Zdieľanie na Macu sa objavuje cez VPN: zastaviť alebo skryť?

Zoznamy prehliadania sa skladajú z oznámení a oznámenie nie je udelenie prístupu. Niekto vidí názov vášho notebooku vo vzdialenom zozname, pretože multicastová požiadavka prekročila hranicu, ktorú router zvyčajne zastaví. Toto prekročenie vysvetľuje jednak to, prečo sa záznam objavuje, jednak to, prečo odstránenie záznamu nie je to isté ako zatvorenie služby. Než čokoľvek zmeníte, ujasnite si, proti ktorému z tých dvoch vlastne protestujete.

Čo záznam v prehliadaní skutočne je

Respondér mDNS na Macu odpovedá na požiadavky na typy služieb, ktoré hostuje, a odpoveď nesie názov, port a niekoľko textových záznamov. Klient, ktorý sa pýtal, potom ten názov zobrazí v zozname. Nič vo výmene nedokazuje, že by spojenie uspelo, a nič v nej neudeľuje oprávnenie: zoznam je tvrdenie o názve, nie o prístupe. Práve tento rozdiel rozhoduje, či máte niečo vypnúť alebo prestať zverejňovať.

Rôzne služby sa registrujú oddelene, takže zmiznutie jedného záznamu neznamená, že sa zastavili všetky oznámenia. Zdieľanie súborov registruje jeden typ, zdieľanie obrazovky iný a tlačiarne, mediálne knižnice a vývojárske nástroje registrujú každé svoj. Než jeden prepínač budete považovať za hlavné ovládanie, vypíšte, čo je zaregistrované a ktorý proces to vlastní:

dns-sd -B _smb._tcp
lsof -nP -iUDP:5353

Multicast zostáva lokálny, ak ho niečo nepremostí

Multicast DNS posiela na link-lokálnu skupinu na UDP 5353 a routery túto skupinu predvolene neposúvajú ďalej. Tunel, ktorý smeruje unicastovú prevádzku, preto necháva objavovanie za sebou, a preto je Mac na smerovanej VPN zvyčajne neviditeľný pre vzdialené pracovisko. Premostený tunel alebo zámerne nastavený relay to mení tým, že oba konce umiestni do jednej broadcastovej domény. Aký dizajn máte, je vlastnosť tunela, nie názvu protokolu vytlačeného na ňom.

Pozrite sa na konfiguráciu servera, či premosťuje rozhranie alebo smeruje podsieť, pretože oboje sa správa inak pri každom protokole závislom od broadcastu. Ak je tunel premostený, očakávajte únik viac než jedného druhu oznámenia, vrátane vecí, ktoré nikto nechcel zverejniť. Ak je smerovaný, záznam vo vzdialenom zozname pravdepodobne dorazil cez relay alebo cez objavovanie založené na unicast DNS, nie cez multicastovú skupinu. Tieto cesty majú rôzne opravy a zablokovanie multicastového portu uzavrie len jednu z nich.

Zastavenie služby je najčistejšia hranica

Ak Mac nemá čo robiť so súbormi, vypnite zdieľanie podporovaným ovládaním, namiesto toho aby ste sa snažili skryť jeho oznámenie. Na zastavenú službu sa nedá pripojiť, nedá sa uhádnuť a nedosiahne ju starý klient, ktorý si pamätal názov. Táto vlastnosť z nej robí silnejšie ovládanie a nepotrebuje vôbec žiadnu spoluprácu siete.

Príručka k zdieľaniu súborov od Apple opisuje model oprávnení pre zdieľané priečinky, povolených používateľov a prístup hosťa, a panel zdieľania ukazuje aktuálny stav. Prejdite tieto tri, keď je služba skutočne potrebná, pretože zdieľanie, ktoré musí existovať, je zdieľanie, ktoré treba vymedziť. Prístup hosťa si zaslúži vlastný pohľad, pretože môže povoliť pripojenie úplne bez prihlasovacích údajov. Potom overte, na ktorých rozhraniach služba počúva, pretože zdieľanie ponúkané na každom rozhraní je ponúkané aj na tuneli.

Keď potrebujete službu, ale nie publikum

Niekedy je zdieľanie legitímne a publikum nie. Obmedziť službu na schválené zdroje a ponechať objavovanie ako samostatné a menšie ovládanie je poctivé usporiadanie. Pravidlá firewallu, oprávnenia pre jednotlivých používateľov a počúvanie na správnom rozhraní zužujú prístup spôsobmi, aké skryté oznámenie nedokáže.

Potláčanie objavovania je v prísnom zmysle kozmetické: služba stále odpovedá každému, kto pozná názov. Ak je problémom samotné zverejnenie, obmedzte ho vo vrstve, ktorá ho nesie. V sieti, ktorú spravujete, to znamená rozhodnúť, ktoré typy služieb majú prekročiť hranicu, a podľa toho nastaviť most, relay alebo filter. Kopírovanie príkazu filtra mosta z fóra funguje len vtedy, ak váš server prevádzkuje presne ten stack a ten režim tunela, a v sieti, ktorú nespravujete, je poctivá odpoveď, že nemôžete riadiť, čo si vzdialený klient pamätá.

Pozrite sa na to zo vzdialenej strany

Testujte zo vzdialenej strany, nie z vlastnej siete Macu, a testujte čerstvé prehliadanie, nie uložený zoznam. Potom skúste priame pripojenie k službe podľa názvu a podľa adresy, pretože oba výsledky odpovedajú na rôzne otázky. Chýbajúci záznam pri úspešnom pripojení znamená, že ste skryli štítok, zatiaľ čo neúspešné pripojenie znamená, že ste zavreli službu. Medzipamäť oba testy skreslí, ak vynecháte obnovenie, preto klienta spustite znova.

Zapíšte si, čo ste zmenili a ku ktorej z troch ovládaní to patrí: služba zastavená, prístup obmedzený alebo objavovanie obmedzené. Keď niekto nahlási, že sa Mac stále objavuje, tento záznam vám povie, či je hlásenie zastarané alebo sa oznamuje iná služba. Väčšina prekvapení je tu druhá registrácia, ktorú si nikto nepamätal, že ju zapol, nie pokazené ovládanie.

Znova skontrolujte zostávajúce registrácie, než usúdite, že zmena zlyhala. Krátky zoznam je lepší než ďalšie kolo hádania.