„Mac“ bendrinimas matomas per VPN: sustabdyti ar paslėpti?

Naršymo sąrašai sudaromi iš paskelbimų, o paskelbimas nėra prieigos leidimas. Kažkas mato jūsų nešiojamojo kompiuterio pavadinimą tolimame sąraše, nes multicast užklausa kirto ribą, kuri paprastai ją sustabdo maršrutizatoriuje. Tas kirtimas paaiškina ir kodėl įrašas atsiranda, ir kodėl įrašo pašalinimas nėra tas pats, kas paslaugos uždarymas. Prieš ką nors keisdami nuspręskite, kuriam iš šių dviejų iš tikrųjų prieštaraujate.

Kas iš tikrųjų yra naršymo įrašas

„Mac“ veikiantis mDNS atsakiklis atsako į užklausas dėl jo talpinamų paslaugų tipų, o atsakyme nurodomas pavadinimas, prievadas ir keli tekstiniai įrašai. Užklausą pateikęs klientas tada parodo tą pavadinimą sąraše. Niekas mainuose neįrodo, kad ryšys pavyks, ir niekas juose nesuteikia leidimo: sąrašas yra teiginys apie pavadinimą, o ne apie prieigą. Būtent šis skirtumas lemia, ar reikia ką nors išjungti, ar nustoti tai skelbti.

Skirtingos paslaugos registruojamos atskirai, todėl vienam įrašui dingus nereiškia, kad visi paskelbimai nutrūko. Failų bendrinimas registruoja vieną tipą, ekrano bendrinimas – kitą, o spausdintuvai, medijos bibliotekos ir kūrėjų įrankiai registruoja kiekvienas savąjį. Prieš laikydami vieną jungiklį pagrindine kontrole, išvardykite, kas užregistruota ir kuris procesas tai valdo:

dns-sd -B _smb._tcp
lsof -nP -iUDP:5353

Multicast lieka vietinis, nebent kas nors jį sujungia tiltu

Multicast DNS siunčia į nuorodai vietinę grupę UDP 5353, o maršrutizatoriai šios grupės pagal nutylėjimą nepersiunčia. Todėl tunelis, maršrutizuojantis unicast srautą, palieka aptikimą už nugaros, ir todėl „Mac“ maršrutizuotame VPN paprastai būna nematomas tolimajai svetainei. Tiltu sujungtas tunelis arba sąmoningai sukonfigūruotas releatas tai pakeičia, įdėdami abu galus į vieną transliacijos domeną. Kokia konstrukcija pas jus, yra tunelio savybė, o ne ant jo užrašyto protokolo pavadinimo.

Patikrinkite serverio konfigūraciją, ar jis jungia sąsają tiltu, ar maršrutizuoja potinklį, nes abu elgiasi skirtingai kiekviename nuo transliacijos priklausančiame protokole. Jei tunelis sujungtas tiltu, tikėkitės, kad nutekės daugiau nei vieno tipo paskelbimų, įskaitant tai, ko niekas neketino skelbti. Jei jis maršrutizuotas, tolimo sąrašo įrašas greičiausiai atėjo per releatą arba per unicast DNS pagrįstą aptikimą, o ne per multicast grupę. Šie keliai turi skirtingus sprendimus, o multicast prievado blokavimas uždaro tik vieną jų.

Paslaugos sustabdymas yra švariausia riba

Jei „Mac“ neturi ką veikti su failais, išjunkite bendrinimą naudodami palaikomą valdiklį, o ne bandydami paslėpti jo paskelbimą. Prie sustabdytos paslaugos negalima prisijungti, jos negalima atspėti ir jos nepasieks senas klientas, prisimenantis pavadinimą. Ši savybė daro ją stipresne kontrole, ir jai visiškai nereikia tinklo bendradarbiavimo.

„Apple“ failų bendrinimo vadovas aprašo leidimų modelį bendrinamiems aplankams, leidžiamiems naudotojams ir svečio prieigai, o bendrinimo skydelis rodo dabartinę būseną. Peržiūrėkite šiuos tris, kai paslaugos tikrai reikia, nes bendrinimas, kuris turi egzistuoti, yra bendrinimas, kurį reikia apriboti. Svečio prieiga nusipelno atskiro žvilgsnio, nes ji gali leisti ryšį visiškai be jokių prisijungimo duomenų. Tada patvirtinkite, kuriose sąsajose paslauga klausosi, nes kiekvienoje sąsajoje siūlomas bendrinimas siūlomas ir tunelyje.

Kai reikia paslaugos, bet ne publikos

Kartais bendrinimas yra teisėtas, o publika – ne. Paslaugos apribojimas patvirtintais šaltiniais, paliekant aptikimą atskira ir mažesne kontrole, yra sąžininga tvarka. Ugniasienės taisyklės, leidimai kiekvienam naudotojui ir klausymas tinkamoje sąsajoje susiaurina prieigą taip, kaip paslėptas paskelbimas negali.

Aptikimo slopinimas griežtąja prasme yra kosmetinis: paslauga vis dar atsako kiekvienam, kuris žino pavadinimą. Jei problema yra pats paskelbimas, apribokite jį sluoksnyje, kuris jį perneša. Tinkle, kurį valdote, tai reiškia nuspręsti, kurie paslaugų tipai turi peržengti ribą, ir atitinkamai sukonfigūruoti tiltą, releatą ar filtrą. Tiltų filtro komandos kopijavimas iš forumo veikia tik tada, kai jūsų serveris vykdo būtent tą rinkinį ir tą tunelio režimą, o tinkle, kurio nevaldote, sąžiningas atsakymas yra tai, kad negalite kontroliuoti, ką prisimena tolimas klientas.

Pažiūrėkite iš tolimosios pusės

Išbandykite iš tolimosios pusės, o ne iš paties „Mac“ tinklo, ir išbandykite naują naršymą, o ne talpykloje esantį sąrašą. Tada pabandykite tiesioginį ryšį su paslauga pagal pavadinimą ir pagal adresą, nes du rezultatai atsako į skirtingus klausimus. Trūkstamas įrašas su sėkmingu ryšiu reiškia, kad paslėpėte etiketę, o nepavykęs ryšys reiškia, kad uždarėte paslaugą. Talpykla verčia abu bandymus meluoti, jei praleisite atnaujinimą, todėl paleiskite klientą iš naujo.

Užsirašykite, ką pakeitėte ir kuriai iš trijų kontrolių tai priklauso: paslauga sustabdyta, prieiga apribota ar aptikimas apribotas. Kai kas nors praneša, kad „Mac“ vis dar matomas, tas įrašas pasako, ar pranešimas pasenęs, ar kita paslauga skelbia save. Dauguma netikėtumų čia yra antra registracija, kurios niekas neprisiminė įjungęs, o ne sugedusi kontrolė.

Dar kartą patikrinkite likusias registracijas, prieš darydami išvadą, kad pakeitimas nepavyko. Trumpas inventorizacijos sąrašas vertesnis už dar vieną spėliojimų ratą.