Споделянето на Mac се показва през VPN: да го спрем или да го скрием?

Списъците за преглед се строят от обявления, а обявлението не е разрешение за достъп. Някой вижда името на лаптопа ви в отдалечен списък, защото multicast заявка е пресякла граница, която обикновено я спира на рутера. Това пресичане обяснява едновременно защо записът се появява и защо премахването на записа не е същото като затваряне на услугата. Решете срещу кое от двете всъщност възразявате, преди да промените каквото и да е.

Какво всъщност е записът за преглед

mDNS отговорник на Mac отговаря на заявки за типовете услуги, които хоства, а отговорът носи име, порт и няколко текстови записа. Клиентът, който е попитал, после показва това име в списък. Нищо в обмена не доказва, че връзката ще успее, и нищо в него не дава разрешение: списъкът е твърдение за име, а не за достъп. Точно това разграничение решава дали да изключите нещо, или да спрете публикуването му.

Различните услуги се регистрират поотделно, така че изчезването на един запис не значи, че всички обявления са спрели. Споделянето на файлове регистрира един тип, споделянето на екран — друг, а принтерите, медийните библиотеки и инструментите за разработчици регистрират всеки своя. Преди да приемете един превключвател за главно управление, избройте какво е регистрирано и кой процес го притежава:

dns-sd -B _smb._tcp
lsof -nP -iUDP:5353

Multicast остава локален, освен ако нещо не го свърже

Multicast DNS изпраща към локална за връзката група на UDP 5353 и рутерите не препращат тази група по подразбиране. Затова тунел, който маршрутизира unicast трафик, оставя откриването назад и точно затова Mac в маршрутизиран VPN обикновено е невидим за отдалечения сайт. Свързан тунел или умишлено настроен релей променя това, като поставя двата края в един broadcast домейн. Какъв дизайн имате е свойство на тунела, а не на името на протокола, отпечатано върху него.

Прегледайте конфигурацията на сървъра, за да видите дали свързва интерфейс, или маршрутизира подмрежа, защото двете се държат различно при всеки протокол, зависещ от broadcast. Ако тунелът е свързан, очаквайте изтичане на повече от един вид обявление, включително неща, които никой не е възнамерявал да публикува. Ако е маршрутизиран, запис в отдалечен списък вероятно е пристигнал през релей или през откриване на база unicast DNS, а не през multicast групата. Тези пътища имат различни поправки и блокирането на multicast порта затваря само един от тях.

Спирането на услугата е най-чистата граница

Ако Mac няма работа да обслужва файлове, изключете споделянето чрез поддържаното управление, вместо да се опитвате да скриете обявлението му. Към спряна услуга не може да се свърже, да се отгатне или да се достигне стар клиент, който е запомнил името. Това свойство я прави по-силното управление и тя не изисква никакво съдействие от мрежата.

Ръководството за споделяне на файлове на Apple описва модела на разрешения за споделени папки, разрешени потребители и гостев достъп, а панелът за споделяне показва текущото състояние. Прегледайте тези три, когато услугата наистина е нужна, защото споделяне, което трябва да съществува, е споделяне, което трябва да бъде ограничено. Гостевият достъп заслужава отделен поглед, тъй като може да позволи връзка без никакви идентификационни данни. След това потвърдете по кои интерфейси слуша услугата, защото споделяне, предложено на всеки интерфейс, е предложено и на тунела.

Когато услугата е нужна, но публиката не

Понякога споделянето е законно, а публиката не е. Ограничаването на услугата до одобрени източници, с откриване като отделно и по-второстепенно управление, е честната уредба. Правилата на защитната стена, разрешенията за потребител и слушането на правилния интерфейс стесняват достъпа по начини, които скритото обявление не може.

Потискането на откриването е козметично в строгия смисъл: услугата все още отговаря на всеки, който знае името. Ако проблемът е самото публикуване, ограничете го в слоя, който го носи. В мрежа, която администрирате, това означава да решите кои типове услуги да пресичат границата и да настроите моста, релея или филтъра съответно. Копирането на команда за филтър на мост от форум работи само ако сървърът ви изпълнява точно този стек и този режим на тунел, а в мрежа, която не администрирате, честният отговор е, че не можете да контролирате какво помни отдалечен клиент.

Погледнете от отдалечената страна

Тествайте от отдалечената страна, а не от собствената мрежа на Mac, и тествайте нов преглед, а не кеширан списък. После опитайте директна връзка с услугата по име и по адрес, защото двата резултата отговарят на различни въпроси. Липсващ запис с успешна връзка означава, че сте скрили етикет, а неуспешна връзка означава, че сте затворили услуга. Кешът прави и двата теста лъжливи, ако пропуснете опресняването, затова стартирайте клиента наново.

Запишете какво сте променили и към кое от трите управления принадлежи: услуга спряна, достъп ограничен или откриване ограничено. Когато някой съобщи, че Mac все още се появява, този запис ви казва дали докладът е остарял, или друга услуга се обявява. Повечето изненади тук са втора регистрация, която никой не е запомнил да включи, а не счупено управление.

Проверете отново останалите регистрации, преди да заключите, че промяната е неуспешна. Кратък инвентарен списък е по-добър от още един кръг догадки.