Общий доступ с Mac виден через VPN: отключить или скрыть?

Списки обзора строятся из объявлений, а объявление — не выдача доступа. Кто-то видит имя вашего ноутбука в удалённом списке потому, что multicast-запрос пересёк границу, на которой он обычно останавливается на маршрутизаторе. Это пересечение объясняет и то, почему запись появляется, и то, почему удаление записи не то же самое, что закрытие службы. Прежде чем что-то менять, решите, против чего из двух вы на самом деле возражаете.

Что на самом деле представляет собой запись обзора

Ответчик mDNS на Mac отвечает на запросы о типах служб, которые он размещает, и ответ несёт имя, порт и несколько текстовых записей. Запросивший клиент затем показывает это имя в списке. Ничто в обмене не доказывает, что соединение удастся, и ничто в нём не даёт разрешения: список — это утверждение об имени, а не о доступе. Именно это различие определяет, стоит ли что-то выключать или прекращать публиковать.

Разные службы регистрируются отдельно, поэтому исчезновение одной записи не означает, что все объявления прекратились. Общий доступ к файлам регистрирует один тип, к экрану — другой, а принтеры, медиатеки и инструменты разработчика регистрируют каждый свой. Прежде чем считать один переключатель главным управлением, перечислите, что зарегистрировано и какой процесс этим владеет:

dns-sd -B _smb._tcp
lsof -nP -iUDP:5353

Multicast остаётся локальным, если что-то не свяжет его мостом

Multicast DNS отправляет в локальную для канала группу на UDP 5353, и маршрутизаторы по умолчанию не пересылают эту группу. Поэтому туннель, маршрутизирующий одноадресный трафик, оставляет обнаружение позади, и именно поэтому Mac в маршрутизируемом VPN обычно невидим для удалённого сайта. Мостовой туннель или намеренно настроенный ретранслятор меняет это, помещая оба конца в один домен широковещания. Какая у вас конструкция — свойство туннеля, а не названия протокола, напечатанного на нём.

Изучите конфигурацию сервера, чтобы понять, связывает ли он интерфейс мостом или маршрутизирует подсеть, потому что оба ведут себя по-разному для каждого протокола, зависящего от широковещания. Если туннель связан мостом, ждите утечки более одного вида объявлений, включая то, что никто не собирался публиковать. Если он маршрутизируется, запись в удалённом списке, вероятно, пришла через ретранслятор или через обнаружение на основе одноадресного DNS, а не через группу multicast. У этих путей разные исправления, и блокировка порта multicast закрывает только один из них.

Остановка службы — самая чистая граница

Если у Mac нет дела до обслуживания файлов, выключите общий доступ поддерживаемым элементом управления, вместо того чтобы пытаться скрыть объявление. К остановленной службе нельзя подключиться, её нельзя угадать, и до неё не доберётся старый клиент, помнивший имя. Это свойство делает её более сильным управлением, и она вовсе не требует содействия сети.

Руководство по общему доступу к файлам от Apple описывает модель разрешений для общих папок, разрешённых пользователей и гостевого доступа, а панель общего доступа показывает текущее состояние. Просмотрите эти три, когда служба действительно нужна, потому что общий доступ, который должен существовать, — это доступ, который нужно ограничить. Гостевой доступ заслуживает отдельного взгляда, поскольку он может разрешить подключение вообще без учётных данных. Затем подтвердите, на каких интерфейсах служба слушает, потому что доступ, предлагаемый на каждом интерфейсе, предлагается и в туннеле.

Когда нужна служба, а не аудитория

Иногда общий доступ законен, а аудитория — нет. Ограничение службы одобренными источниками, с обнаружением как отдельным и меньшим управлением, — честный порядок. Правила брандмауэра, разрешения для каждого пользователя и прослушивание правильного интерфейса сужают доступ так, как скрытое объявление не может.

Подавление обнаружения косметично в строгом смысле: служба по-прежнему отвечает всякому, кто знает имя. Если проблема в самой публикации, ограничьте её на уровне, который её несёт. В сети, которой вы управляете, это означает решить, какие типы служб должны пересекать границу, и настроить мост, ретранслятор или фильтр соответственно. Копирование команды фильтра моста с форума работает только если ваш сервер запускает именно этот стек и этот режим туннеля, а в сети, которой вы не управляете, честный ответ таков: вы не можете контролировать, что помнит удалённый клиент.

Посмотрите с удалённой стороны

Проверяйте с удалённой стороны, а не из собственной сети Mac, и проверяйте свежий обзор, а не кэшированный список. Затем попробуйте прямое подключение к службе по имени и по адресу, потому что два результата отвечают на разные вопросы. Отсутствующая запись при успешном подключении означает, что вы скрыли метку, а неудачное подключение означает, что вы закрыли службу. Кэш заставляет оба теста лгать, если пропустить обновление, поэтому запустите клиент заново.

Запишите, что вы изменили и к какому из трёх управлений это относится: служба остановлена, доступ ограничен или обнаружение ограничено. Когда кто-то сообщает, что Mac всё ещё виден, эта запись подскажет, устарел ли отчёт или другое объявление заявляет о себе. Большинство сюрпризов здесь — вторая регистрация, которую никто не помнил, что включал, а не сломанное управление.

Перепроверьте оставшиеся регистрации, прежде чем сделать вывод, что изменение не удалось. Короткий список лучше ещё одного круга догадок.