La condivisione del Mac appare sulla VPN: fermarla o nasconderla?

Gli elenchi di ricerca si costruiscono con annunci, e un annuncio non è una concessione di accesso. Qualcuno vede il nome del vostro portatile in un elenco remoto perché una query multicast ha attraversato un confine che di solito la ferma al router. Quell'attraversamento spiega sia perché la voce appare sia perché rimuoverla non equivale a chiudere il servizio. Stabilite contro quale dei due vi opponete davvero prima di cambiare qualsiasi cosa.

Che cos'è davvero la voce di ricerca

Un risponditore mDNS sul Mac risponde alle query per i tipi di servizio che ospita, e la risposta porta un nome, una porta e qualche record di testo. Il client che ha chiesto mostra poi quel nome in un elenco. Nulla nello scambio dimostra che una connessione riuscirebbe, e nulla concede permesso: l'elenco è un'affermazione su un nome, non sull'accesso. È quella distinzione a decidere se dobbiate spegnere qualcosa o smettere di pubblicarlo.

Servizi diversi si registrano separatamente, quindi la scomparsa di una voce non significa che tutti gli annunci si siano fermati. La condivisione di file registra un tipo, quella dello schermo un altro, e stampanti, librerie multimediali e strumenti per sviluppatori registrano ciascuno il proprio. Prima di trattare un solo interruttore come il controllo principale, elencate cosa è registrato e quale processo lo possiede:

dns-sd -B _smb._tcp
lsof -nP -iUDP:5353

Il multicast resta locale se nulla lo collega a ponte

Il DNS multicast invia a un gruppo locale al collegamento su UDP 5353, e i router non inoltrano quel gruppo per impostazione predefinita. Perciò un tunnel che instrada traffico unicast lascia indietro la scoperta, ed è per questo che un Mac su una VPN instradata è di solito invisibile al sito remoto. Un tunnel con ponte, o un relay configurato di proposito, cambia questo mettendo entrambe le estremità in un unico dominio di broadcast. Quale delle due strutture abbiate è una proprietà del tunnel, non del nome del protocollo stampato sopra.

Ispezionate la configurazione del server per vedere se collega a ponte un'interfaccia o instrada una sottorete, perché i due si comportano diversamente per ogni protocollo dipendente dal broadcast. Se il tunnel è con ponte, aspettatevi che filtri più di un tipo di annuncio, comprese cose che nessuno intendeva pubblicare. Se è instradato, una voce in un elenco remoto è probabilmente arrivata tramite un relay o tramite scoperta basata su DNS unicast, non tramite il gruppo multicast. Quei percorsi hanno correzioni diverse, e bloccare la porta multicast ne chiude solo uno.

Fermare il servizio è il confine più pulito

Se il Mac non ha nulla a che fare con la fornitura di file, spegnete la condivisione con il suo controllo supportato invece di cercare di nasconderne l'annuncio. A un servizio fermo non ci si può connettere, né indovinare, né arrivare con un vecchio client che ricordava il nome. Questa proprietà lo rende il controllo più forte, e non richiede alcuna collaborazione della rete.

La guida alla condivisione dei file di Apple descrive il modello di autorizzazioni per le cartelle condivise, gli utenti consentiti e l'accesso ospite, e il pannello di condivisione mostra lo stato attuale. Riesaminate questi tre quando il servizio è davvero necessario, perché una condivisione che deve esistere è una condivisione che va circoscritta. L'accesso ospite merita uno sguardo a parte, dato che può consentire una connessione senza alcuna credenziale. Poi verificate su quali interfacce il servizio è in ascolto, perché una condivisione offerta su ogni interfaccia è offerta anche sul tunnel.

Quando serve il servizio ma non il pubblico

A volte la condivisione è legittima e il pubblico non lo è. Limitare il servizio a fonti approvate, lasciando la scoperta come controllo separato e minore, è la sistemazione onesta. Le regole del firewall, le autorizzazioni per utente e l'ascolto sull'interfaccia giusta restringono l'accesso in modi che un annuncio nascosto non può.

Sopprimere la scoperta è cosmetico in senso stretto: il servizio risponde ancora a chiunque conosca il nome. Se il problema è la pubblicazione stessa, limitatela nello strato che la trasporta. Su una rete che amministrate, ciò significa decidere quali tipi di servizio devono attraversare il confine e configurare il ponte, il relay o il filtro di conseguenza. Copiare un comando di filtro del ponte da un forum funziona solo se il vostro server esegue esattamente quello stack e quella modalità di tunnel, e su una rete che non amministrate la risposta onesta è che non potete controllare ciò che un client remoto ricorda.

Guardatelo dal lato remoto

Provate dal lato remoto e non dalla rete del Mac stesso, e provate una ricerca nuova e non un elenco in cache. Poi tentate una connessione diretta al servizio per nome e per indirizzo, perché i due risultati rispondono a domande diverse. Una voce assente con connessione riuscita significa che avete nascosto un'etichetta, mentre una connessione fallita significa che avete chiuso un servizio. La cache fa mentire entrambi i test se saltate l'aggiornamento, quindi riavviate il client.

Annotate cosa avete cambiato e a quale dei tre controlli appartiene: servizio fermato, accesso limitato o scoperta limitata. Quando qualcuno segnala che il Mac appare ancora, quella nota vi dice se il rapporto è vecchio o se un altro servizio si sta annunciando. La maggior parte delle sorprese qui è una seconda registrazione che nessuno ricordava di aver attivato, non un controllo guasto.

Ricontrollate le registrazioni rimanenti prima di concludere che la modifica è fallita. Un breve elenco vale più di un altro giro di congetture.