Mac-deling verschijnt via de VPN: stoppen of verbergen?

Browselijsten worden opgebouwd uit aankondigingen, en een aankondiging is geen toegangsverlening. Iemand ziet de naam van uw laptop in een externe lijst omdat een multicast-query een grens heeft overschreden die hem normaal bij de router tegenhoudt. Die overschrijding verklaart zowel waarom het item verschijnt als waarom het verwijderen van het item niet hetzelfde is als het sluiten van de dienst. Bepaal tegen welke van de twee u zich werkelijk verzet voordat u iets wijzigt.

Wat het browselijst-item werkelijk is

Een mDNS-responder op de Mac beantwoordt queries voor de diensttypen die hij host, en het antwoord draagt een naam, een poort en enkele tekstrecords. De client die vroeg toont die naam vervolgens in een lijst. Niets in de uitwisseling bewijst dat een verbinding zou lukken, en niets erin verleent toestemming: de lijst is een bewering over een naam, niet over toegang. Dat onderscheid bepaalt of u iets moet uitschakelen of moet ophouden het te publiceren.

Verschillende diensten registreren zich afzonderlijk, dus het verdwijnen van één item betekent niet dat alle aankondigingen zijn gestopt. Bestandsdeling registreert één type, schermdeling een ander, en printers, mediatheken en ontwikkelaarstools registreren elk hun eigen type. Voordat u één schakelaar als de hoofdcontrole beschouwt, lijst u op wat er is geregistreerd en welk proces het bezit:

dns-sd -B _smb._tcp
lsof -nP -iUDP:5353

Multicast blijft lokaal tenzij iets er een brug over legt

Multicast DNS stuurt naar een link-lokale groep op UDP 5353, en routers sturen die groep standaard niet door. Een tunnel die unicast-verkeer routeert laat de ontdekking dus achter, en daarom is een Mac op een gerouteerde VPN meestal onzichtbaar voor de externe locatie. Een overbrugde tunnel, of een relay die met opzet is ingesteld, verandert dat door beide uiteinden in één broadcast-domein te plaatsen. Welk ontwerp u hebt is een eigenschap van de tunnel, niet van de protocolnaam die erop is gedrukt.

Inspecteer de serverconfiguratie om te zien of die een interface overbrugt of een subnet routeert, want beide gedragen zich anders voor elk broadcast-afhankelijk protocol. Als de tunnel is overbrugd, verwacht dan dat meer dan één soort aankondiging weglekt, inclusief dingen die niemand wilde publiceren. Als hij is gerouteerd, is een item in een externe lijst waarschijnlijk via een relay of via unicast-DNS-gebaseerde ontdekking binnengekomen, niet via de multicast-groep. Die paden hebben verschillende oplossingen, en het blokkeren van de multicast-poort sluit er slechts één.

De dienst stoppen is de schoonste grens

Als de Mac niets met bestanden te maken heeft, schakel deling dan uit via de ondersteunde bediening in plaats van de aankondiging proberen te verbergen. Een gestopte dienst kun je niet verbinden, niet raden en niet bereiken met een oude client die de naam nog kende. Die eigenschap maakt hem de sterkere controle, en hij heeft helemaal geen samenwerking van het netwerk nodig.

De gids voor bestandsdeling van Apple beschrijft het machtigingsmodel voor gedeelde mappen, toegestane gebruikers en gasttoegang, en het deelvenster toont de huidige staat. Loop die drie na wanneer de dienst echt nodig is, want een deling die moet bestaan is een deling die moet worden afgebakend. Gasttoegang verdient een eigen blik, omdat die een verbinding zonder enige inloggegevens kan toestaan. Controleer daarna op welke interfaces de dienst luistert, want een deling die op elke interface wordt aangeboden, wordt ook op de tunnel aangeboden.

Wanneer u de dienst nodig hebt maar het publiek niet

Soms is de deling legitiem en het publiek niet. De dienst beperken tot goedgekeurde bronnen, met ontdekking als aparte en kleinere controle, is de eerlijke regeling. Firewallregels, machtigingen per gebruiker en luisteren op de juiste interface vernauwen de toegang op manieren die een verborgen aankondiging niet kan.

Ontdekking onderdrukken is in strikte zin cosmetisch: de dienst antwoordt nog steeds iedereen die de naam kent. Als de publicatie zelf het probleem is, beperk die dan in de laag die hem draagt. Op een netwerk dat u beheert betekent dat bepalen welke diensttypen de grens mogen overschrijden en de brug, relay of filter daarop instellen. Een brugfilter-opdracht van een forum kopiëren werkt alleen als uw server precies die stack en die tunnelmodus draait, en op een netwerk dat u niet beheert is het eerlijke antwoord dat u niet kunt bepalen wat een externe client onthoudt.

Bekijk het vanaf de externe kant

Test vanaf de externe kant en niet vanaf het eigen netwerk van de Mac, en test een verse browse en geen gecachte lijst. Probeer daarna een directe verbinding met de dienst op naam en op adres, want de twee resultaten beantwoorden verschillende vragen. Een ontbrekend item bij een geslaagde verbinding betekent dat u een label hebt verborgen, terwijl een mislukte verbinding betekent dat u een dienst hebt gesloten. De cache laat beide tests liegen als u het verversen overslaat, dus start de client opnieuw.

Noteer wat u hebt gewijzigd en bij welke van de drie controles het hoort: dienst gestopt, toegang beperkt of ontdekking beperkt. Wanneer iemand meldt dat de Mac nog verschijnt, vertelt die notitie u of het rapport verouderd is of dat een andere dienst zich aankondigt. De meeste verrassingen hier zijn een tweede registratie die niemand zich herinnerde te hebben aangezet, niet een kapotte controle.

Controleer de resterende registraties opnieuw voordat u concludeert dat de wijziging is mislukt. Een korte inventarislijst is beter dan nog een ronde gissen.