Споделувањето на Mac се појавува преку VPN: да го запреме или да го скриеме?

Списоците за прелистување се градат од објави, а објавата не е дозвола за пристап. Некој го гледа името на вашиот преносен сметач во далечен список затоа што барањето multicast премина граница што обично го запира на рутерот. Тоа преминување објаснува и зошто записот се појавува и зошто отстранувањето на записот не е исто што и затворање на услугата. Пред да промените нешто, одлучете на кое од двете всушност се противите.

Што е всушност записот за прелистување

mDNS одговорник на Mac одговара на барања за типовите услуги што ги хостира, а одговорот носи име, порта и неколку текстуални записи. Клиентот што прашал потоа го прикажува тоа име во список. Ништо во размената не докажува дека врската би успеала, и ништо во неа не дава дозвола: списокот е тврдење за име, не за пристап. Токму таа разлика одредува дали треба да исклучите нешто или да престанете да го објавувате.

Различни услуги се регистрираат одделно, па исчезнувањето на еден запис не значи дека сите објави престанале. Споделувањето датотеки регистрира еден тип, споделувањето екран друг, а печатачите, медиумските библиотеки и алатките за развивачи регистрираат секој свој. Пред да сметате еден прекинувач за главна контрола, наведете што е регистрирано и кој процес го поседува:

dns-sd -B _smb._tcp
lsof -nP -iUDP:5353

Multicast останува локален освен ако нешто не го премости

Multicast DNS праќа до група локална за врската на UDP 5353, а рутерите не ја препраќаат таа група стандардно. Затоа тунелот што маршрутира unicast сообраќај го остава откривањето зад себе, и затоа Mac на маршрутиран VPN обично е невидлив за далечната локација. Премостен тунел или намерно поставен реле го менува тоа ставајќи ги двата краја во еден домен на емитување. Каква конструкција имате е својство на тунелот, не на името на протоколот отпечатено врз него.

Прегледајте ја конфигурацијата на серверот за да видите дали премостува интерфејс или маршрутира подмрежа, бидејќи двете се однесуваат различно во секој протокол зависен од емитување. Ако тунелот е премостен, очекувајте истекување на повеќе од еден вид објава, вклучително и работи што никој не сакал да ги објави. Ако е маршрутиран, записот во далечен список најверојатно пристигнал преку реле или преку откривање засновано на unicast DNS, а не преку multicast групата. Тие патишта имаат различни поправки, а блокирањето на multicast портата затвора само еден од нив.

Запирањето на услугата е најчистата граница

Ако Mac нема работа со служење датотеки, исклучете го споделувањето преку поддржаната контрола наместо да се обидувате да ја скриете неговата објава. На запрена услуга не може да се поврзе, да се погоди или да ја достигне стар клиент што го помнел името. Тоа својство ја прави посилна контрола, и воопшто не бара соработка од мрежата.

Водичот за споделување датотеки на Apple го опишува моделот на дозволи за споделени папки, дозволени корисници и гостински пристап, а панелот за споделување ја покажува моменталната состојба. Прегледајте ги тие три кога услугата навистина е потребна, зашто споделување што мора да постои е споделување што мора да се ограничи. Гостинскиот пристап заслужува посебен поглед, бидејќи може да дозволи врска без никакви акредитиви. Потоа потврдете на кои интерфејси слуша услугата, зашто споделување понудено на секој интерфејс е понудено и на тунелот.

Кога ви треба услугата, но не и публиката

Понекогаш споделувањето е легитимно, а публиката не. Ограничувањето на услугата на одобрени извори, со откривање како одделна и помала контрола, е чесниот аранжман. Правилата на огнениот ѕид, дозволите по корисник и слушањето на вистинскиот интерфејс го стеснуваат пристапот на начини што скриена објава не може.

Потиснувањето на откривањето е козметичко во строга смисла: услугата сѐ уште одговара на секој што го знае името. Ако проблемот е самото објавување, ограничете го во слојот што го носи. На мрежа што ја администрирате, тоа значи да одлучите кои типови услуги треба да ја преминат границата и да го поставите мостот, релето или филтерот соодветно. Копирањето команда за филтер на мост од форум работи само ако вашиот сервер работи токму тој стек и тој режим на тунел, а на мрежа што не ја администрирате чесниот одговор е дека не можете да контролирате што помни далечен клиент.

Погледнете од далечната страна

Тестирајте од далечната страна, а не од сопствената мрежа на Mac, и тестирајте свежо прелистување, а не кеширан список. Потоа обидете се со директна врска до услугата по име и по адреса, зашто двата резултати одговараат на различни прашања. Запис што недостасува со успешна врска значи дека сте скриле ознака, а неуспешна врска значи дека сте затвориле услуга. Кешот ги прави двете тестови лажни ако го прескокнете освежувањето, затоа стартувајте го клиентот одново.

Запишете што сте смениле и на која од трите контроли припаѓа: услуга запрена, пристап ограничен или откривање ограничено. Кога некој ќе пријави дека Mac сѐ уште се појавува, тој запис ви кажува дали извештајот е застарен или друга услуга се објавува себеси. Повеќето изненадувања овде се втора регистрација што никој не се сетил да ја вклучи, а не расипана контрола.

Проверете ги повторно преостанатите регистрации пред да заклучите дека промената не успеала. Краток список е подобар од уште еден круг погодување.