналом, а рішення все ще ухвалює таблиця маршрутизації.

Доступні параметри залежать і від обладнання. Mac без порту Ethernet або такий, до якого не під’єднано док-станцію, не запропонує вибір, який передбачає посібник. Перевірте панель, яка у вас справді є, перш ніж щось навколо неї проєктувати.

Як пересланий пакет знаходить свій шлях

Пристрої нижче приховані за NAT, і Mac переписує їхні адреси, перш ніж надіслати щось угору. Якщо в цей момент тунель володіє маршрутом за замовчуванням, переписані пакети цілком можуть пройти через нього, і саме тому ця схема видається робочою в швидкій перевірці.

Вигляд — це не політика. Клієнт VPN для настільного комп’ютера побудований навколо трафіку самого Mac, і його аварійний вимикач зазвичай застосовує правила до локальних застосунків, а не до локальної мережі за машиною. Коли тунель падає, Mac може й далі пересилати для своїх гостей без жодного блокувального правила.

Є й питання версії. Постачальник, який задокументував підтримку спільного доступу в старій версії macOS, міг відтоді змінити поведінку, а посібник, що показує штатний запис VPN у списку джерел, може описувати інтерфейс, який ваш теперішній клієнт ніколи не створює.

Тож перевіряйте шлях, а не довіряйте схемі. Запустіть запит з другого пристрою й поспостерігайте за ним на обох кінцях, бо це єдиний доказ, який переживає оновлення клієнта. Перевірка, яку можна повторити після наступного оновлення, варта більше, ніж конфігурація, у яку ви лише вірите.

Обирайте межу охоплення усвідомлено

Якщо другий пристрій може запускати схвалений клієнт, це міцніша схема. Він отримує власний профіль, власну ідентичність і власну політику, а Mac лише надає мережу під ним.

Якщо він не може запускати клієнт, то потрібна або задокументована функція спільного доступу від постачальника VPN, або схвалений шлюз, який пересилає від імені пристрою. Обидва мають відповідального та визначений кінець, і це більше, ніж може запропонувати прапорець.

Роботодавці часто все одно вимагають модель на кожен пристрій, бо сеанс однієї машини, що представляє ще чотири, — це інше рішення про довіру, ніж чотири зареєстровані пристрої.

Що перевірити, перш ніж це обіцяти

Перевірте фактичне призначення другого пристрою, а не Mac. Приватний сервіс і публічний вихід — різні перевірки, і проходження однієї нічого не каже про іншу.

Перевірте обидві родини адрес і розв’язання імен. Схема, яка тунелює IPv4, але лишає IPv6 на фізичному каналі, дає пристрій, що виглядає захищеним у браузері й тече в усьому іншому.

Потім перевірте від’єднаний стан. Вимкніть тунель і повторіть перевірку з другого пристрою; якщо він досі виходить в інтернет, схема ділилася з’єднанням і ніколи не ділилася VPN, що є гарним результатом, доки ніхто не записав це як інше.