Macの共有がVPN越しに見える：止めるか隠すか

ブラウズ一覧は告知から作られており、告知はアクセス許可ではありません。誰かが遠隔の一覧であなたのノートPCの名前を見るのは、マルチキャストの問い合わせが、通常はルーターで止まるはずの境界を越えたからです。その越境は、項目が現れる理由と、項目を消すことがサービスを閉じることと同じでない理由の両方を説明します。何かを変える前に、本当にどちらに異議があるのかを決めてください。

ブラウズ項目とは実際何か

Mac 上の mDNS レスポンダーは、自分が提供するサービスタイプへの問い合わせに応答し、その応答は名前、ポート、いくつかのテキストレコードを運びます。問い合わせたクライアントは、その名前を一覧に表示します。やり取りの中には接続が成功することを証明するものはなく、許可を与えるものもありません。一覧は名前についての主張であって、アクセスについての主張ではないのです。この区別が、何かを止めるべきか公開をやめるべきかを決めます。

サービスはそれぞれ別に登録されるので、一つの項目が消えてもすべての告知が止まったわけではありません。ファイル共有は一つのタイプを、画面共有は別のタイプを登録し、プリンタ、メディアライブラリ、開発者ツールもそれぞれ自分のタイプを登録します。一つのスイッチを主制御とみなす前に、何が登録され、どのプロセスがそれを持つのかを列挙してください。

dns-sd -B _smb._tcp
lsof -nP -iUDP:5353

マルチキャストは、何かがブリッジしない限りローカルにとどまる

マルチキャスト DNS は UDP 5353 のリンクローカルグループに送信し、ルーターは既定ではそのグループを転送しません。そのためユニキャスト通信をルーティングするトンネルは発見を置き去りにし、ルーティング型 VPN 上の Mac が通常は遠隔サイトから見えないのはそのためです。ブリッジされたトンネルや意図的に設定されたリレーは、両端を一つのブロードキャストドメインに置くことでこれを変えます。どちらの設計かはトンネルの性質であり、そこに印字されたプロトコル名の性質ではありません。

サーバー設定を調べ、インターフェースをブリッジしているのかサブネットをルーティングしているのかを確認してください。ブロードキャストに依存するあらゆるプロトコルで、両者の振る舞いは異なります。トンネルがブリッジされていれば、誰も公開するつもりのなかったものも含め、複数種類の告知が漏れると考えるべきです。ルーティングされていれば、遠隔の一覧の項目はマルチキャストグループではなく、リレーやユニキャスト DNS ベースの発見を通じて届いた可能性が高いです。これらの経路は修正方法が異なり、マルチキャストポートを塞いでも片方しか閉じられません。

サービスを止めるのが最もきれいな境界

Mac にファイルを提供する用事がないなら、告知を隠そうとするのではなく、サポートされた制御で共有をオフにしてください。停止したサービスには接続できず、推測もできず、名前を覚えていた古いクライアントも到達できません。その性質がより強い制御にし、ネットワークの協力を一切必要としません。

Appleの ファイル共有ガイド は、共有フォルダ、許可されたユーザ、ゲストアクセスの権限モデルを説明し、共有パネルに現在の状態が表示されます。サービスが本当に必要なときはこの三つを見直してください。存在させる必要のある共有は、範囲を定める必要のある共有だからです。ゲストアクセスは、資格情報なしで接続を許すことがあるため、別に見る価値があります。続いて、サービスがどのインターフェースで待ち受けているかを確認してください。すべてのインターフェースで提供される共有は、トンネルでも提供されます。

サービスは要るが観客は要らないとき

共有が正当で、観客がそうでないこともあります。サービスを承認済みの送信元に限定し、発見は別のより弱い制御として残すのが誠実な配置です。ファイアウォール規則、ユーザーごとの権限、正しいインターフェースでの待ち受けは、隠した告知にはできない形でアクセスを狭めます。

発見を抑えるのは厳密には化粧です。サービスは名前を知る誰にでも応答し続けます。公開そのものが問題なら、それを運ぶ層で制限してください。自分が管理するネットワークなら、どのサービスタイプを境界の向こうに出すかを決め、ブリッジ、リレー、フィルタをそれに合わせて設定することになります。フォーラムからブリッジフィルタのコマンドをコピーしても、自分のサーバーがまさにそのスタックと同じトンネルモードで動いていなければ機能しません。管理していないネットワークでは、遠隔のクライアントが何を覚えているかを制御できない、というのが正直な答えです。

遠隔側から見る

Mac 自身のネットワークからではなく遠隔側から試し、キャッシュされた一覧ではなく新規のブラウズを試してください。次に、名前とアドレスの両方でサービスへの直接接続を試します。二つの結果は別の問いに答えるからです。接続が成功して項目がないならラベルを隠したことになり、接続が失敗するならサービスを閉じたことになります。更新を省くとキャッシュが両方のテストを狂わせるので、クライアントは新しく起動してください。

何を変えたのか、それが三つの制御のどれに属するのかを書き留めてください。サービス停止、アクセス制限、発見の制限です。Mac がまだ見えるという報告があったとき、その記録は報告が古いのか、別のサービスが名乗っているのかを教えてくれます。ここでの驚きの多くは、誰も有効にした覚えのない二つ目の登録であり、壊れた制御ではありません。

変更が失敗したと結論する前に、残りの登録を再確認してください。短い棚卸し一覧のほうが、もう一巡の推測より役に立ちます。