Berbagi di Mac muncul lewat VPN: hentikan atau sembunyikan?

Daftar penjelajahan dibangun dari pengumuman, dan pengumuman bukan pemberian akses. Seseorang melihat nama laptop Anda di daftar jauh karena kueri multicast melewati batas yang biasanya menghentikannya di router. Pelintasan itu menjelaskan mengapa entri muncul dan mengapa menghapus entri tidak sama dengan menutup layanan. Tentukan mana dari keduanya yang sebenarnya Anda tolak sebelum mengubah apa pun.

Apa sebenarnya entri penjelajahan itu

Responder mDNS di Mac menjawab kueri untuk jenis layanan yang dihostingnya, dan jawabannya membawa nama, port, dan beberapa catatan teks. Klien yang bertanya lalu menampilkan nama itu dalam daftar. Tidak ada apa pun dalam pertukaran itu yang membuktikan suatu koneksi akan berhasil, dan tidak ada yang memberi izin: daftar adalah klaim tentang nama, bukan tentang akses. Perbedaan itulah yang menentukan apakah Anda harus mematikan sesuatu atau berhenti mempublikasikannya.

Layanan berbeda mendaftar secara terpisah, jadi hilangnya satu entri bukan berarti semua pengumuman berhenti. Berbagi berkas mendaftarkan satu jenis, berbagi layar jenis lain, dan printer, pustaka media, serta alat pengembang masing-masing mendaftarkan jenisnya sendiri. Sebelum menganggap satu sakelar sebagai kendali utama, daftarkan apa yang terdaftar dan proses mana yang memilikinya:

dns-sd -B _smb._tcp
lsof -nP -iUDP:5353

Multicast tetap lokal kecuali ada yang menjembataninya

Multicast DNS mengirim ke grup lokal-taut pada UDP 5353, dan router tidak meneruskan grup itu secara bawaan. Karena itu terowongan yang merutekan lalu lintas unicast meninggalkan penemuan di belakang, dan itulah sebabnya Mac pada VPN terutekan biasanya tak terlihat bagi situs jauh. Terowongan terjembatani, atau relai yang dikonfigurasi dengan sengaja, mengubahnya dengan menempatkan kedua ujung dalam satu domain siaran. Rancangan mana yang Anda miliki adalah sifat terowongan, bukan nama protokol yang tercetak padanya.

Periksa konfigurasi server untuk melihat apakah ia menjembatani antarmuka atau merutekan subnet, karena keduanya berperilaku berbeda untuk setiap protokol yang bergantung pada siaran. Jika terowongan terjembatani, perkirakan lebih dari satu jenis pengumuman akan bocor, termasuk hal-hal yang tidak ingin dipublikasikan siapa pun. Jika terutekan, entri dalam daftar jauh mungkin tiba melalui relai atau penemuan berbasis DNS unicast, bukan melalui grup multicast. Jalur itu punya perbaikan berbeda, dan memblokir port multicast hanya menutup salah satunya.

Menghentikan layanan adalah batas terbersih

Jika Mac tidak punya urusan melayani berkas, matikan berbagi lewat kendali yang didukung alih-alih mencoba menyembunyikan pengumumannya. Layanan yang berhenti tidak dapat dihubungi, tidak dapat diduga, dan tidak dapat dijangkau klien lama yang mengingat namanya. Sifat itu menjadikannya kendali yang lebih kuat, dan sama sekali tidak perlu kerja sama jaringan.

Panduan berbagi berkas Apple menjelaskan model izin untuk folder bersama, pengguna yang diizinkan, dan akses tamu, dan panel berbagi menampilkan keadaan saat ini. Tinjau ketiganya ketika layanan benar-benar diperlukan, karena berbagi yang harus ada adalah berbagi yang harus dibatasi. Akses tamu layak dilihat sendiri, karena dapat mengizinkan koneksi tanpa kredensial sama sekali. Lalu pastikan antarmuka mana yang didengarkan layanan, karena berbagi yang ditawarkan pada setiap antarmuka juga ditawarkan pada terowongan.

Ketika Anda perlu layanannya tetapi tidak perlu audiensnya

Kadang berbagi itu sah dan audiensnya tidak. Membatasi layanan ke sumber yang disetujui, dengan penemuan dibiarkan sebagai kendali terpisah dan lebih kecil, adalah pengaturan yang jujur. Aturan firewall, izin per pengguna, dan mendengarkan pada antarmuka yang tepat mempersempit akses dengan cara yang tidak bisa dilakukan pengumuman tersembunyi.

Menekan penemuan bersifat kosmetik dalam arti ketat: layanan tetap menjawab siapa pun yang tahu namanya. Jika publikasi itu sendiri masalahnya, batasi di lapisan yang membawanya. Pada jaringan yang Anda kelola, itu berarti memutuskan jenis layanan mana yang boleh melewati batas dan mengonfigurasi jembatan, relai, atau filter sesuai itu. Menyalin perintah filter jembatan dari forum hanya berhasil jika server Anda menjalankan tumpukan dan mode terowongan itu persis, dan pada jaringan yang tidak Anda kelola jawaban jujurnya adalah Anda tidak dapat mengendalikan apa yang diingat klien jauh.

Lihatlah dari sisi jauh

Uji dari sisi jauh, bukan dari jaringan Mac sendiri, dan uji penjelajahan baru, bukan daftar yang di-cache. Lalu coba koneksi langsung ke layanan berdasarkan nama dan alamat, karena kedua hasil menjawab pertanyaan berbeda. Entri yang hilang dengan koneksi berhasil berarti Anda menyembunyikan label, sedangkan koneksi gagal berarti Anda menutup layanan. Cache membuat kedua uji berbohong jika Anda melewati penyegaran, jadi mulai ulang klien.

Catat apa yang Anda ubah dan ke kendali mana dari tiga itu: layanan dihentikan, akses dibatasi, atau penemuan dibatasi. Ketika seseorang melaporkan Mac masih muncul, catatan itu memberi tahu Anda apakah laporan sudah basi atau layanan lain mengumumkan dirinya. Kebanyakan kejutan di sini adalah pendaftaran kedua yang tidak diingat siapa pun pernah diaktifkan, bukan kendali yang rusak.

Periksa ulang pendaftaran yang tersisa sebelum menyimpulkan perubahan gagal. Daftar inventaris singkat lebih baik daripada putaran dugaan lain.