La compartició del Mac apareix per la VPN: aturar-la o amagar-la?

Les llistes de navegació es construeixen amb anuncis, i un anunci no és un permís d'accés. Algú veu el nom del vostre portàtil en una llista remota perquè una consulta multicast ha travessat una frontera que normalment l'atura al router. Aquest creuament explica tant per què apareix l'entrada com per què treure l'entrada no és el mateix que tancar el servei. Decidiu a quin dels dos us oposau realment abans de canviar res.

Què és realment l'entrada de navegació

Un responedor mDNS al Mac contesta les consultes dels tipus de servei que allotja, i la resposta porta un nom, un port i uns quants registres de text. El client que ha preguntat mostra després aquest nom en una llista. Res de l'intercanvi no demostra que una connexió hagi de reeixir, i res no atorga permís: la llista és una afirmació sobre un nom, no sobre l'accés. Aquesta distinció és la que decideix si heu d'apagar alguna cosa o deixar de publicar-la.

Serveis diferents es registren per separat, així que la desaparició d'una entrada no vol dir que s'hagin aturat tots els anuncis. La compartició de fitxers registra un tipus, la de pantalla un altre, i les impressores, les biblioteques multimèdia i les eines de desenvolupament registren cadascuna el seu. Abans de tractar un sol interruptor com el control principal, llisteu què està registrat i quin procés en és propietari:

dns-sd -B _smb._tcp
lsof -nP -iUDP:5353

El multicast es queda local si res no el pontifica

El DNS multicast envia a un grup local d'enllaç per UDP 5353, i els routers no reenvien aquest grup per defecte. Per tant, un túnel que encamina trànsit unicast deixa el descobriment enrere, i per això un Mac en una VPN encaminada sol ser invisible per al lloc remot. Un túnel pontificat, o un relé configurat expressament, ho canvia posant els dos extrems en un sol domini de difusió. Quin disseny teniu és una propietat del túnel, no del nom del protocol imprès a sobre.

Inspeccioneu la configuració del servidor per veure si pontifica una interfície o encamina una subxarxa, perquè tots dos es comporten de manera diferent per a cada protocol dependent de la difusió. Si el túnel està pontificat, espereu que es filtri més d'un tipus d'anunci, incloent-hi coses que ningú no pretenia publicar. Si està encaminat, una entrada en una llista remota probablement ha arribat per un relé o pel descobriment basat en DNS unicast, no pel grup multicast. Aquests camins tenen arranjaments diferents, i bloquejar el port multicast només en tanca un.

Aturar el servei és la frontera més neta

Si el Mac no té cap feina de servir fitxers, apagueu la compartició amb el control admès en lloc d'intentar amagar-ne l'anunci. Un servei aturat no es pot connectar, ni endevinar, ni assolir per un client antic que recordava el nom. Aquesta propietat el converteix en el control més fort, i no necessita cap cooperació de la xarxa.

La guia de compartició de fitxers d'Apple descriu el model de permisos per a carpetes compartides, usuaris permesos i accés de convidat, i el tauler de compartició mostra l'estat actual. Reviseu aquests tres quan el servei sigui realment necessari, perquè una compartició que ha d'existir és una compartició que s'ha d'acotar. L'accés de convidat mereix una mirada pròpia, perquè pot permetre una connexió sense cap credencial. Després confirmeu en quines interfícies escolta el servei, perquè una compartició oferta a totes les interfícies també s'ofereix al túnel.

Quan necessiteu el servei però no el públic

De vegades la compartició és legítima i el públic no. Restringir el servei a fonts aprovades, amb el descobriment com a control separat i menor, és l'arranjament honest. Les regles del tallafoc, els permisos per usuari i escoltar a la interfície correcta estrenyen l'accés de maneres que un anunci amagat no pot.

Suprimir el descobriment és cosmètic en sentit estricte: el servei encara respon a qui sap el nom. Si el problema és la publicació mateixa, limiteu-la a la capa que la porta. En una xarxa que administreu, això vol dir decidir quins tipus de servei han de creuar la frontera i configurar el pont, el relé o el filtre d'acord amb això. Copiar una ordre de filtre de pont d'un fòrum només funciona si el vostre servidor executa exactament aquesta pila i aquest mode de túnel, i en una xarxa que no administreu la resposta honesta és que no podeu controlar què recorda un client remot.

Mireu-ho des del costat remot

Proveu des del costat remot i no des de la xarxa pròpia del Mac, i proveu una navegació nova i no una llista en memòria cau. Després intenteu una connexió directa al servei pel nom i per l'adreça, perquè els dos resultats responen preguntes diferents. Una entrada absent amb una connexió reeixida vol dir que heu amagat una etiqueta, mentre que una connexió fallida vol dir que heu tancat un servei. La memòria cau fa mentir tots dos tests si us salteu l'actualització, així que inicieu el client de nou.

Anoteu què heu canviat i a quin dels tres controls pertany: servei aturat, accés restringit o descobriment limitat. Quan algú informa que el Mac encara apareix, aquest registre us diu si l'informe és antic o si un altre servei s'anuncia. La majoria de sorpreses aquí són un segon registre que ningú no recordava haver activat, no un control trencat.

Torneu a comprovar els registres restants abans de concloure que el canvi ha fallat. Una llista curta val més que una altra ronda d'endevinalles.