A compartición do Mac aparece pola VPN: deterla ou ocultala?

As listas de navegación constrúense con anuncios, e un anuncio non é unha concesión de acceso. Alguén ve o nome do seu portátil nunha lista remota porque unha consulta multicast cruzou unha fronteira que normalmente a detén no router. Ese cruzamento explica tanto por que aparece a entrada como por que quitala non é o mesmo que pechar o servizo. Determine contra cal das dúas cousas se opón realmente antes de cambiar nada.

Que é realmente a entrada de navegación

Un respondedor mDNS no Mac responde ás consultas dos tipos de servizo que aloxa, e a resposta leva un nome, un porto e uns cantos rexistros de texto. O cliente que preguntou mostra despois ese nome nunha lista. Nada no intercambio demostra que unha conexión fose funcionar, e nada nel concede permiso: a lista é unha afirmación sobre un nome, non sobre o acceso. Esa distinción é a que decide se debe apagar algo ou deixar de publicalo.

Distintos servizos rexístranse por separado, así que a desaparición dunha entrada non significa que se detivesen todos os anuncios. A compartición de ficheiros rexistra un tipo, a de pantalla outro, e as impresoras, as bibliotecas multimedia e as ferramentas de desenvolvemento rexistran cada unha o seu. Antes de tratar un só interruptor como o control principal, enumere que está rexistrado e que proceso o posúe:

dns-sd -B _smb._tcp
lsof -nP -iUDP:5353

O multicast queda local se nada o ponte

O DNS multicast envía a un grupo local de enlace por UDP 5353, e os routers non reenvían ese grupo por defecto. Por iso un túnel que encamiña tráfico unicast deixa atrás o descubrimento, e por iso un Mac nunha VPN encamiñada adoita ser invisible para o sitio remoto. Un túnel ponteado, ou un relé configurado a propósito, cambia iso ao pór os dous extremos nun mesmo dominio de difusión. Que deseño teña vostede é unha propiedade do túnel, non do nome do protocolo impreso nel.

Inspeccione a configuración do servidor para ver se pontea unha interface ou encamiña unha subrede, porque ambos se comportan distinto para cada protocolo que depende da difusión. Se o túnel está ponteado, espere que se filtre máis dun tipo de anuncio, incluídas cousas que ninguén pretendía publicar. Se está encamiñado, unha entrada nunha lista remota probablemente chegou por un relé ou polo descubrimento baseado en DNS unicast, non polo grupo multicast. Eses camiños teñen arranxos distintos, e bloquear o porto multicast só pecha un deles.

Deter o servizo é a fronteira máis limpa

Se o Mac non ten nada que servir en ficheiros, apague a compartición co seu control admitido en lugar de intentar ocultar o seu anuncio. A un servizo detido non se pode conectar, nin adiviñar, nin alcanzar cun cliente antigo que recordase o nome. Esa propiedade convérteo no control máis forte, e non necesita ningunha cooperación da rede.

A guía de compartición de ficheiros de Apple describe o modelo de permisos para cartafoles compartidos, usuarios permitidos e acceso de convidado, e o panel de compartición mostra o estado actual. Revise eses tres cando o servizo sexa realmente necesario, porque unha compartición que debe existir é unha compartición que hai que acoutar. O acceso de convidado merece unha ollada propia, xa que pode permitir unha conexión sen credenciais ningunhas. Despois confirme en que interfaces escoita o servizo, porque unha compartición ofrecida en todas as interfaces ofrécese tamén no túnel.

Cando necesita o servizo pero non o público

Ás veces a compartición é lexítima e o público non. Restrinxir o servizo a fontes aprobadas, co descubrimento como control aparte e menor, é o arranxo honesto. As regras da devasa, os permisos por usuario e escoitar na interface correcta estreitan o acceso de formas que un anuncio oculto non pode.

Suprimir o descubrimento é cosmético en sentido estrito: o servizo segue respondendo a calquera que saiba o nome. Se o problema é a publicación mesma, límitea na capa que a transporta. Nunha rede que vostede administra, iso significa decidir que tipos de servizo deben cruzar a fronteira e configurar a ponte, o relé ou o filtro en consecuencia. Copiar un comando de filtro de ponte dun foro só funciona se o seu servidor executa exactamente esa pila e ese modo de túnel, e nunha rede que non administra a resposta honesta é que non pode controlar o que recorda un cliente remoto.

Míreo desde o lado remoto

Probe desde o lado remoto e non desde a propia rede do Mac, e probe unha navegación nova e non unha lista na caché. Despois intente unha conexión directa ao servizo por nome e por enderezo, porque os dous resultados responden preguntas distintas. Unha entrada ausente cunha conexión correcta significa que ocultou unha etiqueta, mentres que unha conexión fallida significa que pechou un servizo. A caché fai mentir ambas as probas se se salta a actualización, así que inicie o cliente de novo.

Anote que cambiou e a cal dos tres controls pertence: servizo detido, acceso restrinxido ou descubrimento limitado. Cando alguén informe de que o Mac segue aparecendo, ese rexistro diralle se o informe está obsoleto ou se outro servizo se está anunciando. A maioría das sorpresas aquí son un segundo rexistro que ninguén recordaba ter activado, non un control roto.

Volva comprobar os rexistros restantes antes de concluír que o cambio fallou. Unha lista curta vale máis que outra rolda de conxecturas.