Mac-dieling ferskynt oer de VPN: stopje of ferstopje?

Blêdzjelisten wurde boud út oankundigingen, en in oankundiging is gjin tagongstastimming. Ien sjocht de namme fan jo laptop yn in fiere list, om't in multicast-fraach in grins oerstutsen hat dy't him normaal by de router tsjinhâldt. Dy oerstek ferklearret sawol wêrom't de ynskriuwing ferskynt as wêrom't it fuortheljen fan de ynskriuwing net itselde is as it sluten fan de tsjinst. Beslis tsjin hokker fan de beide jo jo eins fersette, foardat jo eat feroarje.

Wat de blêdzje-ynskriuwing echt is

In mDNS-antwarder op 'e Mac antwardet fragen nei de tsjinsttypen dy't er host, en it antwurd draacht in namme, in poarte en in pear tekstrecords. De klant dy't frege hat, toant dy namme dan yn in list. Neat yn 'e útwikseling bewiist dat in ferbining slagje soe, en neat deryn jout tastimming: de list is in bewearing oer in namme, net oer tagong. Krekt dat ûnderskie bepaalt oft jo eat útsette moatte of ophâlde moatte it te publisearjen.

Ferskate tsjinsten registrearje ôfsûnderlik, dus ien ynskriuwing dy't ferdwynt betsjut net dat alle oankundigingen stoppe binne. Bestânsdieling registrearret ien type, skermdieling in oar, en printers, mediabiblioteken en ûntwikkelersark registrearje elk har eigen. Foardat jo ien skeakel as de haadkontrôle beskôgje, listje dan wat registrearre is en hokker proses it hat:

dns-sd -B _smb._tcp
lsof -nP -iUDP:5353

Multicast bliuwt lokaal, útsein as eat it oerbrêget

Multicast DNS stjoert nei in link-lokale groep op UDP 5353, en routers stjoere dy groep standert net troch. In tunnel dy't unicast-ferkear rûtelet, lit de ûntdekking dêrmei efter, en dêrom is in Mac op in rûtele VPN meastentiids ûnsichtber foar it fiere plak. In oerbrêge tunnel, of in relais dat mei opsetsin ynsteld is, feroaret dat troch beide einen yn ien broadcast-domein te setten. Hokker ûntwerp jo hawwe, is in eigenskip fan 'e tunnel, net fan 'e protokolnamme dy't deryn printe is.

Undersykje de serverkonfiguraasje om te sjen oft dy in ynterface oerbrêget of in subnet rûtelet, want de beide gedrage har oars foar elk broadcast-ôfhinklik protokol. Is de tunnel oerbrêge, ferwachtsje dan dat mear as ien soarte oankundiging lekket, ynklusyf dingen dy't nimmen fan doel wie te publisearjen. Is er rûtele, dan is in ynskriuwing yn in fiere list wierskynlik kommen fia in relais of fia unicast-DNS-basearre ûntdekking, net fia de multicast-groep. Dy paden hawwe ferskate oplossings, en it blokkearjen fan 'e multicast-poarte slút mar ien dêrfan.

De tsjinst stopje is de skjinste grins

As de Mac gjin saak hat mei it tsjinjen fan bestannen, skeakelje dieling dan út fia de stipe kontrôle ynstee fan te besykjen syn oankundiging te ferstopjen. Oan in stoppe tsjinst kin net ferbûn, ret wurde of berikt wurde troch in âlde klant dy't de namme ûnthâlden hie. Dy eigenskip makket it de sterkere kontrôle, en it hat hielendal gjin gearwurking fan it netwurk nedich.

De hantlieding oer bestânsdieling fan Apple beskriuwt it tastimmingsmodel foar dielde mappen, tastiene brûkers en gasttagong, en it dielingspaniel toant de hjoeddeiske steat. Besjoch dy trije as de tsjinst echt nedich is, want in dieling dy't bestean moat is in dieling dy't ôfbeakene wurde moat. Gasttagong fertsjinnet in eigen eachopslach, om't er in ferbining sûnder hokker bewiis dan ek tastean kin. Befêstigje dan op hokker ynterfaces de tsjinst harket, want in dieling dy't op elk ynterface oanbean wurdt, wurdt ek op 'e tunnel oanbean.

As jo de tsjinst nedich hawwe, mar it publyk net

Soms is de dieling legit, en it publyk net. De tsjinst beheine ta goedkarde boarnen, mei ûntdekking as in aparte en lytsere kontrôle, is de earlike regeling. Firewall-regels, tastimmingen per brûker en harkje op it juste ynterface ferengje de tagong op manieren dy't in ferstoppe oankundiging net kin.

It ûnderdrukken fan ûntdekking is kosmetysk yn 'e strikte sin: de tsjinst antwardet noch altyd elkenien dy't de namme ken. Is de publikaasje sels it probleem, beheine dy dan yn 'e laach dy't him draacht. Op in netwurk dat jo beheare, betsjut dat besluten hokker tsjinsttypen de grins oerstekke moatte en de brêge, it relais of it filter dêrop ynstelle. In brêgefilter-opdracht fan in forum kopiearje wurket allinnich as jo server krekt dy stack en dy tunnelmodus draait, en op in netwurk dat jo net beheare is it earlike antwurd dat jo net kontrolearje kinne wat in fiere klant ûnthâldt.

Besjoch it fan 'e fiere kant

Test fan 'e fiere kant ynstee fan fan it eigen netwurk fan 'e Mac, en test in frisse blêdzje ynstee fan in cache-list. Besykje dan in direkte ferbining mei de tsjinst op namme en op adres, want de beide resultaten antwardje ferskate fragen. In ûntbrekkende ynskriuwing mei in slagge ferbining betsjut dat jo in label ferstoppe hawwe, wylst in mislearre ferbining betsjut dat jo in tsjinst sletten hawwe. In cache lit beide tests lige as jo it ferfarskjen oerslaan, dus start de klant op 'e nij.

Skriuw op wat jo feroare hawwe en by hokker fan 'e trije kontrôles it heart: tsjinst stoppe, tagong beheind of ûntdekking beheind. As immen rapportearret dat de Mac noch ferskynt, fertelt dy notysje jo oft it rapport ferâldere is of oft in oare tsjinst himsels oankundiget. De measte ferrassingen hjir binne in twadde registraasje dy't nimmen ûnthâlden hie oan te setten, net in stikken kontrôle.

Kontrolearje de oerbleaune registraasjes op 'e nij foardat jo konkludearje dat de feroaring mislearre is. In koarte ynventarisaasjelist is better as noch in ronde rieden.