Дељење на Mac-у се појављује преко VPN-а: зауставити или сакрити?

Листе прегледања се граде од најава, а најава није давање приступа. Неко види име вашег лаптопа на удаљеној листи зато што је multicast упит прешао границу која га обично зауставља на рутеру. Тај прелаз објашњава и зашто се унос појављује и зашто уклањање уноса није исто што и затварање услуге. Одлучите против чега од тога двога се заправо буните пре него што било шта промените.

Шта је заправо унос у прегледању

mDNS одговорник на Mac-у одговара на упите за типове услуга које хостује, а одговор носи име, порт и неколико текстуалних записа. Клијент који је питао затим приказује то име на листи. Ништа у размени не доказује да би веза успела, и ништа у њој не даје дозволу: листа је тврдња о имену, а не о приступу. Управо та разлика одређује да ли треба нешто искључити или престати да га објављујете.

Различите услуге се региструју одвојено, па нестанак једног уноса не значи да су се све најаве зауставиле. Дељење датотека региструје један тип, дељење екрана други, а штампачи, медијске библиотеке и развојни алати региструју сваки свој. Пре него што један прекидач сматрате главном контролом, наведите шта је регистровано и који процес то поседује:

dns-sd -B _smb._tcp
lsof -nP -iUDP:5353

Multicast остаје локалан осим ако га нешто не премости

Multicast DNS шаље локалној групи за везу на UDP 5353, а рутери ту групу подразумевано не прослеђују. Зато тунел који рутира unicast саобраћај оставља откривање за собом, и зато је Mac на рутираном VPN-у обично невидљив за удаљени сајт. Премошћен тунел или намерно подешен релеј мења то стављајући оба краја у један домен емитовања. Каква је конструкција код вас, то је својство тунела, а не назива протокола одиштампаног на њему.

Прегледајте конфигурацију сервера да видите да ли премошћује интерфејс или рутира подмрежу, јер се оба понашају другачије у сваком протоколу који зависи од емитовања. Ако је тунел премошћен, очекујте цурење више од једне врсте најаве, укључујући и ствари које нико није намеравао да објави. Ако је рутиран, унос на удаљеној листи вероватно је стигао преко релеја или преко откривања заснованог на unicast DNS-у, а не преко multicast групе. Ти путеви имају различите поправке, а блокирање multicast порта затвара само један од њих.

Заустављање услуге је најчистија граница

Ако Mac нема посла са сервирањем датотека, искључите дељење преко подржане контроле уместо да покушавате да сакријете његову најаву. Заустављеној услузи не може да се приступи, не може да се погоди, а до ње не допире стари клијент који је памтио име. То својство је чини јачом контролом, и она уопште не захтева сарадњу мреже.

Водич за дељење датотека компаније Apple описује модел дозвола за дељене фасцикле, дозвољене кориснике и гостујући приступ, а панел за дељење приказује тренутно стање. Прегледајте та три када је услуга заиста потребна, јер дељење које мора да постоји је дељење које мора да се ограничи. Гостујући приступ заслужује посебан поглед, јер може да дозволи везу без икаквих акредитива. Затим потврдите на којим интерфејсима услуга слуша, јер је дељење понуђено на сваком интерфејсу понуђено и на тунелу.

Када вам је потребна услуга, али не и публика

Понекад је дељење легитимно, а публика није. Ограничавање услуге на одобрене изворе, уз откривање као одвојену и мању контролу, јесте поштен аранжман. Правила заштитног зида, дозволе по кориснику и слушање на правом интерфејсу сужавају приступ на начине које скривена најава не може.

Потискивање откривања је козметичко у строгом смислу: услуга и даље одговара свакоме ко зна име. Ако је проблем само објављивање, ограничите га у слоју који га носи. На мрежи којом управљате, то значи да одлучите који типови услуга треба да пређу границу и да подесите мост, релеј или филтер у складу с тим. Копирање команде филтера моста са форума ради само ако ваш сервер покреће баш тај стек и тај режим тунела, а на мрежи којом не управљате поштен одговор је да не можете да контролишете шта удаљени клијент памти.

Погледајте са удаљене стране

Тестирајте са удаљене стране, а не са сопствене мреже Mac-а, и тестирајте свеже прегледање, а не кеширану листу. Затим покушајте директну везу са услугом по имену и по адреси, јер два резултата одговарају на различита питања. Унос који недостаје уз успешну везу значи да сте сакрили ознаку, а неуспешна веза значи да сте затворили услугу. Кеш чини оба теста лажним ако прескочите освежавање, зато поново покрените клијента.

Запишите шта сте променили и којој од три контроле то припада: услуга заустављена, приступ ограничен или откривање ограничено. Када неко пријави да се Mac и даље појављује, тај запис вам каже да ли је извештај застарео или се друга услуга најављује. Већина изненађења овде је друга регистрација коју се нико није сетио да укључи, а не покварена контрола.

Поново проверите преостале регистрације пре него што закључите да промена није успела. Кратак списак је бољи од још једног круга нагађања.