การแชร์ของ Mac ปรากฏผ่าน VPN: จะหยุดหรือซ่อนดี?

รายการเรียกดูถูกสร้างจากประกาศ และประกาศไม่ใช่การให้สิทธิ์เข้าถึง มีคนเห็นชื่อแล็ปท็อปของคุณในรายการระยะไกล เพราะคำถาม multicast ข้ามพรมแดนที่โดยปกติจะหยุดมันที่เราเตอร์ การข้ามนั้นอธิบายทั้งเหตุผลที่รายการปรากฏ และเหตุผลที่การลบรายการไม่เหมือนกับการปิดบริการ ตัดสินใจก่อนว่าคุณคัดค้านสิ่งใดในสองสิ่งนี้จริง ๆ ก่อนจะเปลี่ยนอะไร

รายการเรียกดูคืออะไรกันแน่

ตัวตอบ mDNS บน Mac ตอบคำถามเกี่ยวกับชนิดบริการที่มันโฮสต์ และคำตอบมีชื่อ พอร์ต และระเบียนข้อความไม่กี่รายการ ไคลเอนต์ที่ถามจะแสดงชื่อนั้นในรายการ ไม่มีสิ่งใดในการแลกเปลี่ยนพิสูจน์ว่าการเชื่อมต่อจะสำเร็จ และไม่มีสิ่งใดให้สิทธิ์ รายการคือข้อกล่าวอ้างเกี่ยวกับชื่อ ไม่ใช่เกี่ยวกับการเข้าถึง ความแตกต่างนั้นคือสิ่งที่ตัดสินว่าคุณควรปิดอะไรสักอย่างหรือเลิกเผยแพร่มัน

บริการต่าง ๆ ลงทะเบียนแยกกัน ดังนั้นการหายไปของรายการหนึ่งไม่ได้หมายความว่าประกาศทั้งหมดหยุด การแชร์ไฟล์ลงทะเบียนชนิดหนึ่ง การแชร์หน้าจออีกชนิดหนึ่ง และเครื่องพิมพ์ คลังสื่อ และเครื่องมือนักพัฒนาต่างลงทะเบียนของตัวเอง ก่อนจะถือว่าสวิตช์ตัวเดียวคือการควบคุมหลัก ให้ระบุว่าอะไรลงทะเบียนไว้และกระบวนการใดเป็นเจ้าของ:

dns-sd -B _smb._tcp
lsof -nP -iUDP:5353

Multicast อยู่เฉพาะที่เว้นแต่มีบางอย่างเชื่อมมันด้วยบริดจ์

Multicast DNS ส่งไปยังกลุ่มเฉพาะลิงก์บน UDP 5353 และเราเตอร์ไม่ส่งต่อกลุ่มนั้นโดยค่าเริ่มต้น อุโมงค์ที่กำหนดเส้นทางทราฟฟิก unicast จึงทิ้งการค้นหาไว้ข้างหลัง และนั่นคือเหตุผลที่ Mac บน VPN แบบกำหนดเส้นทางมักมองไม่เห็นจากไซต์ระยะไกล อุโมงค์ที่ทำบริดจ์หรือรีเลย์ที่ตั้งใจกำหนดค่าจะเปลี่ยนสิ่งนี้โดยวางปลายทั้งสองไว้ในโดเมนกระจายเสียงเดียวกัน การออกแบบแบบใดเป็นคุณสมบัติของอุโมงค์ ไม่ใช่ชื่อโปรโตคอลที่พิมพ์อยู่บนมัน

ตรวจสอบการกำหนดค่าของเซิร์ฟเวอร์ว่าทำบริดจ์อินเทอร์เฟซหรือกำหนดเส้นทางซับเน็ต เพราะทั้งสองทำงานต่างกันในทุกโปรโตคอลที่พึ่งการกระจายเสียง หากอุโมงค์ทำบริดจ์ ให้คาดว่าจะมีประกาศมากกว่าหนึ่งชนิดรั่วออกไป รวมถึงสิ่งที่ไม่ตั้งใจจะเผยแพร่ หากกำหนดเส้นทาง รายการในรายการระยะไกลอาจมาทางรีเลย์หรือการค้นหาที่อิง DNS แบบ unicast ไม่ใช่ผ่านกลุ่ม multicast เส้นทางเหล่านี้มีวิธีแก้ต่างกัน และการบล็อกพอร์ต multicast ปิดได้เพียงเส้นทางเดียว

การหยุดบริการคือพรมแดนที่สะอาดที่สุด

หาก Mac ไม่มีธุระในการให้บริการไฟล์ ให้ปิดการแชร์ผ่านตัวควบคุมที่รองรับ แทนที่จะพยายามซ่อนประกาศของมัน บริการที่หยุดแล้วไม่สามารถเชื่อมต่อ เดา หรือเข้าถึงได้โดยไคลเอนต์เก่าที่จำชื่อได้ คุณสมบัตินั้นทำให้มันเป็นการควบคุมที่แข็งแรงกว่า และไม่ต้องอาศัยความร่วมมือจากเครือข่ายเลย

คู่มือ การแชร์ไฟล์ของ Apple อธิบายรูปแบบสิทธิ์สำหรับโฟลเดอร์ที่แชร์ ผู้ใช้ที่ได้รับอนุญาต และการเข้าถึงของแขก และแผงการแชร์แสดงสถานะปัจจุบัน ทบทวนสามข้อนี้เมื่อจำเป็นต้องใช้บริการจริง เพราะการแชร์ที่ต้องมีอยู่คือการแชร์ที่ต้องกำหนดขอบเขต การเข้าถึงของแขกสมควรได้รับการพิจารณาแยก เพราะอาจอนุญาตการเชื่อมต่อโดยไม่มีข้อมูลรับรองใด ๆ จากนั้นยืนยันว่าบริการรับฟังบนอินเทอร์เฟซใด เพราะการแชร์ที่เสนอในทุกอินเทอร์เฟซก็ถูกเสนอบนอุโมงค์ด้วย

เมื่อคุณต้องการบริการแต่ไม่ต้องการผู้ชม

บางครั้งการแชร์ก็ชอบด้วยกฎหมายและผู้ชมไม่ใช่ การจำกัดบริการให้เฉพาะแหล่งที่อนุมัติ โดยปล่อยการค้นหาเป็นตัวควบคุมแยกและเล็กลง คือข้อตกลงที่ซื่อสัตย์ กฎไฟร์วอลล์ สิทธิ์ต่อผู้ใช้ และการรับฟังบนอินเทอร์เฟซที่ถูกต้อง ล้วนทำให้การเข้าถึงแคบลงในแบบที่ประกาศที่ซ่อนไว้ทำไม่ได้

การกดการค้นหาเป็นเรื่องภายนอกในความหมายเข้มงวด บริการยังตอบทุกคนที่รู้ชื่อ หากปัญหาคือการเผยแพร่เอง ให้จำกัดมันในชั้นที่พามัน บนเครือข่ายที่คุณดูแล นั่นหมายถึงการตัดสินว่าชนิดบริการใดควรข้ามพรมแดน และกำหนดค่าบริดจ์ รีเลย์ หรือฟิลเตอร์ให้สอดคล้อง การคัดลอกคำสั่งฟิลเตอร์บริดจ์จากฟอรัมใช้ได้เฉพาะเมื่อเซิร์ฟเวอร์ของคุณรันสแตกและโหมดอุโมงค์นั้นจริง ๆ และบนเครือข่ายที่คุณไม่ได้ดูแล คำตอบที่ซื่อสัตย์คือคุณควบคุมสิ่งที่ไคลเอนต์ระยะไกลจดจำไม่ได้

มองจากฝั่งระยะไกล

ทดสอบจากฝั่งระยะไกลไม่ใช่จากเครือข่ายของ Mac เอง และทดสอบการเรียกดูใหม่ไม่ใช่รายการที่แคชไว้ จากนั้นลองเชื่อมต่อโดยตรงกับบริการตามชื่อและตามที่อยู่ เพราะผลลัพธ์สองอย่างตอบคำถามต่างกัน รายการที่หายไปพร้อมการเชื่อมต่อสำเร็จหมายความว่าคุณซ่อนป้ายชื่อ ส่วนการเชื่อมต่อที่ล้มเหลวหมายความว่าคุณปิดบริการ แคชทำให้การทดสอบทั้งสองโกหกหากคุณข้ามการรีเฟรช ดังนั้นเริ่มไคลเอนต์ใหม่

จดบันทึกว่าคุณเปลี่ยนอะไรและเป็นของการควบคุมใดในสามอย่าง: หยุดบริการ จำกัดการเข้าถึง หรือจำกัดการค้นหา เมื่อมีคนรายงานว่า Mac ยังปรากฏอยู่ บันทึกนั้นบอกคุณว่ารายงานล้าสมัยหรือมีบริการอื่นกำลังประกาศตัวเอง ความประหลาดใจส่วนใหญ่ที่นี่คือการลงทะเบียนที่สองที่ไม่มีใครจำได้ว่าเปิดไว้ ไม่ใช่การควบคุมที่พัง

ตรวจสอบการลงทะเบียนที่เหลืออีกครั้งก่อนสรุปว่าการเปลี่ยนแปลงล้มเหลว รายการสั้น ๆ ดีกว่าการเดาอีกรอบ