Dijeljenje s Maca pojavljuje se kroz VPN: zaustaviti ili sakriti?

Liste pregleda nastaju iz najava, a najava nije odobrenje pristupa. Netko vidi ime vašeg prijenosnika na udaljenoj listi jer je multicast upit prešao granicu koja ga inače zaustavlja na usmjerivaču. Taj prijelaz objašnjava i zašto se unos pojavljuje i zašto uklanjanje unosa nije isto što i zatvaranje usluge. Odlučite kojem se od toga dvoje zapravo protivite prije nego što bilo što promijenite.

Što je zapravo unos u pregledu

mDNS odgovarač na Macu odgovara na upite za vrste usluga koje hosta, a odgovor nosi ime, port i nekoliko tekstualnih zapisa. Klijent koji je pitao zatim prikazuje to ime na listi. Ništa u razmjeni ne dokazuje da bi veza uspjela, i ništa u njoj ne daje dopuštenje: lista je tvrdnja o imenu, a ne o pristupu. Upravo ta razlika odlučuje treba li nešto isključiti ili prestati objavljivati.

Različite usluge registriraju se odvojeno, pa nestanak jednog unosa ne znači da su sve najave stale. Dijeljenje datoteka registrira jednu vrstu, dijeljenje zaslona drugu, a pisači, medijske knjižnice i razvojni alati registriraju svaki svoju. Prije nego što jedan prekidač smatrate glavnom kontrolom, popišite što je registrirano i koji proces to posjeduje:

dns-sd -B _smb._tcp
lsof -nP -iUDP:5353

Multicast ostaje lokalan osim ako ga nešto premosti

Multicast DNS šalje na link-lokalnu grupu na UDP 5353, a usmjerivači tu grupu prema zadanim postavkama ne prosljeđuju. Tunel koji usmjerava unicast promet zato ostavlja otkrivanje iza sebe, i zato je Mac na usmjerenom VPN-u obično nevidljiv udaljenom lokalitetu. Premošteni tunel ili namjerno postavljen relej to mijenja stavljajući oba kraja u jednu broadcast domenu. Kakav dizajn imate svojstvo je tunela, a ne naziva protokola ispisanog na njemu.

Pregledajte konfiguraciju poslužitelja da vidite premošćuje li sučelje ili usmjerava podmrežu, jer se to dvoje ponaša različito za svaki protokol ovisan o broadcastu. Ako je tunel premošten, očekujte curenje više od jedne vrste najave, uključujući stvari koje nitko nije namjeravao objaviti. Ako je usmjeren, unos na udaljenoj listi vjerojatno je stigao preko releja ili preko otkrivanja temeljenog na unicast DNS-u, a ne preko multicast grupe. Ti putevi imaju različite popravke, a blokiranje multicast porta zatvara samo jedan od njih.

Zaustavljanje usluge najčišća je granica

Ako Mac nema posla posluživati datoteke, isključite dijeljenje preko podržane kontrole umjesto da pokušavate sakriti njegovu najavu. Zaustavljenoj usluzi ne može se spojiti, ne može se pogoditi, a do nje ne može doći stari klijent koji je zapamtio ime. To svojstvo čini je jačom kontrolom i ne treba nikakvu suradnju mreže.

Appleov vodič za dijeljenje datoteka opisuje model dopuštenja za dijeljene mape, dopuštene korisnike i gostujući pristup, a ploča dijeljenja prikazuje trenutačno stanje. Pregledajte to troje kad je usluga doista potrebna, jer dijeljenje koje mora postojati jest dijeljenje koje treba ograničiti. Gostujući pristup zaslužuje zaseban pogled jer može dopustiti vezu posve bez vjerodajnica. Zatim potvrdite na kojim sučeljima usluga sluša, jer dijeljenje ponuđeno na svakom sučelju ponuđeno je i na tunelu.

Kad trebate uslugu, ali ne publiku

Ponekad je dijeljenje legitimno, a publika nije. Ograničavanje usluge na odobrene izvore, s otkrivanjem kao zasebnom i manjom kontrolom, pošten je dogovor. Pravila vatrozida, dopuštenja po korisniku i slušanje na pravom sučelju sužavaju pristup na načine koje skrivena najava ne može.

Potiskivanje otkrivanja kozmetičko je u strogom smislu: usluga i dalje odgovara svakome tko zna ime. Ako je problem samo objavljivanje, ograničite ga na sloju koji ga nosi. Na mreži kojom upravljate to znači odlučiti koje vrste usluga smiju prijeći granicu i postaviti most, relej ili filtar u skladu s tim. Kopiranje naredbe filtra mosta s foruma radi samo ako vaš poslužitelj vrti upravo taj skup i taj način tunela, a na mreži kojom ne upravljate pošten je odgovor da ne možete kontrolirati što udaljeni klijent pamti.

Pogledajte to s udaljene strane

Testirajte s udaljene strane, a ne s Macove vlastite mreže, i testirajte svježi pregled, a ne predmemoriranu listu. Zatim pokušajte izravnu vezu s uslugom po imenu i po adresi, jer dva rezultata odgovaraju na različita pitanja. Unos koji nedostaje uz uspješnu vezu znači da ste sakrili oznaku, a neuspješna veza znači da ste zatvorili uslugu. Predmemorija čini oba testa lažnima ako preskočite osvježenje, zato pokrenite klijent iznova.

Zapišite što ste promijenili i kojoj od tri kontrole to pripada: usluga zaustavljena, pristup ograničen ili otkrivanje ograničeno. Kad netko izvijesti da se Mac još pojavljuje, taj zapis vam kaže je li izvještaj zastario ili se druga usluga najavljuje. Većina iznenađenja ovdje je druga registracija koju se nitko nije sjetio uključiti, a ne pokvarena kontrola.

Ponovno provjerite preostale registracije prije nego zaključite da je promjena propala. Kratak popis bolji je od još jednog kruga nagađanja.