Mac-deling wys oor die VPN: stop dit of steek dit weg?

Blaailye word uit aankondigings gebou, en ’n aankondiging is nie ’n toegangsverlening nie. Iemand sien jou skootrekenaar se naam in ’n afgeleë lys omdat ’n multicast-navraag ’n grens oorgesteek het wat dit gewoonlik by die router stop. Daardie oorskryding verduidelik beide waarom die inskrywing verskyn en waarom die verwydering van die inskrywing nie dieselfde is as om die diens te sluit nie. Bepaal eers watter van die twee jy werklik teëstaan voordat jy iets verander.

Wat die blaai-inskrywing werklik is

’n mDNS-beantwoorder op die Mac beantwoord navrae vir die dienstipes wat dit huisves, en die antwoord dra ’n naam, ’n poort en ’n paar teksrekords. Die kliënt wat gevra het, wys daardie naam dan in ’n lys. Niks in die uitruiling bewys dat ’n verbinding sou slaag nie, en niks daarin verleen toestemming nie: die lys is ’n bewering oor ’n naam, nie oor toegang nie. Daardie onderskeid bepaal of jy iets moet afskakel of moet ophou publiseer.

Verskillende dienste registreer afsonderlik, so een inskrywing wat verdwyn beteken nie dat elke aankondiging opgehou het nie. Lêerdeling registreer een tipe, skermdeling ’n ander, en drukkers, mediabiblioteke en ontwikkelaarnutsgoed registreer elkeen hul eie. Voordat jy ’n enkele skakelaar as die hoofbeheer beskou, lys wat geregistreer is en watter proses dit besit:

dns-sd -B _smb._tcp
lsof -nP -iUDP:5353

Multicast bly plaaslik tensy iets dit oorbrug

Multicast-DNS stuur na ’n skakel-plaaslike groep op UDP 5353, en routers stuur daardie groep nie by verstek aan nie. ’n Tonnel wat unicast-verkeer roeteer, laat ontdekking dus agter, en daarom is ’n Mac op ’n geroteerde VPN gewoonlik onsigbaar vir die afgeleë werf. ’n Oorbrugde tonnel, of ’n aflos wat doelbewus opgestel is, verander dit deur albei kante in een uitsaai-domein te plaas. Watter ontwerp jy het, is ’n eienskap van die tonnel, nie van die protokolnaam wat daarop gedruk is nie.

Ondersoek die bedienerkonfigurasie om te sien of dit ’n koppelvlak oorbrug of ’n subnet roeteer, want die twee gedra hulle anders vir elke uitsaai-afhanklike protokol. As die tonnel oorbrug is, verwag dat meer as een soort aankondiging lek, insluitend dinge wat niemand bedoel het om te publiseer nie. As dit geroteer is, het ’n inskrywing in ’n afgeleë lys waarskynlik deur ’n aflos of deur unicast-DNS-gebaseerde ontdekking gekom eerder as deur die multicast-groep. Daardie paaie het verskillende regstellings, en die blokkering van die multicast-poort sluit net een daarvan.

Om die diens te stop is die skoonste grens

As die Mac geen besigheid het om lêers te bedien nie, skakel deling af deur sy ondersteunde beheer eerder as om sy aankondiging te probeer wegsteek. ’n Gestopte diens kan nie gekonnekteer, geraai of bereik word deur ’n ou kliënt wat die naam onthou het nie. Daardie eienskap maak dit die sterker beheer, en dit benodig hoegenaamd geen netwerksamewerking nie.

Apple se lêerdelingsgids beskryf die toestemmingsmodel vir gedeelde gidse, toegelate gebruikers en gas-toegang, en die delingspaneel wys die huidige toestand. Hersien daardie drie wanneer die diens werklik nodig is, want ’n deling wat moet bestaan, is ’n deling wat afgebaken moet word. Gas-toegang verdien ’n eie kyk, want dit kan ’n verbinding heeltemal sonder geloofsbriewe toelaat. Bevestig dan op watter koppelvlakke die diens luister, want ’n deling wat op elke koppelvlak aangebied word, word ook op die tonnel aangebied.

Wanneer jy die diens nodig het maar nie die gehoor nie

Soms is die deling wettig en die gehoor nie. Om die diens tot goedgekeurde bronne te beperk, met ontdekking as ’n aparte en mindere beheer, is die eerlike reëling. Firewall-reëls, per-gebruiker-toestemmings en luister op die regte koppelvlak vernou toegang op maniere wat ’n versteekte aankondiging nie kan nie.

Om ontdekking te onderdruk is in die streng sin kosmeties: die diens antwoord steeds enigiemand wat die naam ken. As publikasie self die probleem is, beperk dit op die laag wat dit dra. Op ’n netwerk wat jy administreer, beteken dit om te besluit watter dienstipes die grens moet oorsteek en om die brug, aflos of filter dienooreenkomstig op te stel. Om ’n brugfilter-opdrag van ’n forum af te kopieer werk net as jou bediener daardie stapel en daardie tonnelmodus gebruik, en op ’n netwerk wat jy nie administreer nie, is die eerlike antwoord dat jy nie kan beheer wat ’n afgeleë kliënt onthou nie.

Kyk daarna van die afgeleë kant

Toets van die afgeleë kant eerder as van die Mac se eie netwerk, en toets ’n vars blaai eerder as ’n gekaste lys. Probeer dan ’n direkte verbinding na die diens op naam en op adres, want die twee resultate beantwoord verskillende vrae. ’n Ontbrekende inskrywing met ’n suksesvolle verbinding beteken jy het ’n etiket weggesteek, terwyl ’n mislukte verbinding beteken jy het ’n diens gesluit. Kashe maak albei toetse lieg as jy die verversing oorslaan, so begin die kliënt vars.

Skryf neer wat jy verander het en aan watter van die drie beheermaatreëls dit behoort: diens gestop, toegang beperk of ontdekking beperk. Wanneer iemand rapporteer dat die Mac steeds verskyn, sê daardie rekord vir jou of die rapport verouderd is of of ’n ander diens homself aankondig. Die meeste verrassings hier is ’n tweede registrasie wat niemand onthou om aan te skakel nie, nie ’n stukkende beheer nie.

Herkontroleer die oorblywende registrasies voordat jy aflei dat die verandering misluk het. ’n Kort inventariseringslys is beter as nog ’n ronde raaiwerk.