Partajarea Mac apare prin VPN: o oprim sau o ascundem?

Listele de răsfoire se construiesc din anunțuri, iar un anunț nu este o acordare de acces. Cineva vede numele laptopului dumneavoastră într-o listă îndepărtată pentru că o interogare multicast a trecut o graniță care de obicei o oprește la router. Acea trecere explică atât de ce apare intrarea, cât și de ce eliminarea intrării nu este același lucru cu închiderea serviciului. Decideți împotriva căreia dintre cele două vă opuneți de fapt înainte de a schimba ceva.

Ce este de fapt intrarea de răsfoire

Un respondător mDNS de pe Mac răspunde la interogări despre tipurile de serviciu pe care le găzduiește, iar răspunsul poartă un nume, un port și câteva înregistrări text. Clientul care a întrebat afișează apoi acel nume într-o listă. Nimic din schimb nu dovedește că o conexiune ar reuși, și nimic din el nu acordă permisiune: lista este o afirmație despre un nume, nu despre acces. Această distincție este cea care decide dacă ar trebui să opriți ceva sau să încetați să-l publicați.

Servicii diferite se înregistrează separat, așa că dispariția unei intrări nu înseamnă că toate anunțurile s-au oprit. Partajarea fișierelor înregistrează un tip, partajarea ecranului altul, iar imprimantele, bibliotecile media și instrumentele pentru dezvoltatori își înregistrează fiecare pe al său. Înainte de a trata un singur comutator drept controlul principal, enumerați ce este înregistrat și ce proces îl deține:

dns-sd -B _smb._tcp
lsof -nP -iUDP:5353

Multicast rămâne local dacă nimic nu îl puntează

Multicast DNS trimite către un grup local la legătură pe UDP 5353, iar routerele nu redirecționează acel grup implicit. De aceea un tunel care rutează trafic unicast lasă descoperirea în urmă, și de aceea un Mac pe un VPN rutat este de obicei invizibil pentru site-ul îndepărtat. Un tunel puntează, sau un releu configurat intenționat, schimbă asta punând ambele capete într-un singur domeniu de difuzare. Ce proiectare aveți este o proprietate a tunelului, nu a numelui protocolului imprimat pe el.

Inspectați configurația serverului pentru a vedea dacă puntează o interfață sau rutează o subrețea, pentru că cele două se comportă diferit pentru fiecare protocol dependent de difuzare. Dacă tunelul este puntează, așteptați-vă ca mai mult de un tip de anunț să scape, inclusiv lucruri pe care nimeni nu intenționa să le publice. Dacă este rutat, o intrare într-o listă îndepărtată a ajuns probabil printr-un releu sau printr-o descoperire bazată pe DNS unicast, nu prin grupul multicast. Aceste căi au remedii diferite, iar blocarea portului multicast închide doar una dintre ele.

Oprirea serviciului este cea mai curată graniță

Dacă Macul nu are nicio treabă cu servirea fișierelor, opriți partajarea prin controlul acceptat în loc să încercați să ascundeți anunțul. La un serviciu oprit nu te poți conecta, nu îl poți ghici și nu îl poate atinge un client vechi care își amintea numele. Această proprietate îl face controlul mai puternic și nu are nevoie de nicio cooperare a rețelei.

Ghidul de partajare a fișierelor de la Apple descrie modelul de permisiuni pentru folderele partajate, utilizatorii permiși și accesul de oaspete, iar panoul de partajare arată starea actuală. Revedeți aceste trei când serviciul este într-adevăr necesar, pentru că o partajare care trebuie să existe este o partajare care trebuie limitată. Accesul de oaspete merită o privire separată, întrucât poate permite o conexiune fără nicio acreditare. Apoi confirmați pe ce interfețe ascultă serviciul, pentru că o partajare oferită pe fiecare interfață este oferită și pe tunel.

Când aveți nevoie de serviciu, dar nu de public

Uneori partajarea este legitimă și publicul nu. Restrângerea serviciului la surse aprobate, cu descoperirea lăsată ca un control separat și mai mic, este aranjamentul onest. Regulile de firewall, permisiunile pe utilizator și ascultarea pe interfața corectă îngustează accesul în feluri în care un anunț ascuns nu poate.

Suprimarea descoperirii este cosmetică în sens strict: serviciul răspunde în continuare oricui știe numele. Dacă problema este publicarea în sine, limitați-o în stratul care o transportă. Într-o rețea pe care o administrați, asta înseamnă să decideți ce tipuri de serviciu trebuie să treacă granița și să configurați puntea, releul sau filtrul în consecință. Copierea unei comenzi de filtru de punte de pe un forum funcționează doar dacă serverul dumneavoastră rulează exact acel stivă și acel mod de tunel, iar într-o rețea pe care nu o administrați răspunsul onest este că nu puteți controla ce își amintește un client îndepărtat.

Priviți din partea îndepărtată

Testați din partea îndepărtată și nu din rețeaua proprie a Macului, și testați o răsfoire nouă și nu o listă din cache. Apoi încercați o conexiune directă la serviciu după nume și după adresă, pentru că cele două rezultate răspund la întrebări diferite. O intrare lipsă cu o conexiune reușită înseamnă că ați ascuns o etichetă, în timp ce o conexiune eșuată înseamnă că ați închis un serviciu. Cache-ul face ambele teste să mintă dacă săriți peste reîmprospătare, așa că porniți clientul din nou.

Notați ce ați schimbat și căruia dintre cele trei controale aparține: serviciu oprit, acces restricționat sau descoperire limitată. Când cineva raportează că Macul încă apare, acea notă vă spune dacă raportul este vechi sau dacă un alt serviciu se anunță. Cele mai multe surprize de aici sunt o a doua înregistrare pe care nimeni nu-și amintea că a activat-o, nu un control stricat.

Verificați din nou înregistrările rămase înainte de a concluziona că schimbarea a eșuat. O listă scurtă face mai mult decât încă o rundă de presupuneri.