A partilha do Mac aparece pela VPN: parar ou esconder?

As listas de navegação são construídas a partir de anúncios, e um anúncio não é uma concessão de acesso. Alguém vê o nome do seu portátil numa lista remota porque uma consulta multicast atravessou uma fronteira que normalmente a detém no router. Essa travessia explica tanto por que a entrada aparece como por que removê-la não é o mesmo que fechar o serviço. Decida contra qual dos dois se opõe realmente antes de mudar seja o que for.

O que é realmente a entrada de navegação

Um respondedor mDNS no Mac responde a consultas sobre os tipos de serviço que aloja, e a resposta leva um nome, uma porta e alguns registos de texto. O cliente que perguntou mostra depois esse nome numa lista. Nada no intercâmbio prova que uma ligação teria êxito, e nada nele concede permissão: a lista é uma afirmação sobre um nome, não sobre o acesso. É essa distinção que decide se deve desligar algo ou deixar de o publicar.

Serviços diferentes registam-se separadamente, por isso o desaparecimento de uma entrada não significa que todos os anúncios pararam. A partilha de ficheiros regista um tipo, a de ecrã outro, e as impressoras, bibliotecas de multimédia e ferramentas de programação registam cada uma o seu. Antes de tratar um único interruptor como o controlo principal, enumere o que está registado e que processo o possui:

dns-sd -B _smb._tcp
lsof -nP -iUDP:5353

O multicast fica local a menos que algo o ligue em ponte

O DNS multicast envia para um grupo local ao link no UDP 5353, e os routers não reencaminham esse grupo por predefinição. Por isso um túnel que encaminha tráfego unicast deixa a descoberta para trás, e é por isso que um Mac numa VPN encaminhada costuma ser invisível para o site remoto. Um túnel com ponte, ou um relay configurado de propósito, muda isso ao colocar as duas pontas num único domínio de difusão. Qual dos dois desenhos tem é uma propriedade do túnel, não do nome do protocolo impresso nele.

Inspecione a configuração do servidor para ver se liga uma interface em ponte ou encaminha uma sub-rede, porque os dois comportam-se de forma diferente em cada protocolo dependente de difusão. Se o túnel tem ponte, espere que escape mais do que um tipo de anúncio, incluindo coisas que ninguém pretendia publicar. Se é encaminhado, uma entrada numa lista remota provavelmente chegou por um relay ou por descoberta baseada em DNS unicast, e não pelo grupo multicast. Esses caminhos têm correções diferentes, e bloquear a porta multicast fecha apenas um deles.

Parar o serviço é a fronteira mais limpa

Se o Mac não tem nada que fazer com ficheiros, desligue a partilha pelo controlo suportado em vez de tentar esconder o anúncio. A um serviço parado não se pode ligar, nem adivinhar, nem chegar com um cliente antigo que se lembrasse do nome. Essa propriedade torna-o o controlo mais forte, e não precisa de qualquer cooperação da rede.

O guia de partilha de ficheiros da Apple descreve o modelo de permissões para pastas partilhadas, utilizadores permitidos e acesso de convidado, e o painel de partilha mostra o estado atual. Reveja esses três quando o serviço for realmente necessário, porque uma partilha que tem de existir é uma partilha que tem de ser delimitada. O acesso de convidado merece uma vista própria, já que pode permitir uma ligação sem credenciais nenhumas. Depois confirme em que interfaces o serviço escuta, porque uma partilha oferecida em todas as interfaces é oferecida também no túnel.

Quando precisa do serviço mas não do público

Por vezes a partilha é legítima e o público não. Restringir o serviço a fontes aprovadas, com a descoberta como controlo separado e menor, é o arranjo honesto. As regras da firewall, as permissões por utilizador e escutar na interface certa estreitam o acesso de formas que um anúncio escondido não consegue.

Suprimir a descoberta é cosmético no sentido estrito: o serviço continua a responder a quem sabe o nome. Se o problema é a publicação em si, limite-a na camada que a transporta. Numa rede que administra, isso significa decidir que tipos de serviço devem atravessar a fronteira e configurar a ponte, o relay ou o filtro em conformidade. Copiar um comando de filtro de ponte de um fórum só funciona se o seu servidor executar exatamente essa pilha e esse modo de túnel, e numa rede que não administra a resposta honesta é que não pode controlar o que um cliente remoto se lembra.

Olhe do lado remoto

Teste do lado remoto e não da própria rede do Mac, e teste uma navegação nova e não uma lista em cache. Depois tente uma ligação direta ao serviço por nome e por endereço, porque os dois resultados respondem a perguntas diferentes. Uma entrada ausente com ligação bem-sucedida significa que escondeu um rótulo, enquanto uma ligação falhada significa que fechou um serviço. A cache faz mentir os dois testes se saltar a atualização, por isso inicie o cliente de novo.

Anote o que mudou e a qual dos três controlos pertence: serviço parado, acesso restringido ou descoberta limitada. Quando alguém relatar que o Mac ainda aparece, esse registo diz-lhe se o relato está desatualizado ou se outro serviço se está a anunciar. A maioria das surpresas aqui é um segundo registo que ninguém se lembrava de ter ativado, não um controlo avariado.

Volte a verificar os registos restantes antes de concluir que a alteração falhou. Uma lista curta vale mais do que outra ronda de suposições.