Udostępnianie na Macu pojawia się przez VPN: zatrzymać czy ukryć?

Listy przeglądania powstają z zapowiedzi, a zapowiedź nie jest nadaniem dostępu. Ktoś widzi nazwę twojego laptopa na zdalnej liście, ponieważ zapytanie multicast przekroczyło granicę, która zwykle zatrzymuje je na routerze. To przekroczenie wyjaśnia zarówno to, dlaczego wpis się pojawia, jak i to, dlaczego usunięcie wpisu nie jest tym samym co zamknięcie usługi. Zdecyduj, któremu z tych dwóch się właściwie sprzeciwiasz, zanim cokolwiek zmienisz.

Czym naprawdę jest wpis na liście przeglądania

Responder mDNS na Macu odpowiada na zapytania o typy usług, które hostuje, a odpowiedź niesie nazwę, port i kilka rekordów tekstowych. Klient, który zapytał, pokazuje potem tę nazwę na liście. Nic w tej wymianie nie dowodzi, że połączenie by się powiodło, i nic w niej nie daje uprawnienia: lista jest twierdzeniem o nazwie, nie o dostępie. To rozróżnienie decyduje, czy wyłączyć coś, czy przestać to publikować.

Różne usługi rejestrują się osobno, więc zniknięcie jednego wpisu nie oznacza, że wszystkie zapowiedzi ustały. Udostępnianie plików rejestruje jeden typ, udostępnianie ekranu inny, a drukarki, biblioteki multimediów i narzędzia programistyczne rejestrują każdy swój. Zanim uznasz jeden przełącznik za główną kontrolę, wypisz, co jest zarejestrowane i który proces to posiada:

dns-sd -B _smb._tcp
lsof -nP -iUDP:5353

Multicast pozostaje lokalny, jeśli nic go nie pomostuje

Multicast DNS wysyła do grupy lokalnej dla łącza na UDP 5353, a routery domyślnie nie przekazują tej grupy. Tunel, który routuje ruch unicast, zostawia więc wykrywanie z tyłu, i dlatego Mac w routowanym VPN jest zwykle niewidoczny dla zdalnej lokalizacji. Tunel pomostowany albo przekaźnik skonfigurowany celowo zmienia to, umieszczając oba końce w jednej domenie rozgłaszania. To, jaki masz projekt, jest cechą tunelu, a nie nazwy protokołu wydrukowanej na nim.

Sprawdź konfigurację serwera, czy mostkuje interfejs, czy routuje podsieć, bo oba zachowują się inaczej w każdym protokole zależnym od rozgłaszania. Jeśli tunel jest pomostowany, spodziewaj się wycieku więcej niż jednego rodzaju zapowiedzi, w tym rzeczy, których nikt nie zamierzał publikować. Jeśli jest routowany, wpis na zdalnej liście prawdopodobnie dotarł przez przekaźnik albo przez wykrywanie oparte na unicast DNS, a nie przez grupę multicast. Te ścieżki mają różne poprawki, a zablokowanie portu multicast zamyka tylko jedną z nich.

Zatrzymanie usługi to najczystsza granica

Jeśli Mac nie ma nic do roboty z plikami, wyłącz udostępnianie obsługiwanym mechanizmem zamiast próbować ukryć jego zapowiedź. Zatrzymanej usługi nie można połączyć, odgadnąć ani dosięgnąć starym klientem, który pamiętał nazwę. Ta właściwość czyni ją silniejszą kontrolą i nie wymaga żadnej współpracy sieci.

Przewodnik po udostępnianiu plików firmy Apple opisuje model uprawnień dla współdzielonych folderów, dozwolonych użytkowników i dostępu gościa, a panel udostępniania pokazuje bieżący stan. Przejrzyj te trzy, gdy usługa jest naprawdę potrzebna, bo udostępnianie, które musi istnieć, jest udostępnianiem, które trzeba ograniczyć. Dostęp gościa zasługuje na osobne spojrzenie, ponieważ może zezwolić na połączenie bez żadnych poświadczeń. Następnie potwierdź, na których interfejsach usługa nasłuchuje, bo udostępnianie oferowane na każdym interfejsie jest oferowane także na tunelu.

Gdy potrzebujesz usługi, ale nie publiczności

Czasem udostępnianie jest uzasadnione, a publiczność nie. Ograniczenie usługi do zatwierdzonych źródeł, z wykrywaniem jako osobną i mniejszą kontrolą, to uczciwe rozwiązanie. Reguły zapory, uprawnienia dla użytkownika i nasłuchiwanie na właściwym interfejsie zawężają dostęp w sposób, w jaki ukryta zapowiedź nie potrafi.

Tłumienie wykrywania jest kosmetyczne w ścisłym sensie: usługa nadal odpowiada każdemu, kto zna nazwę. Jeśli problemem jest sama publikacja, ogranicz ją w warstwie, która ją przenosi. W sieci, którą administrujesz, oznacza to decyzję, które typy usług mają przekraczać granicę, i skonfigurowanie mostu, przekaźnika lub filtra odpowiednio. Kopiowanie polecenia filtra mostu z forum działa tylko wtedy, gdy twój serwer uruchamia dokładnie ten stos i ten tryb tunelu, a w sieci, której nie administrujesz, uczciwą odpowiedzią jest to, że nie kontrolujesz, co pamięta zdalny klient.

Spójrz ze zdalnej strony

Testuj ze zdalnej strony, a nie z własnej sieci Maca, i testuj świeże przeglądanie, a nie listę z pamięci podręcznej. Następnie spróbuj bezpośredniego połączenia z usługą po nazwie i po adresie, bo oba wyniki odpowiadają na różne pytania. Brak wpisu przy udanym połączeniu oznacza, że ukryłeś etykietę, natomiast nieudane połączenie oznacza, że zamknąłeś usługę. Pamięć podręczna sprawia, że oba testy kłamią, jeśli pominiesz odświeżenie, więc uruchom klienta od nowa.

Zapisz, co zmieniłeś i do której z trzech kontroli to należy: usługa zatrzymana, dostęp ograniczony albo wykrywanie ograniczone. Gdy ktoś zgłosi, że Mac nadal się pojawia, ta notatka powie ci, czy zgłoszenie jest nieaktualne, czy inna usługa się zapowiada. Większość niespodzianek to druga rejestracja, o której nikt nie pamiętał, że ją włączył, a nie zepsuta kontrola.

Sprawdź ponownie pozostałe rejestracje, zanim uznasz, że zmiana się nie powiodła. Krótka lista wystarczy lepiej niż kolejna runda zgadywania.