Skupna raba na Macu se pokaže prek VPN: ustaviti ali skriti?

Seznami brskanja se gradijo iz oznanil, in oznanilo ni podelitev dostopa. Nekdo vidi ime vašega prenosnika na oddaljenem seznamu, ker je poizvedba multicast prečkala mejo, ki jo običajno ustavi na usmerjevalniku. Ta prehod pojasnjuje tako, zakaj se vnos pojavi, kot tudi, zakaj odstranitev vnosa ni isto kot zaprtje storitve. Preden karkoli spremenite, ugotovite, kateremu od obeh dejansko nasprotujete.

Kaj je vnos v brskanju v resnici

Odgovarjalnik mDNS na Macu odgovarja na poizvedbe o vrstah storitev, ki jih gosti, in odgovor nosi ime, vrata in nekaj besedilnih zapisov. Odjemalec, ki je vprašal, nato to ime prikaže na seznamu. Nič v izmenjavi ne dokazuje, da bi povezava uspela, in nič v njej ne daje dovoljenja: seznam je trditev o imenu, ne o dostopu. Prav ta razlika odloči, ali naj kaj izklopite ali prenehate objavljati.

Različne storitve se registrirajo ločeno, zato izginotje enega vnosa ne pomeni, da so se ustavila vsa oznanila. Skupna raba datotek registrira eno vrsto, skupna raba zaslona drugo, tiskalniki, medijske knjižnice in razvijalska orodja pa registrirajo vsak svojo. Preden eno stikalo obravnavate kot glavni nadzor, naštejte, kaj je registrirano in kateri proces to ima:

dns-sd -B _smb._tcp
lsof -nP -iUDP:5353

Multicast ostane lokalen, razen če ga kaj premosti

Multicast DNS pošilja v povezavi lokalno skupino na UDP 5353, usmerjevalniki pa te skupine privzeto ne posredujejo. Zato tunel, ki usmerja promet unicast, odkrivanje pusti za seboj, in zato je Mac v usmerjenem VPN običajno neviden za oddaljeno mesto. Premosten tunel ali namerno nastavljen posrednik to spremeni tako, da oba konca postavi v eno oddajno domeno. Kakšna zasnova je pri vas, je lastnost tunela, ne imena protokola, natisnjenega nanj.

Preglejte konfiguracijo strežnika, ali premosti vmesnik ali usmerja podomrežje, ker se oboje obnaša drugače pri vsakem protokolu, odvisnem od oddajanja. Če je tunel premosten, pričakujte uhajanje več kot ene vrste oznanil, vključno s stvarmi, ki jih nihče ni nameraval objaviti. Če je usmerjen, je vnos na oddaljenem seznamu verjetno prišel prek posrednika ali odkrivanja na podlagi unicast DNS, ne prek skupine multicast. Te poti imajo različne popravke in blokiranje vrat multicast zapre le eno od njih.

Ustavitev storitve je najčistejša meja

Če Mac nima opravka s strežbo datotek, izklopite skupno rabo s podprtim nadzorom, namesto da bi poskušali skriti njeno oznanilo. Ustavljeni storitvi se ni mogoče povezati, je ni mogoče uganiti in do nje ne seže stari odjemalec, ki se je spomnil imena. Ta lastnost jo naredi za močnejši nadzor in ne potrebuje prav nobenega sodelovanja omrežja.

Applov vodnik za skupno rabo datotek opisuje model dovoljenj za skupne mape, dovoljene uporabnike in dostop gosta, plošča za skupno rabo pa prikazuje trenutno stanje. Preglejte te tri, ko je storitev resnično potrebna, ker je skupna raba, ki mora obstajati, skupna raba, ki jo je treba omejiti. Dostop gosta si zasluži svoj pogled, saj lahko dovoli povezavo povsem brez poverilnic. Nato potrdite, na katerih vmesnikih storitev posluša, ker je skupna raba, ponujena na vsakem vmesniku, ponujena tudi na tunelu.

Ko potrebujete storitev, ne pa občinstva

Včasih je skupna raba legitimna, občinstvo pa ne. Omejitev storitve na odobrene vire, z odkrivanjem kot ločenim in manjšim nadzorom, je poštena ureditev. Pravila požarnega zidu, dovoljenja za posameznega uporabnika in poslušanje na pravem vmesniku zožijo dostop na načine, ki jih skrito oznanilo ne more.

Zatiranje odkrivanja je v strogem smislu kozmetično: storitev še vedno odgovarja vsakomur, ki ime pozna. Če je problem sama objava, jo omejite v plasti, ki jo nosi. V omrežju, ki ga upravljate, to pomeni odločitev, katere vrste storitev naj prečkajo mejo, in temu ustrezno nastavitev mostu, posrednika ali filtra. Kopiranje ukaza filtra mostu s foruma deluje le, če vaš strežnik izvaja natanko ta sklad in ta način tunela, v omrežju, ki ga ne upravljate, pa je pošten odgovor, da ne morete nadzorovati, česa se spomni oddaljeni odjemalec.

Poglejte z oddaljene strani

Preizkusite z oddaljene strani in ne iz lastnega omrežja Maca, ter preizkusite sveže brskanje in ne predpomnjenega seznama. Nato poskusite neposredno povezavo s storitvijo po imenu in po naslovu, ker dva rezultata odgovarjata na različni vprašanji. Manjkajoči vnos ob uspešni povezavi pomeni, da ste skrili oznako, medtem ko neuspešna povezava pomeni, da ste zaprli storitev. Predpomnilnik oba testa zlaže, če preskočite osvežitev, zato odjemalca zaženite znova.

Zapišite, kaj ste spremenili in kateremu od treh nadzorov pripada: storitev ustavljena, dostop omejen ali odkrivanje omejeno. Ko nekdo poroča, da se Mac še vedno pojavlja, vam ta zapis pove, ali je poročilo zastarelo ali se oglaša druga storitev. Večina presenečenj tukaj je druga registracija, ki se je nihče ni spomnil vklopiti, ne pokvarjen nadzor.

Znova preverite preostale registracije, preden sklenete, da sprememba ni uspela. Kratek seznam je boljši od še enega kroga ugibanja.