Mac-Freigaben erscheinen über das VPN: abschalten oder verstecken?

Freigabelisten entstehen aus Ankündigungen, und eine Ankündigung ist keine Zugriffsgenehmigung. Jemand sieht den Namen Ihres Laptops in einer entfernten Liste, weil eine Multicast-Abfrage eine Grenze überquert hat, an der sie normalerweise am Router haltmacht. Diese Überquerung erklärt beides: warum der Eintrag erscheint und warum das Entfernen des Eintrags nicht dasselbe ist wie das Schließen des Dienstes. Klären Sie, gegen welche der beiden Möglichkeiten Sie sich eigentlich wenden, bevor Sie etwas ändern.

Was der Eintrag in der Freigabenliste wirklich ist

Ein mDNS-Responder auf dem Mac beantwortet Abfragen für die Diensttypen, die er anbietet, und die Antwort trägt einen Namen, einen Port und ein paar Textdatensätze. Der fragende Client zeigt diesen Namen dann in einer Liste an. Nichts am Austausch beweist, dass eine Verbindung gelingen würde, und nichts daran erteilt eine Berechtigung: Die Liste ist eine Behauptung über einen Namen, nicht über Zugriff. Genau diese Unterscheidung entscheidet, ob Sie etwas abschalten oder aufhören sollten, es bekannt zu machen.

Verschiedene Dienste registrieren sich getrennt, ein verschwindender Eintrag heißt also nicht, dass alle Ankündigungen aufgehört haben. Dateifreigabe registriert einen Typ, Bildschirmfreigabe einen anderen, und Drucker, Mediatheken und Entwicklerwerkzeuge registrieren jeweils ihren eigenen. Bevor Sie einen einzelnen Schalter als Hauptsteuerung betrachten, listen Sie auf, was registriert ist und welcher Prozess es besitzt:

dns-sd -B _smb._tcp
lsof -nP -iUDP:5353

Multicast bleibt lokal, solange nichts es überbrückt

Multicast-DNS sendet an eine link-lokale Gruppe auf UDP 5353, und Router leiten diese Gruppe standardmäßig nicht weiter. Ein Tunnel, der Unicast-Verkehr routet, lässt die Erkennung daher zurück, weshalb ein Mac in einem gerouteten VPN für den entfernten Standort meist unsichtbar ist. Ein gebrückter Tunnel oder ein bewusst eingerichtetes Relay ändert das, indem es beide Enden in eine Broadcast-Domäne legt. Welches Design Sie haben, ist eine Eigenschaft des Tunnels, nicht des darauf gedruckten Protokollnamens.

Prüfen Sie die Serverkonfiguration, ob sie eine Schnittstelle überbrückt oder ein Subnetz routet, denn beides verhält sich für jedes broadcastabhängige Protokoll anders. Ist der Tunnel gebrückt, rechnen Sie mit mehr als einer Art von Ankündigung, die durchsickert, einschließlich Dingen, die niemand veröffentlichen wollte. Ist er geroutet, ist ein Eintrag in einer entfernten Liste wahrscheinlich über ein Relay oder über unicast-DNS-basierte Erkennung angekommen statt über die Multicast-Gruppe. Diese Wege haben unterschiedliche Korrekturen, und das Blockieren des Multicast-Ports schließt nur einen davon.

Den Dienst zu stoppen ist die sauberste Grenze

Wenn der Mac nichts mit Dateien zu tun hat, schalten Sie die Freigabe über die unterstützte Steuerung ab, statt zu versuchen, ihre Ankündigung zu verstecken. Einen gestoppten Dienst kann man nicht verbinden, nicht erraten und nicht mit einem alten Client erreichen, der den Namen noch kannte. Diese Eigenschaft macht ihn zur stärkeren Kontrolle, und er braucht keinerlei Zusammenarbeit des Netzwerks.

Apples Leitfaden zur Dateifreigabe beschreibt das Berechtigungsmodell für freigegebene Ordner, zulässige Benutzer und Gästezugriff, und das Freigabenfenster zeigt den aktuellen Zustand. Prüfen Sie diese drei, wenn der Dienst wirklich gebraucht wird, denn eine Freigabe, die bestehen muss, ist eine Freigabe, die eingegrenzt werden muss. Der Gästezugriff verdient einen eigenen Blick, da er eine Verbindung ganz ohne Anmeldedaten erlauben kann. Bestätigen Sie dann, auf welchen Schnittstellen der Dienst lauscht, denn eine auf jeder Schnittstelle angebotene Freigabe wird auch am Tunnel angeboten.

Wenn Sie den Dienst brauchen, aber nicht das Publikum

Manchmal ist die Freigabe legitim und das Publikum nicht. Den Dienst auf zugelassene Quellen zu beschränken und die Erkennung als getrennte, geringere Kontrolle zu belassen, ist die ehrliche Regelung. Firewall-Regeln, Berechtigungen pro Benutzer und das Lauschen auf der richtigen Schnittstelle verengen den Zugriff auf Weisen, die eine versteckte Ankündigung nicht kann.

Die Erkennung zu unterdrücken ist im strengen Sinn kosmetisch: Der Dienst antwortet weiterhin jedem, der den Namen kennt. Wenn die Veröffentlichung selbst das Problem ist, begrenzen Sie sie auf der Schicht, die sie trägt. In einem Netz, das Sie verwalten, heißt das zu entscheiden, welche Diensttypen die Grenze überqueren sollen, und Brücke, Relay oder Filter entsprechend zu konfigurieren. Einen Brückenfilter-Befehl aus einem Forum zu kopieren funktioniert nur, wenn Ihr Server genau diesen Stack und diesen Tunnelmodus fährt, und in einem Netz, das Sie nicht verwalten, ist die ehrliche Antwort, dass Sie nicht steuern können, was ein entfernter Client sich merkt.

Betrachten Sie es von der entfernten Seite

Testen Sie von der entfernten Seite statt aus dem eigenen Netz des Macs, und testen Sie eine frische Suche statt einer zwischengespeicherten Liste. Versuchen Sie dann eine direkte Verbindung zum Dienst über den Namen und über die Adresse, denn die beiden Ergebnisse beantworten verschiedene Fragen. Ein fehlender Eintrag bei erfolgreicher Verbindung heißt, Sie haben ein Etikett versteckt, während eine fehlgeschlagene Verbindung heißt, Sie haben einen Dienst geschlossen. Caches lassen beide Tests lügen, wenn Sie die Aktualisierung auslassen, also starten Sie den Client neu.

Notieren Sie, was Sie geändert haben und zu welcher der drei Kontrollen es gehört: Dienst gestoppt, Zugriff eingeschränkt oder Erkennung begrenzt. Wenn jemand meldet, dass der Mac noch erscheint, sagt Ihnen diese Notiz, ob die Meldung veraltet ist oder ob ein anderer Dienst sich ankündigt. Die meisten Überraschungen hier sind eine zweite Registrierung, die niemand mehr anzustellen wusste, keine kaputte Kontrolle.

Prüfen Sie die verbleibenden Registrierungen erneut, bevor Sie schließen, dass die Änderung gescheitert ist. Eine kurze Bestandsliste ist besser als eine weitere Runde Raterei.