La compartición del Mac aparece por la VPN: ¿detenerla o esconderla?

Las listas de navegación se construyen con anuncios, y un anuncio no es una concesión de acceso. Alguien ve el nombre de su portátil en una lista remota porque una consulta multicast cruzó una frontera que normalmente la detiene en el router. Ese cruce explica tanto por qué aparece la entrada como por qué quitarla no es lo mismo que cerrar el servicio. Determine contra cuál de las dos cosas se opone realmente antes de cambiar nada.

Qué es realmente la entrada de navegación

Un respondedor mDNS en el Mac responde a las consultas de los tipos de servicio que aloja, y la respuesta lleva un nombre, un puerto y unos cuantos registros de texto. El cliente que preguntó muestra después ese nombre en una lista. Nada en el intercambio demuestra que una conexión fuera a funcionar, y nada en él concede permiso: la lista es una afirmación sobre un nombre, no sobre el acceso. Esa distinción es la que decide si debe apagar algo o dejar de publicarlo.

Distintos servicios se registran por separado, así que la desaparición de una entrada no significa que se hayan detenido todos los anuncios. La compartición de archivos registra un tipo, la de pantalla otro, y las impresoras, las bibliotecas multimedia y las herramientas de desarrollo registran cada una el suyo. Antes de tratar un solo interruptor como el control principal, enumere qué está registrado y qué proceso lo posee:

dns-sd -B _smb._tcp
lsof -nP -iUDP:5353

El multicast se queda local si nada lo puentea

El DNS multicast envía a un grupo local de enlace por UDP 5353, y los routers no reenvían ese grupo por defecto. Por eso un túnel que enruta tráfico unicast deja atrás el descubrimiento, y por eso un Mac en una VPN enrutada suele ser invisible para el sitio remoto. Un túnel puenteado, o un relé configurado a propósito, lo cambia al poner ambos extremos en un mismo dominio de difusión. Qué diseño tenga usted es una propiedad del túnel, no del nombre del protocolo impreso en él.

Inspeccione la configuración del servidor para ver si puentea una interfaz o enruta una subred, porque ambos se comportan distinto para cada protocolo que depende de la difusión. Si el túnel está puenteado, espere que se filtre más de un tipo de anuncio, incluidas cosas que nadie pretendía publicar. Si está enrutado, una entrada en una lista remota probablemente llegó por un relé o por descubrimiento basado en DNS unicast, no por el grupo multicast. Esos caminos tienen arreglos distintos, y bloquear el puerto multicast solo cierra uno de ellos.

Detener el servicio es la frontera más limpia

Si el Mac no tiene nada que servir en archivos, apague la compartición con su control admitido en lugar de intentar esconder su anuncio. A un servicio detenido no se puede conectar, ni adivinar, ni alcanzar con un cliente antiguo que recordara el nombre. Esa propiedad lo convierte en el control más fuerte, y no necesita ninguna cooperación de la red.

La guía de compartición de archivos de Apple describe el modelo de permisos para carpetas compartidas, usuarios permitidos y acceso de invitado, y el panel de compartición muestra el estado actual. Revise esos tres cuando el servicio sea realmente necesario, porque una compartición que debe existir es una compartición que hay que acotar. El acceso de invitado merece una mirada propia, ya que puede permitir una conexión sin credenciales algunas. Luego confirme en qué interfaces escucha el servicio, porque una compartición ofrecida en todas las interfaces se ofrece también en el túnel.

Cuando necesita el servicio pero no al público

A veces la compartición es legítima y el público no. Restringir el servicio a fuentes aprobadas, con el descubrimiento como control aparte y menor, es el arreglo honesto. Las reglas de cortafuegos, los permisos por usuario y escuchar en la interfaz correcta estrechan el acceso de formas que un anuncio oculto no puede.

Suprimir el descubrimiento es cosmético en sentido estricto: el servicio sigue respondiendo a cualquiera que sepa el nombre. Si el problema es la publicación misma, limítela en la capa que la transporta. En una red que usted administra, eso significa decidir qué tipos de servicio deben cruzar la frontera y configurar el puente, el relé o el filtro en consecuencia. Copiar un comando de filtro de puente de un foro solo funciona si su servidor ejecuta exactamente esa pila y ese modo de túnel, y en una red que no administra la respuesta honesta es que no puede controlar lo que recuerda un cliente remoto.

Mírelo desde el lado remoto

Pruebe desde el lado remoto y no desde la propia red del Mac, y pruebe una navegación nueva y no una lista en caché. Luego intente una conexión directa al servicio por nombre y por dirección, porque los dos resultados responden preguntas distintas. Una entrada ausente con una conexión correcta significa que escondió una etiqueta, mientras que una conexión fallida significa que cerró un servicio. La caché hace mentir ambas pruebas si se salta la actualización, así que inicie el cliente de nuevo.

Anote qué cambió y a cuál de los tres controles pertenece: servicio detenido, acceso restringido o descubrimiento limitado. Cuando alguien informe de que el Mac sigue apareciendo, ese registro le dirá si el informe está obsoleto o si otro servicio se está anunciando. La mayoría de las sorpresas aquí son un segundo registro que nadie recordaba haber activado, no un control roto.

Vuelva a comprobar los registros restantes antes de concluir que el cambio fracasó. Una lista corta vale más que otra ronda de conjeturas.