שיתוף ה-Mac מופיע דרך ה-VPN: לעצור או להסתיר?
רשומת עיון היא הכרזה, לא מתן הרשאה. החליטו אם לעצור את השירות, להגביל את משתמשיו או להגביל את הגילוי עצמו.
רשימות עיון נבנות מהכרזות, והכרזה אינה מתן הרשאה. מישהו רואה את שם המחשב הנייד שלכם ברשימה מרוחקת מפני ששאילתת multicast חצתה גבול שבדרך כלל עוצר אותה בנתב. החצייה הזו מסבירה גם מדוע הרשומה מופיעה וגם מדוע הסרת הרשומה אינה אותו דבר כמו סגירת השירות. החליטו נגד מה משניים אלה אתם באמת מתנגדים לפני שתשנו משהו.
מהי בעצם רשומת העיון
מגיב mDNS ב-Mac עונה לשאילתות על סוגי השירות שהוא מארח, והתשובה נושאת שם, פורט וכמה רשומות טקסט. הלקוח ששאל מציג אחר כך את השם הזה ברשימה. שום דבר בחילוף אינו מוכיח שחיבור יצליח, ושום דבר בו אינו מעניק הרשאה: הרשימה היא טענה על שם, לא על גישה. ההבחנה הזו היא שקובעת אם לכבות משהו או להפסיק לפרסם אותו.
שירותים שונים נרשמים בנפרד, כך שהיעלמות רשומה אחת אינה אומרת שכל ההכרזות פסקו. שיתוף קבצים רושם סוג אחד, שיתוף מסך אחר, ומדפסות, ספריות מדיה וכלי פיתוח רושמים כל אחד את שלו. לפני שאתם מתייחסים למתג אחד כאל הבקרה הראשית, רשמו מה רשום ואיזה תהליך מחזיק בו:
dns-sd -B _smb._tcp
lsof -nP -iUDP:5353Multicast נשאר מקומי אלא אם משהו מגשר עליו
Multicast DNS שולח לקבוצה מקומית לקישור בפורט UDP 5353, ונתבים אינם מעבירים את הקבוצה הזו כברירת מחדל. לכן מנהרה שמנתבת תעבורת unicast משאירה את הגילוי מאחור, וזו הסיבה ש-Mac ב-VPN מנותב בדרך כלל בלתי נראה לאתר המרוחק. מנהרה מגושרת, או ממסר שהוגדר בכוונה, משנה זאת בכך שהיא שמה את שני הקצוות באותו תחום שידור. איזה עיצוב יש לכם הוא תכונה של המנהרה, לא של שם הפרוטוקול המודפס עליה.
בדקו את תצורת השרת כדי לראות אם הוא מגשר ממשק או מנתב תת-רשת, כי השניים מתנהגים אחרת בכל פרוטוקול שתלוי בשידור. אם המנהרה מגושרת, צפו לדליפה של יותר מסוג הכרזה אחד, כולל דברים שאיש לא התכוון לפרסם. אם היא מנותבת, רשומה ברשימה מרוחקת הגיעה כנראה דרך ממסר או דרך גילוי מבוסס DNS חד-כיווני ולא דרך קבוצת ה-multicast. לנתיבים האלה תיקונים שונים, וחסימת פורט ה-multicast סוגרת רק אחד מהם.
עצירת השירות היא הגבול הנקי ביותר
אם ל-Mac אין עסק בהגשת קבצים, כבו את השיתוף דרך הבקרה הנתמכת במקום לנסות להסתיר את ההכרזה שלו. אל שירות עצור אי אפשר להתחבר, לא לנחש ולא להגיע דרך לקוח ישן שזכר את השם. התכונה הזו הופכת אותו לבקרה החזקה יותר, והוא אינו זקוק לשום שיתוף פעולה של הרשת.
מדריך שיתוף הקבצים של Apple מתאר את מודל ההרשאות לתיקיות משותפות, משתמשים מורשים וגישת אורח, וחלונית השיתוף מציגה את המצב הנוכחי. עברו על שלושת אלה כשהשירות באמת נדרש, כי שיתוף שחייב להתקיים הוא שיתוף שחייב להיות מוגבל. גישת אורח ראויה למבט נפרד, מפני שהיא יכולה לאפשר חיבור בלי שום אישורים. אחר כך ודאו באילו ממשקים השירות מאזין, כי שיתוף שמוצע בכל ממשק מוצע גם במנהרה.
כשצריך את השירות אבל לא את הקהל
לפעמים השיתוף לגיטימי והקהל לא. הגבלת השירות למקורות מאושרים, כשהגילוי נשאר בקרה נפרדת ופחותה, היא הסדר הכנה. כללי חומת אש, הרשאות לכל משתמש והאזנה בממשק הנכון מצמצמים גישה בדרכים שהכרזה מוסתרת אינה יכולה.
דיכוי הגילוי הוא קוסמטי במובן המחמיר: השירות עדיין עונה לכל מי שיודע את השם. אם הפרסום עצמו הוא הבעיה, הגבילו אותו בשכבה שנושאת אותו. ברשת שאתם מנהלים, פירוש הדבר להחליט אילו סוגי שירות צריכים לחצות את הגבול ולהגדיר את הגשר, הממסר או המסנן בהתאם. העתקת פקודת מסנן גשר מפורום עובדת רק אם השרת שלכם מריץ בדיוק את אותה ערימה ואותו מצב מנהרה, וברשת שאינכם מנהלים התשובה הכנה היא שאינכם יכולים לשלוט במה שלקוח מרוחק זוכר.
הביטו בו מהצד המרוחק
בדקו מהצד המרוחק ולא מהרשת של ה-Mac עצמו, ובדקו עיון חדש ולא רשימה שמורה במטמון. אחר כך נסו חיבור ישיר לשירות לפי שם ולפי כתובת, כי שתי התוצאות עונות על שאלות שונות. רשומה חסרה עם חיבור מוצלח משמעה שהסתרתם תווית, ואילו חיבור כושל משמעו שסגרתם שירות. המטמון גורם לשתי הבדיקות לשקר אם תדלגו על הרענון, לכן התחילו את הלקוח מחדש.
רשמו מה שיניתם ולאיזו משלוש הבקרות זה שייך: שירות עצור, גישה מוגבלת או גילוי מוגבל. כשמישהו מדווח שה-Mac עדיין מופיע, הרשומה הזו אומרת לכם אם הדיווח מיושן או ששירות אחר מכריז על עצמו. רוב ההפתעות כאן הן רישום שני שאיש לא זכר שהפעיל, לא בקרה שבורה.
בדקו שוב את הרישומים שנותרו לפני שתסיקו שהשינוי נכשל. רשימת מלאי קצרה עדיפה על עוד סבב ניחושים.