Chia sẻ Internet có đưa các thiết bị khác của bạn vào VPN không?

Bật Chia sẻ Internet không mở rộng VPN tới mọi thứ trên bàn làm việc của bạn. Hai tính năng trả lời những câu hỏi khác nhau. Chia sẻ quyết định kết nối nào nuôi Mac và giao diện nào phát kết nối đó ra, còn VPN quyết định lưu lượng của chính Mac đi đâu. Việc thiết bị thứ hai có thừa hưởng đường hầm hay không phụ thuộc vào định tuyến, vào chính sách của ứng dụng khách và vào việc cổng vào sẵn lòng chuyển tiếp gì, tức là ba thứ mà bảng Chia sẻ không biết gì về chúng.

Lầm tưởng: chia sẻ kết nối là chia sẻ đường hầm

Khi ai đó nói nó hoạt động, điều họ thường quan sát là chiếc máy tính bảng phía sau Mac đã tải được một trang. Quan sát đó khớp với nhiều đường đi khác nhau, kể cả đường đi trong đó trang ra thẳng qua đường truyền vật lý trong khi trình duyệt của Mac dùng đường hầm. Một lần tải trang thành công không phân biệt được gì. Nó chỉ chứng minh rằng tồn tại một đường đi nào đó.

Thiết bị thứ hai không thừa hưởng một phiên. Nó nhận địa chỉ từ Mac, gửi gói tin tới Mac, và Mac quyết định làm gì với chúng theo bảng định tuyến và trạng thái tường lửa của chính nó. Quyết định đó diễn ra theo từng kết nối chứ không theo từng thiết bị. Hai thiết bị phía sau cùng một Mac có thể đi những đường khác nhau khi các quy tắc khác nhau.

Bảng Chia sẻ thực sự chọn điều gì

Trong Cài đặt Hệ thống, các điều khiển Chia sẻ Internet hỏi một kết nối nguồn và các giao diện mà thiết bị khác sẽ dùng. Nguồn là đường truyền của Mac, và hướng dẫn của chính Apple cảnh báo rằng chia sẻ bất cẩn có thể làm gián đoạn mạng bạn đang gắn vào.

Không có gì trong hộp thoại đó gọi tên VPN là cổng vào cho lưu lượng được chuyển tiếp. Chọn Ethernet làm nguồn không có nghĩa là đường hầm bị bỏ qua, cũng không có nghĩa là đường hầm được dùng; nó có nghĩa là giao diện vật lý của Mac là đường truyền được khai báo, và bảng định tuyến vẫn quyết định.

Các lựa chọn sẵn có cũng phụ thuộc vào phần cứng. Một chiếc Mac không có cổng Ethernet, hoặc có nhưng chưa nối dock, sẽ không đưa ra lựa chọn mà một bài hướng dẫn giả định. Hãy kiểm tra bảng điều khiển bạn thực sự có trước khi thiết kế bất cứ thứ gì dựa trên nó.

Một gói tin được chuyển tiếp tìm đường thế nào

Các thiết bị hạ nguồn bị ẩn sau NAT, và Mac viết lại địa chỉ của chúng trước khi gửi bất cứ thứ gì lên trên. Nếu vào lúc đó đường hầm sở hữu tuyến mặc định, các gói tin đã được viết lại hoàn toàn có thể đi qua nó, đó là lý do cách sắp xếp này có vẻ hoạt động trong một bài kiểm tra nhanh.

Vẻ ngoài không phải chính sách. Một ứng dụng VPN trên máy tính được xây quanh lưu lượng của chính Mac, và công tắc ngắt của nó thường áp quy tắc cho các ứng dụng cục bộ chứ không cho mạng LAN phía sau máy. Khi đường hầm sập, Mac có thể vẫn chuyển tiếp cho các khách của mình mà không có quy tắc chặn nào cả.

Còn có câu hỏi về phiên bản. Một nhà cung cấp từng ghi nhận hỗ trợ chia sẻ trên một bản macOS cũ có thể đã thay đổi hành vi từ đó, và một bài hướng dẫn hiển thị mục VPN gốc trong danh sách nguồn có thể mô tả một giao diện mà ứng dụng khách hiện tại của bạn không hề tạo ra.

Vậy hãy kiểm tra đường đi thay vì tin vào thiết kế. Chạy một yêu cầu từ thiết bị thứ hai và quan sát nó ở cả hai đầu, vì đó là bằng chứng duy nhất còn sống sót qua một lần cập nhật ứng dụng khách. Một bài kiểm tra bạn có thể lặp lại sau bản cập nhật tiếp theo đáng giá hơn một cấu hình mà bạn chỉ tin là đúng.

Chọn ranh giới phạm vi một cách có chủ đích

Nếu thiết bị thứ hai chạy được ứng dụng khách đã được phê duyệt, đó là cách sắp xếp vững hơn. Nó có hồ sơ riêng, danh tính riêng và chính sách riêng, còn Mac chỉ cung cấp mạng bên dưới.

Nếu thiết bị đó không chạy được ứng dụng khách, bạn cần một tính năng chia sẻ đã được nhà cung cấp VPN ghi nhận hoặc một cổng vào đã được phê duyệt để chuyển tiếp thay cho thiết bị. Cả hai đều đi kèm một người chịu trách nhiệm và một điểm kết thúc xác định, nhiều hơn những gì một ô đánh dấu có thể mang lại.

Các nhà tuyển dụng thường vẫn yêu cầu mô hình theo từng thiết bị, vì phiên của một máy đại diện cho bốn máy khác là một quyết định tin cậy khác với bốn thiết bị đã đăng ký.

Cần xác minh gì trước khi bạn hứa

Hãy kiểm tra đích thực tế của thiết bị thứ hai, không phải của Mac. Một dịch vụ riêng và một đầu ra công cộng là hai bài kiểm tra khác nhau, và vượt qua bài này không nói gì về bài kia.

Hãy kiểm tra cả hai họ địa chỉ và việc phân giải tên. Một thiết lập chỉ đưa IPv4 qua đường hầm trong khi để IPv6 trên liên kết vật lý tạo ra một thiết bị trông như được bảo vệ trong trình duyệt và rò rỉ ở mọi thứ khác.

Sau đó kiểm tra trạng thái ngắt kết nối. Tắt đường hầm và lặp lại bài kiểm tra từ thiết bị thứ hai; nếu nó vẫn ra được Internet, thì cách sắp xếp đó là chia sẻ một kết nối và chưa bao giờ chia sẻ VPN, một kết quả tốt miễn là không ai ghi nó là chuyện khác.