A Mac megosztása megjelenik a VPN-en: lekapcsolni vagy elrejteni?

A böngészési listák bejelentésekből épülnek fel, és egy bejelentés nem hozzáférési engedély. Valaki látja a laptopja nevét egy távoli listán, mert egy multicast lekérdezés átlépett egy határt, amelynél általában megáll a routeren. Ez az átlépés magyarázza egyszerre azt, hogy miért jelenik meg a bejegyzés, és azt, hogy a bejegyzés eltávolítása miért nem ugyanaz, mint a szolgáltatás lezárása. Bármit is változtat, előbb döntse el, melyik ellen igazából tiltakozik.

Mi is valójában a böngészési bejegyzés

A Macen futó mDNS válaszadó válaszol az általa kiszolgált szolgáltatástípusokra vonatkozó lekérdezésekre, és a válasz nevet, portot és néhány szöveges rekordot hordoz. A kérdező kliens ezután megjeleníti ezt a nevet egy listán. A csere semmije nem bizonyítja, hogy a kapcsolat sikerülni fog, és semmije nem ad engedélyt: a lista egy névre vonatkozó állítás, nem hozzáférésre vonatkozó. Ez a megkülönböztetés dönti el, hogy ki kell-e kapcsolnia valamit, vagy abba kell-e hagynia a közzétételét.

A különböző szolgáltatások külön regisztrálódnak, tehát egy bejegyzés eltűnése nem jelenti azt, hogy minden bejelentés leállt. A fájlmegosztás egy típust regisztrál, a képernyőmegosztás egy másikat, a nyomtatók, médiatárak és fejlesztői eszközök pedig mind a sajátjukat. Mielőtt egyetlen kapcsolót tekintene fő szabályozásnak, listázza, mi van regisztrálva, és melyik folyamat birtokolja:

dns-sd -B _smb._tcp
lsof -nP -iUDP:5353

A multicast helyben marad, hacsak valami át nem hidalja

A multicast DNS egy kapcsolathoz helyi csoportnak küld az UDP 5353-on, és a routerek alapértelmezés szerint nem továbbítják ezt a csoportot. Ezért az unicast forgalmat irányító alagút maga mögött hagyja a felderítést, és ezért szokott egy Mac az irányított VPN-en általában láthatatlan lenni a távoli hely számára. Egy áthidalt alagút vagy szándékosan beállított átjátszó ezt úgy változtatja meg, hogy mindkét végét egyetlen sugárzási tartományba teszi. Hogy melyik felépítése van, az az alagút tulajdonsága, nem a ráírt protokoll nevéé.

Vizsgálja meg a kiszolgáló beállításait, hogy egy interfészt hidal-e át vagy egy alhálózatot irányít, mert a kettő minden sugárzásfüggő protokollnál másként viselkedik. Ha az alagút áthidalt, számítson arra, hogy egynél több fajta bejelentés szivárog ki, köztük olyanok is, amelyeket senki nem akart közzétenni. Ha irányított, egy távoli listán szereplő bejegyzés valószínűleg átjátszón vagy unicast DNS-alapú felderítésen keresztül érkezett, nem a multicast csoporton át. Ezeknek az utaknak különböző javításaik vannak, és a multicast port blokkolása csak az egyiket zárja le.

A szolgáltatás leállítása a legtisztább határ

Ha a Macnek semmi dolga a fájlok kiszolgálásával, kapcsolja ki a megosztást a támogatott vezérlőjével, ahelyett hogy a bejelentését próbálná elrejteni. Egy leállított szolgáltatáshoz nem lehet csatlakozni, nem lehet kitalálni, és nem éri el egy régi kliens, amely emlékezett a névre. Ez a tulajdonság teszi erősebb szabályozássá, és egyáltalán nem igényel hálózati együttműködést.

Az Apple fájlmegosztási útmutatója leírja a jogosultsági modellt a megosztott mappákhoz, az engedélyezett felhasználókhoz és a vendéghozzáféréshez, és a megosztás panel mutatja a jelenlegi állapotot. Tekintse át ezt a hármat, amikor a szolgáltatás valóban szükséges, mert a megosztásnak, amelynek léteznie kell, körülhatároltnak is kell lennie. A vendéghozzáférés külön pillantást érdemel, mert hitelesítő adatok nélkül is engedhet kapcsolatot. Ezután erősítse meg, mely interfészeken figyel a szolgáltatás, mert a minden interfészen kínált megosztás az alagúton is kínált.

Amikor a szolgáltatás kell, de a közönség nem

Néha a megosztás jogszerű, a közönség pedig nem. A szolgáltatást jóváhagyott forrásokra korlátozni, a felderítést külön és kisebb szabályozásként hagyni a tisztességes megoldás. A tűzfalszabályok, a felhasználónkénti jogosultságok és a megfelelő interfészen való figyelés olyan módon szűkítik a hozzáférést, amire egy rejtett bejelentés nem képes.

A felderítés elnyomása szigorú értelemben kozmetikai: a szolgáltatás továbbra is válaszol mindenkinek, aki ismeri a nevet. Ha maga a közzététel a probléma, korlátozza azt abban a rétegben, amely hordozza. Egy általa felügyelt hálózaton ez azt jelenti, hogy eldönti, mely szolgáltatástípusok léphetik át a határt, és ennek megfelelően állítja be a hidat, az átjátszót vagy a szűrőt. Egy fórumról kimásolt hídszűrő parancs csak akkor működik, ha a kiszolgálója pontosan azt a vermet és azt az alagútmódot futtatja, és egy nem általa felügyelt hálózaton a tisztességes válasz az, hogy nem tudja szabályozni, mire emlékszik egy távoli kliens.

Nézze meg a távoli oldalról

A távoli oldalról teszteljen, ne a Mac saját hálózatából, és friss böngészést teszteljen, ne gyorsítótárazott listát. Utána próbáljon közvetlen kapcsolatot a szolgáltatáshoz név szerint és cím szerint, mert a két eredmény különböző kérdésekre válaszol. A hiányzó bejegyzés sikeres kapcsolattal azt jelenti, hogy elrejtett egy címkét, míg a sikertelen kapcsolat azt, hogy lezárt egy szolgáltatást. A gyorsítótár mindkét tesztet hazuggá teszi, ha kihagyja a frissítést, ezért indítsa újra a klienst.

Írja fel, mit változtatott, és hogy a három szabályozás közül melyikhez tartozik: szolgáltatás leállítva, hozzáférés korlátozva vagy felderítés korlátozva. Amikor valaki jelenti, hogy a Mac még mindig megjelenik, ez a feljegyzés megmondja, hogy a jelentés elavult-e, vagy egy másik szolgáltatás jelenti be magát. A legtöbb meglepetés itt egy második regisztráció, amelyet senki nem emlékezett bekapcsolni, nem pedig egy tönkrement szabályozás.

Ellenőrizze újra a fennmaradó regisztrációkat, mielőtt arra jutna, hogy a változtatás nem sikerült. Egy rövid leltárlista többet ér, mint még egy kör találgatás.