Абагульванне на Mac бачна праз VPN: спыніць ці схаваць?

Спісы агляду будуюцца з аб'яваў, а аб'ява — не дазвол на доступ. Нехта бачыць назву вашага ноўтбука ў аддаленым спісе, бо запыт multicast перайшоў мяжу, на якой ён звычайна спыняецца на маршрутызатары. Гэты пераход тлумачыць і тое, чаму запіс з'яўляецца, і тое, чаму выдаленне запісу не тое ж самае, што закрыццё службы. Вызначце, супраць чаго з гэтых двух вы насамрэч пярэчыце, перш чым нешта змяняць.

Што такое запіс агляду насамрэч

Адказнік mDNS на Mac адказвае на запыты пра тыпы службаў, якія ён абслугоўвае, і адказ нясе назву, порт і некалькі тэкставых запісаў. Кліент, які запытаў, затым паказвае гэтую назву ў спісе. Нішто ў абмене не даказвае, што злучэнне ўдасца, і нішто ў ім не дае дазволу: спіс — гэта сцвярджэнне пра назву, а не пра доступ. Менавіта гэтае размежаванне вырашае, ці варта нешта выключыць, ці спыніць публікацыю.

Розныя службы рэгіструюцца асобна, таму знікненне аднаго запісу не азначае, што ўсе аб'явы спыніліся. Абагульванне файлаў рэгіструе адзін тып, абагульванне экрана — іншы, а прынтэры, медыятэкі і інструменты распрацоўніка рэгіструюць кожны свой. Перш чым лічыць адзін перамыкач галоўным кіраваннем, пералічыце, што зарэгістравана і які працэс гэтым валодае:

dns-sd -B _smb._tcp
lsof -nP -iUDP:5353

Multicast застаецца лакальным, пакуль нешта яго не злучыць

Multicast DNS дасылае на лакальна-звязаную групу па UDP 5353, і маршрутызатары не перадаюць гэтую групу па змаўчанні. Таму тунель, які маршрутызуе адрасны трафік, пакідае выяўленне ззаду, і менавіта таму Mac у маршрутызаваным VPN звычайна нябачны для аддаленага сайта. Злучаны тунель або наўмысна наладжаны рэлей змяняе гэта, змяшчаючы абодва канцы ў адзін шырокавяшчальны дамен. Які ў вас дызайн — гэта ўласцівасць тунеля, а не назвы пратаколу, надрукаванай на ім.

Агледзыце канфігурацыю сервера, каб убачыць, ці ён злучае інтэрфейс, ці маршрутызуе падсетку, бо гэтыя два паводзяць сябе па-рознаму для кожнага пратаколу, залежнага ад шырокавяшчальнасці. Калі тунель злучаны, чакайце ўцечкі больш чым аднаго тыпу аб'яваў, уключаючы рэчы, якія ніхто не збіраўся публікаваць. Калі ён маршрутызаваны, запіс у аддаленым спісе хутчэй за ўсё прыйшоў праз рэлей або праз выяўленне на аснове адраснага DNS, а не праз групу multicast. Гэтыя шляхі маюць розныя выпраўленні, і блакаванне порта multicast закрывае толькі адзін з іх.

Спыненне службы — самая чыстая мяжа

Калі ў Mac няма справы абслугоўваць файлы, выключыце абагульванне праз падтрымліванае кіраванне, замест таго каб спрабаваць схаваць аб'яву. Да спыненай службы нельга падключыцца, яе нельга ўгадаць, і да яе не дабярэцца стары кліент, які памятаў назву. Гэтая ўласцівасць робіць яе мацнейшым кіраваннем, і яна зусім не патрабуе ўзаемадзеяння з сеткай.

Дапаможнік па абагульванні файлаў ад Apple апісвае мадэль дазволаў для агульных папак, дазволеных карыстальнікаў і гасцявога доступу, а панэль абагульвання паказвае бягучы стан. Перагледзьце гэтыя тры, калі служба сапраўды патрэбна, бо абагульванне, якое павінна існаваць, — гэта абагульванне, якое трэба абмежаваць. Гасцявы доступ заслугоўвае асобнага позірку, бо ён можа дазволіць злучэнне зусім без уліковых даных. Затым пацвердзіце, на якіх інтэрфейсах служба слухае, бо абагульванне, прапанаванае на кожным інтэрфейсе, прапануецца і на тунелі.

Калі служба патрэбна, а аўдыторыя — не

Часам абагульванне законнае, а аўдыторыя — не. Абмежаванне службы зацверджанымі крыніцамі, з пакіданнем выяўлення асобным і другарадным кіраваннем, — гэта сумленная дамоўленасць. Правілы фаервала, дазволы на карыстальніка і праслухоўванне на правільным інтэрфейсе звужаюць доступ так, як схаваная аб'ява не можа.

Падаўленне выяўлення — касметыка ў строгім сэнсе: служба ўсё яшчэ адказвае ўсім, хто ведае назву. Калі праблема ў самой публікацыі, абмяжуйце яе на ўзроўні, які яе нясе. У сетцы, якой вы кіруеце, гэта значыць вырашыць, якія тыпы службаў павінны перасякаць мяжу, і наладзіць мост, рэлей або фільтр адпаведна. Капіраванне каманды фільтра моста з форуму працуе, толькі калі ваш сервер выконвае менавіта гэты стек і гэты рэжым тунеля, а ў сетцы, якой вы не кіруеце, сумленны адказ такі: вы не можаце кантраляваць, што памятае аддалены кліент.

Паглядзіце на гэта з аддаленага боку

Тэстуйце з аддаленага боку, а не з уласнай сеткі Mac, і тэстуйце свежы агляд, а не кэшаваны спіс. Затым паспрабуйце прамое злучэнне са службай па назве і па адрасе, бо два вынікі адказваюць на розныя пытанні. Адсутны запіс пры паспяховым злучэнні азначае, што вы схавалі этыкетку, а няўдалае злучэнне азначае, што вы закрылі службу. Кэш прымушае абодва тэсты хлусіць, калі вы прапусціце абнаўленне, таму запусціце кліент нанова.

Запішыце, што вы змянілі і да якога з трох кіраванняў гэта належыць: служба спынена, доступ абмежаваны або выяўленне абмежавана. Калі нехта паведамляе, што Mac усё яшчэ з'яўляецца, гэты запіс скажа вам, ці справаздача састарэла, ці сябе абвяшчае іншая служба. Большасць нечаканасцяў тут — другая рэгістрацыя, якую ніхто не ўзгадаў уключыць, а не зламанае кіраванне.

Пераправерце рэшту рэгістрацый, перш чым рабіць выснову, што змена не ўдалася. Кароткі інвентарны спіс лепш за чарговы раўнд здагадак.