Sdílení na Macu se objevuje přes VPN: vypnout, nebo skrýt?

Seznamy prohlížení se skládají z oznámení a oznámení není udělení přístupu. Někdo vidí název vašeho notebooku ve vzdáleném seznamu, protože multicastový dotaz překročil hranici, kterou router obvykle zastaví. Toto překročení vysvětluje jednak to, proč se záznam objevuje, jednak to, proč odstranění záznamu není totéž jako zavření služby. Než cokoli změníte, ujasněte si, proti kterému z těch dvou vlastně protestujete.

Co záznam v prohlížení skutečně je

Respondér mDNS na Macu odpovídá na dotazy na typy služeb, které hostuje, a odpověď nese název, port a několik textových záznamů. Klient, který se ptal, pak ten název zobrazí v seznamu. Nic ve výměně nedokazuje, že by spojení uspělo, a nic v ní neuděluje oprávnění: seznam je tvrzení o názvu, ne o přístupu. Právě tento rozdíl rozhoduje, zda máte něco vypnout, nebo přestat zveřejňovat.

Různé služby se registrují odděleně, takže zmizení jednoho záznamu neznamená, že se zastavila všechna oznámení. Sdílení souborů registruje jeden typ, sdílení obrazovky jiný a tiskárny, mediální knihovny a vývojářské nástroje registrují každé svůj. Než jeden přepínač budete považovat za hlavní ovládání, vypište, co je zaregistrováno a který proces to vlastní:

dns-sd -B _smb._tcp
lsof -nP -iUDP:5353

Multicast zůstává lokální, pokud ho něco nepřemostí

Multicast DNS posílá na link-lokální skupinu na UDP 5353 a routery tuto skupinu ve výchozím nastavení nepředávají. Tunel, který směruje unicastový provoz, proto objevování nechává za sebou, a proto je Mac na směrované VPN obvykle pro vzdálené pracoviště neviditelný. Přemostěný tunel nebo záměrně nastavený relay to mění tím, že oba konce umístí do jedné broadcastové domény. Jaký design máte, je vlastnost tunelu, ne názvu protokolu vytištěného na něm.

Prohlédněte konfiguraci serveru, zda přemosťuje rozhraní, nebo směruje podsíť, protože obojí se chová jinak u každého protokolu závislého na broadcastu. Pokud je tunel přemostěný, očekávejte únik více druhů oznámení, včetně věcí, které nikdo nechtěl zveřejnit. Pokud je směrovaný, záznam ve vzdáleném seznamu pravděpodobně dorazil přes relay nebo přes objevování založené na unicast DNS, ne přes multicastovou skupinu. Tyto cesty mají různé opravy a zablokování multicastového portu uzavře jen jednu z nich.

Zastavení služby je nejčistší hranice

Pokud Mac nemá co dělat se soubory, vypněte sdílení podporovaným ovládáním, místo abyste se snažili skrýt jeho oznámení. Na zastavenou službu se nelze připojit, nelze ji uhodnout ani ji nedostihne starý klient, který si název pamatoval. Tato vlastnost z ní dělá silnější ovládání a nepotřebuje vůbec žádnou spolupráci sítě.

Průvodce sdílením souborů od Apple popisuje model oprávnění pro sdílené složky, povolené uživatele a přístup hosta a panel sdílení ukazuje aktuální stav. Tyto tři projděte, když je služba skutečně potřeba, protože sdílení, které musí existovat, je sdílení, které je třeba vymezit. Přístup hosta si zaslouží vlastní pohled, protože může povolit připojení zcela bez přihlašovacích údajů. Pak ověřte, na kterých rozhraních služba naslouchá, protože sdílení nabízené na každém rozhraní je nabízené i na tunelu.

Když potřebujete službu, ale ne publikum

Někdy je sdílení legitimní a publikum ne. Omezit službu na schválené zdroje a ponechat objevování jako samostatné a menší ovládání je poctivé uspořádání. Pravidla firewallu, oprávnění pro jednotlivé uživatele a naslouchání na správném rozhraní zužují přístup způsoby, jaké skryté oznámení nedokáže.

Potlačení objevování je v přísném smyslu kosmetické: služba stále odpovídá každému, kdo zná název. Pokud je problémem samo zveřejnění, omezte ho ve vrstvě, která ho nese. V síti, kterou spravujete, to znamená rozhodnout, které typy služeb mají překročit hranici, a podle toho nastavit most, relay nebo filtr. Kopírování příkazu filtru mostu z fóra funguje jen tehdy, když váš server provozuje právě tento stack a tento režim tunelu, a v síti, kterou nespravujete, je poctivá odpověď, že nemůžete řídit, co si vzdálený klient pamatuje.

Podívejte se na to z vzdálené strany

Testujte ze vzdálené strany, ne z vlastní sítě Macu, a testujte čerstvé prohlížení, ne uložený seznam. Potom zkuste přímé připojení ke službě podle názvu a podle adresy, protože oba výsledky odpovídají na různé otázky. Chybějící záznam s úspěšným připojením znamená, že jste skryli štítek, zatímco neúspěšné připojení znamená, že jste zavřeli službu. Mezipaměť oba testy zfalšuje, pokud vynecháte obnovení, proto klienta spusťte znovu.

Zapište si, co jste změnili a ke kterému ze tří ovládání to patří: služba zastavena, přístup omezen, nebo objevování omezeno. Když někdo nahlásí, že se Mac stále objevuje, tento záznam vám řekne, zda je hlášení zastaralé, nebo se oznamuje jiná služba. Většina překvapení je tu druhá registrace, kterou si nikdo nepamatoval, že ji zapnul, ne rozbité ovládání.

Než usoudíte, že změna selhala, znovu zkontrolujte zbývající registrace. Krátký seznam je lepší než další kolo hádání.