45、Mac 主机共享与个人防火墙管理指南

Mac 主机共享与个人防火墙管理指南

1. AirDrop 发现问题

如果你的 Mac 无法发现另一台 AirDrop 设备，可能是该设备未开启 AirDrop 功能。此时，在另一台 Mac 上打开“访达”中的 AirDrop 窗口以开启此功能。需要注意的是，AirDrop 默认处于不可发现状态，这可能会限制你在 AirDrop 发现界面中发现其他设备的能力。

若要解决此问题，可在另一台设备上设置 AirDrop 的发现范围，选择允许“所有人”发现，或者仅允许“通讯录中有匹配信息的用户”发现。在 macOS 系统中，更改 AirDrop 可发现性的操作步骤如下：
- 打开 AirDrop 界面。
- 点击界面底部的“允许他人通过以下方式发现我”字样进行设置。

2. 个人防火墙管理

从网络服务的角度来看，Mac 本身具有较高的安全性，因为默认情况下，没有响应外部请求的服务在运行。即使你开启了共享服务，Mac 也只会响应已开启的服务。

不过，像文件共享或屏幕共享这类服务，如果被攻破可能会带来麻烦，因此可以对其进行有限的访问授权配置。但用户可能会打开第三方应用或后台服务，这可能会使 Mac 面临网络攻击的风险。

为了维护网络安全，建议在不必要时关闭共享服务；若开启共享服务，要限制授权访问；使用完毕后及时关闭。

2.1 个人防火墙的作用

大多数人会通过配置网络防火墙来保障网络服务的安全，这可以阻止未经授权的网络服务访问。多数网络都有防火墙来限制来自互联网连接的入站流量，大多数家用路由器也具备网络防火墙功能。

然而，网络级防火墙虽然能阻止未经授权的互联网流量进入你的网络，但无法阻止源自网络内部到 Mac 的流量。而且，如果你的 Mac 经常连接新的网络，每个新网络的防火墙规则可能都不同。

为了防止未经授权的网络服务允许外部连接到你的 Mac，建议开启内置的个人防火墙。个人防火墙可以阻止任何来源的未经授权的连接，macOS 防火墙采用一键配置方式，能为大多数用户提供网络服务安全保障。

2.2 macOS 防火墙的优势

标准防火墙基于服务端口号设置规则，每个服务默认使用一个标准端口或一组端口。但有些网络服务，如 Messages，会使用广泛的动态端口。如果手动配置防火墙，需要为用户可能需要的每个潜在端口设置大量规则。

为了解决这个问题，macOS 防火墙采用了自适应技术，它可以根据应用和服务的需求允许连接，而无需你了解它们使用的具体端口。例如，你可以授权 Messages 接受任何传入连接，而无需配置 Messages 使用的所有单独的 TCP 和 UDP 端口。

此外，个人防火墙还利用了代码签名这一内置功能，确保允许的应用和服务不会在你不知情的情况下被更改。代码签名使苹果和第三方开发者能够保证他们的软件未被篡改，这种可验证的信任级别让你可以一键将防火墙配置为默认模式，自动允许签名的应用和服务接收传入连接。

由于个人防火墙是完全动态的，它只在应用或服务运行时打开必要的端口。以 Messages 为例，只有当 Messages 运行时，个人防火墙才允许传入连接到所需的端口；如果用户注销导致应用退出，防火墙会关闭相关端口。这种仅在应用或服务需要时打开所需端口的方式，提供了传统防火墙所没有的额外安全层。

2.3 开启个人防火墙

开启并配置 macOS 个人防火墙的操作步骤如下：
1. 打开“安全性与隐私”偏好设置。
2. 点击左下角的锁图标，以管理员用户身份进行验证，解锁“安全性与隐私”偏好设置。
3. 点击“防火墙”按钮。
4. 点击“开启防火墙”按钮，开启默认的防火墙规则。开启后，该按钮会变为“关闭防火墙”按钮。

默认的防火墙配置允许已建立连接（即从你的 Mac 发起并等待响应的连接）以及签名软件或已开启服务的传入流量，这种安全级别对于大多数用户来说已经足够。

2.4 配置个人防火墙

如果你想自定义防火墙，可以按照以下步骤操作：
1. 点击“防火墙选项”按钮，显示更多防火墙配置选项。
2. 在防火墙选项窗口中，会显示当前允许的服务列表。在没有额外配置的情况下，“共享”偏好设置中开启的所有服务会自动显示在允许的服务列表中。取消选择“共享”偏好设置中的共享服务，该服务将从允许的服务列表中移除。

你还可以通过取消选择“自动允许已签名的软件”复选框，手动设置防火墙允许的应用和服务。选择此选项后，当你首次打开新的网络应用或更新现有网络应用时，macOS 会显示一个对话框，让你可以允许或拒绝该新网络应用。此对话框会在新网络应用请求传入访问时，在“安全性与隐私”偏好设置之外显示。

如果你点击“允许”且当前未以管理员身份登录，则需要提供管理员凭据才能更新防火墙设置。如果你手动设置网络应用和服务的防火墙访问权限，可以返回“高级防火墙”面板查看项目列表，并删除列表中的项目或明确禁止某些项目。

另外，你可以选择“启用隐形模式”复选框，防止对请求主机的失败尝试做出响应或确认。选择此选项后，你的 Mac 不会响应未经授权的网络连接，包括 ping、traceroute 和端口扫描等网络诊断协议，但仍会响应其他允许的服务，默认情况下包括 Bonjour，它会宣告你的 Mac 计算机的存在，防止你的 Mac 在网络中被隐藏。

当你需要更高的安全性时，可以选择“阻止所有传入连接”复选框，选择此选项会自动开启隐形模式。当你阻止所有传入连接时，Mac 除了基本网络服务或已建立的连接（如浏览网页或查看电子邮件所需的连接）外，不会响应传入的网络连接，这会阻止 Mac 上托管的共享服务或应用远程工作。

如同大多数系统偏好设置面板一样，你可以点击“帮助”按钮（问号）获取有关当前打开的偏好设置面板的更多信息。

3. 共享服务故障排除

如果你通过 Mac 提供共享服务，但其他人在访问时遇到问题，可根据服务的使用情况来确定排查方向。

例如，如果你的 Mac 提供共享服务一段时间后，只有一台客户端计算机无法访问该服务，那么应先排查客户端计算机的问题，再排查共享 Mac 的问题。

如果多台客户端都无法访问你的共享 Mac，则可能是共享服务本身存在问题。在排除其他潜在的本地客户端和网络问题后，可假设问题出在提供共享服务的 Mac 上。共享网络服务问题一般可分为两类：服务通信问题和服务访问问题。

如果你无法建立与共享服务的连接，这可能表示存在网络服务通信问题；如果你看到身份验证对话框，说明客户端和服务器正在建立正确的连接，应将此问题作为服务访问问题进行排查。如果身份验证失败，或者你可以进行身份验证但未被授权访问服务，则说明你遇到了服务访问问题。

3.1 网络服务通信故障排查

如果你无法建立与共享服务的连接，可以使用以下方法排查网络服务通信问题：
- 仔细检查共享 Mac 的网络配置：打开“网络”偏好设置，确保 Mac 计算机的网络接口处于活动状态，并配置了适当的 TCP/IP 设置。如果 DNS 服务器为你的共享 Mac 提供了主机名，可以使用终端中的命令（参考相关内容）验证主机名。
- 仔细检查 Mac 计算机的共享服务配置：打开“共享”偏好设置，验证 Mac 计算机的共享名称，并确保相应的服务已开启并正确配置。
- 仔细检查 Mac 计算机的防火墙配置：打开“安全性与隐私”偏好设置，先暂时停止防火墙，看关闭防火墙是否有改善。如果能够建立连接，在重新启动防火墙之前，调整允许的服务和应用列表。
- 检查与共享 Mac 的基本网络连接：先关闭防火墙的隐形模式，然后在另一台 Mac 上使用终端中的 ping 命令（参考相关内容）检查与共享 Mac 的基本连接。如果无法 ping 通共享 Mac，可能存在超出服务故障排查范围的网络级问题。
- 检查与共享 Mac 的网络服务端口连接：先关闭防火墙的隐形模式，然后在另一台 Mac 上使用终端中的 nc 命令（参考相关内容）验证预期的网络服务端口是否可访问。如果共享 Mac 配置正确，相应的网络服务端口应该显示为开放状态。如果网络客户端和共享 Mac 之间存在网络路由器，网络管理员可能已决定阻止对这些端口的访问。

3.2 网络服务访问故障排查

无法进行身份验证或未被授予访问共享服务的权限，属于网络服务访问问题。可以使用以下方法排查这些访问问题：
- 验证本地用户账户设置：使用本地用户账户时，确保使用了正确的身份验证信息。可能用户使用的信息不正确，你可能需要重置账户密码。此外，有些服务不允许使用访客和仅用于共享的用户账户，VNC 服务使用的密码信息与用户账户没有直接关联。
- 检查目录服务设置：如果你在环境中使用网络目录服务，通过“目录实用工具”检查 Mac 与目录服务的通信状态，确保其正常通信。即使你只尝试使用本地账户，任何目录服务问题都可能导致身份验证问题。有些服务，如远程管理，默认不允许使用网络目录中的账户进行身份验证。
- 检查共享服务访问设置：一些经过身份验证的共享服务允许你配置访问列表。使用“共享”偏好设置验证允许访问共享服务的用户账户是否正确。

4. 使用主机共享服务的练习

在进行练习前，需要满足以下先决条件：
- 你必须创建了本地管理员账户（参考相关练习）和 Johnny Appleseed 标准用户账户（参考相关练习）。
- 你需要有一台主 Mac，即你之前进行过所有练习的 Mac。
- 你需要有一台辅 Mac，该 Mac 需满足上述先决条件，运行 macOS Big Sur，与主 Mac 在同一网络中，不能使用与主 Mac 相同的 Apple ID 登录，且名称与主 Mac 不同。

即使你不满足这些先决条件，阅读练习内容也能增强你对相关流程的了解。

4.1 开启屏幕共享

在辅 Mac 上开启屏幕共享的操作步骤如下：
1. 如果本地管理员账户已登录（即使是在后台会话中），将其注销。
2. 如有必要，以 Johnny Appleseed 账户登录。
3. 打开“共享”偏好设置。
4. 点击锁按钮，以本地管理员身份进行验证。
5. 确保“远程管理”复选框已选中。如果显示远程管理选项的对话框未自动出现，点击“选项”按钮。虽然你使用的是屏幕共享服务，但需通过“远程管理”（用于 Apple Remote Desktop）进行配置，“远程管理”包含屏幕共享功能，此时屏幕共享服务的复选框会变灰，这并不表示该服务不可用，而是表示它由“远程管理”控制。
6. 授予用户所有权限。确保所有选项都被选中，一种简便的方法是按住 Option 键点击一个复选框，一次性选中所有选项，然后点击“确定”关闭对话框。
7. 确保“允许以下人员访问”选择为“所有用户”。
8. 确保“服务”列中的其他所有服务都未被选中。
9. 退出“系统偏好设置”。
10. 在辅 Mac 上重复上述步骤 1 - 9。

4.2 远程控制另一台 Mac

在主 Mac 上使用屏幕共享远程控制辅 Mac 的操作步骤如下：
1. 在主 Mac 的“访达”中，选择“前往”>“网络”（Shift - Command - K）。此时，辅 Mac 会显示在本地网络的共享 Mac 计算机列表中，该列表显示提供文件共享、屏幕共享或两者皆有的 Mac 计算机。
2. 在“网络”窗口中，双击你要控制的辅 Mac。由于辅 Mac 未提供文件共享服务，主 Mac 唯一的选项就是共享辅 Mac 的屏幕。
3. 点击“共享屏幕”。
4. 以 Johnny Appleseed 身份进行身份验证，可以使用账户短名称（johnny），如果辅 Mac 为 Johnny Appleseed 账户设置了不同的密码，请使用该密码。
5. 点击“登录”。屏幕共享开始，会打开一个窗口，显示辅 Mac 计算机桌面的实时交互式视图。
6. 在辅 Mac 上打开“桌面与屏幕保护程序”偏好设置。
7. 为辅 Mac 选择不同的桌面图片。
8. 按下 Command - Q 组合键，退出辅 Mac 上的“系统偏好设置”。需要注意的是，在控制屏幕共享时不能使用标准快捷键。
9. 点击屏幕共享窗口标题栏中的“全屏”按钮，窗口会扩展并填满整个屏幕。在全屏模式下，主 Mac 计算机的显示屏会成为辅 Mac 计算机显示屏的虚拟镜像。
10. 将鼠标移到屏幕顶部，停留几秒钟，屏幕顶部会显示屏幕共享菜单、窗口控制和工具栏，这使你可以退出全屏模式或访问屏幕共享工具栏。
11. 选择“屏幕共享”>“退出屏幕共享”。
12. 如果你是与伙伴一起练习，可以交换角色，让伙伴重复上述步骤。

4.3 连接到虚拟显示屏

当你以不同用户身份连接到另一台 Mac 时，可以使用虚拟显示屏，而不是共享本地用户的显示屏。这样，主 Mac 和辅 Mac 可以同时使用，互不干扰。操作步骤如下：
1. 确保上一部分的任务已全部完成。
2. 打开“网络”视图（Shift - Command - K），然后在主 Mac 上双击你要控制的辅 Mac。
3. 点击“共享屏幕”。
4. 这次以本地管理员身份进行身份验证（可以使用短名称 ladmin），然后点击“登录”。由于你以与辅 Mac 上登录用户不同的用户身份进行了身份验证，会出现选择共享当前用户的显示屏还是以虚拟显示屏登录为不同用户的选项。
5. 选择“以你自己的身份登录”，然后点击“连接”。屏幕共享窗口会打开并显示辅 Mac 的登录屏幕，Johnny Appleseed 旁边的橙色复选标记表示他已登录到辅 Mac，同时你会看到登录窗口显示你的屏幕正在被观察。
6. 以本地管理员身份登录到辅 Mac。虚拟屏幕使你可以轻松地远程管理用户的 Mac 计算机，而不会干扰用户。如果有人正在使用辅 Mac，他们不会注意到你的操作。
7. 在辅 Mac 上打开“用户与群组”偏好设置。如果你使用苹果菜单或程序坞，请使用屏幕共享窗口中的菜单和程序坞，而不是屏幕边缘的那个。此时可以看到 Johnny Appleseed 名称旁边有橙色复选标记，表明他当前已登录。
8. 退出辅 Mac 上的“系统偏好设置”。
9. 点击辅 Mac 上的快速用户切换菜单，该菜单会显示 Johnny Appleseed（你留下的已登录会话）和本地管理员（你）都已登录到辅 Mac，你的虚拟显示屏被视为快速用户切换会话。
10. 在辅 Mac 的“访达”中，选择苹果菜单>“注销本地管理员”，然后点击“注销”按钮。需要注意的是，如果你在未先注销的情况下断开屏幕共享，会留下一个快速用户切换会话。
11. 选择“屏幕共享”>“退出屏幕共享”。

通过以上步骤，你可以更好地管理 Mac 的主机共享和个人防火墙，同时掌握使用屏幕共享等主机共享服务的方法，提高工作效率和网络安全性。

下面是一个关于共享服务故障排查的 mermaid 流程图：

graph TD;
    A[共享服务访问问题] --> B{单客户端还是多客户端问题};
    B -->|单客户端| C[排查客户端计算机];
    B -->|多客户端| D[排查共享 Mac];
    D --> E{服务通信还是服务访问问题};
    E -->|服务通信| F[检查网络配置、共享服务配置、防火墙配置等];
    E -->|服务访问| G[检查用户账户设置、目录服务设置、共享服务访问设置];

另外，为了更清晰地对比不同防火墙的特点，我们可以看下面的表格：
| 防火墙类型 | 基于端口号规则 | 对动态端口处理 | 配置方式 | 安全性 |
| ---- | ---- | ---- | ---- | ---- |
| 标准防火墙 | 是 | 需手动为每个潜在端口设置规则 | 复杂 | 一般 |
| macOS 防火墙 | 自适应技术，无需了解具体端口 | 自动根据应用和服务需求允许连接 | 一键配置 | 高，有代码签名保障 |

Mac 主机共享与个人防火墙管理指南

5. 总结与关键要点回顾

为了帮助大家更好地掌握 Mac 主机共享与个人防火墙管理的核心内容，下面对前面介绍的重要信息进行总结：

主题	关键信息
AirDrop 发现	若 Mac 无法发现 AirDrop 设备，可能是对方未开启 AirDrop，可在“访达”中开启。默认不可发现，可在 AirDrop 界面底部设置发现范围。
个人防火墙	开启内置个人防火墙可阻止未经授权的连接，macOS 防火墙采用自适应技术和代码签名，动态打开必要端口。开启步骤：打开“安全性与隐私”偏好设置，解锁，点击“防火墙”和“开启防火墙”。可自定义配置，还能选择“启用隐形模式”和“阻止所有传入连接”增强安全性。
共享服务故障排查	服务问题分通信和访问两类。通信问题可检查网络、共享服务、防火墙配置，测试基本网络和端口连接；访问问题可验证用户账户、目录服务和共享服务访问设置。
主机共享服务练习	需创建特定账户，有主辅两台 Mac。开启屏幕共享要在辅 Mac 上按步骤操作；远程控制另一台 Mac 在主 Mac 上操作；连接虚拟显示屏以不同用户身份登录辅 Mac。

6. 常见问题解答

在实际操作过程中，大家可能会遇到一些常见问题，下面为大家解答：

6.1 AirDrop 相关问题

• 问 ：为什么我设置了 AirDrop 允许所有人发现，但还是无法发现某些设备？
  • 答 ：可能是对方设备的 AirDrop 功能出现异常，或者对方设备的网络连接不稳定。可以让对方检查 AirDrop 是否正常开启，以及网络连接是否正常。
• 问 ：AirDrop 传输文件时速度很慢怎么办？
  • 答 ：首先确保两台设备距离较近，且都连接到稳定的网络。另外，设备的系统版本过低也可能影响传输速度，建议将设备系统更新到最新版本。

6.2 个人防火墙相关问题

• 问 ：开启个人防火墙后，某些应用无法联网怎么办？
  • 答 ：可以在“防火墙选项”中手动允许该应用通过防火墙。如果不知道如何操作，当应用请求联网时，系统会弹出对话框，选择允许即可。如果当前未以管理员身份登录，需要提供管理员凭据。
• 问 ：启用隐形模式后，我的 Mac 是不是就完全隐藏了？
  • 答 ：不是的，启用隐形模式只是阻止对请求主机的失败尝试做出响应，但默认情况下 Bonjour 服务仍会宣告你的 Mac 存在，防止在网络中被隐藏。

6.3 共享服务相关问题

• 问 ：我开启了共享服务，但其他设备无法访问，该怎么解决？
  • 答 ：按照前面提到的故障排查方法，先检查网络配置、共享服务配置和防火墙配置。确保网络接口正常，共享服务开启且配置正确，防火墙允许相应服务通过。
• 问 ：共享服务的身份验证失败，该怎么办？
  • 答 ：验证本地用户账户设置，确保使用了正确的身份验证信息。如果是使用网络目录服务，检查目录服务设置是否正常。

7. 最佳实践建议

为了让大家更好地管理 Mac 的主机共享和个人防火墙，以下是一些最佳实践建议：

7.1 AirDrop 使用建议

• 定期检查 AirDrop 的发现设置，根据实际需求调整允许发现的范围，避免不必要的设备发现。
• 在进行 AirDrop 传输时，确保设备电量充足，避免因电量不足导致传输中断。

7.2 个人防火墙使用建议

• 定期更新系统和应用，以确保防火墙的代码签名功能能够识别最新的软件版本，保障安全性。
• 定期检查防火墙的配置，确保允许的应用和服务符合实际需求，及时清理不再需要的允许项。

7.3 共享服务使用建议

• 仅在必要时开启共享服务，使用完毕后及时关闭，减少安全风险。
• 为共享服务设置强密码，并定期更换，防止他人未经授权访问。

8. 未来趋势展望

随着网络技术的不断发展，Mac 的主机共享和个人防火墙管理也将面临新的挑战和机遇。以下是一些可能的未来趋势：

• 更智能的防火墙技术 ：未来的防火墙可能会采用更先进的人工智能和机器学习技术，能够自动识别和阻止潜在的网络威胁，无需用户手动配置大量规则。
• 增强的共享服务安全性 ：共享服务可能会引入更多的加密和身份验证机制，保障数据在共享过程中的安全性。
• 跨平台共享的便利性提升 ：随着不同操作系统之间的兼容性不断提高，Mac 与其他设备之间的共享服务可能会更加便捷，实现无缝的文件和资源共享。

总之，掌握 Mac 主机共享和个人防火墙管理的知识和技能是非常重要的。通过本文的介绍，希望大家能够更好地管理自己的 Mac 设备，提高网络安全性和工作效率。同时，也要关注未来的技术发展趋势，及时调整管理策略，以适应不断变化的网络环境。

下面是一个关于未来趋势的 mermaid 流程图：

graph TD;
    A[未来趋势] --> B[更智能的防火墙技术];
    A --> C[增强的共享服务安全性];
    A --> D[跨平台共享便利性提升];
    B --> E[人工智能和机器学习应用];
    C --> F[更多加密和身份验证机制];
    D --> G[跨系统兼容性提高];

大家在实际操作过程中，如果遇到任何问题，欢迎随时参考本文的内容，也可以在相关论坛或社区寻求帮助。希望大家都能顺利管理好自己的 Mac 设备！