לדלג לתוכן

שיעור 10: שיתוף וגישה מרחוק

חלק ב': מדריך העברה למרצה

הערה למדריך: מסמך זה משמש כ"מערך השיעור" (Lesson Plan) וכולל את התסריט להעברת החומר מול הכיתה, תרחישי הדגמה, ומידע טכני מורחב שיעזור לך להתמודד עם שאלות קשות. שמור על טון שיחתי (Conversational), נגיש ומעשי, כפי שהוגדר בפרוטוקול הקורס. ההדגמות במערך זה מבוססות על ממשק המשתמש הגרפי (GUI), כדי להעניק לתומכים כלים ויזואליים ונגישים לפתרון תקלות, בעוד פקודות ה-Terminal שמורות להעמקה מאחורי הקלעים.

1. חיבור לשרתים: עבודה עם פרוטוקול SMB, ניתוב נתיבים מול שרתי Windows

פסקת כיוון למרצה: המטרה של חלק זה היא לתת לתומך ביטחון בחיבור לרשתות הארגוניות. בארגונים גדולים הסטודנטים יצטרכו לחבר מק לשרתי קבצים מבוססי Windows. חשוב לנפץ את המיתוס ש"מק ו-Windows לא מדברים יחד" – הם מדברים מצוין ב-SMB. אפשר לשאול את הכיתה: "מי פה ניסה פעם לחבר מק לשרת במשרד והסתבך עם הלוכסנים?". הראו להם את כלי ה-Connect to Server ככלי היומיומי של התומך.

תסריט שיחה (Discussion - Script):

  • הקדמה על תקשורת ברשת:
  • שרתי קבצים ארגוניים לרוב מבוססים על Windows.
  • המק מתקשר איתם בצורה שקופה לחלוטין.
  • פרוטוקול SMB במק:
  • זהו הפרוטוקול העיקרי והמובנה במערכת.
  • מגשר על פערים של פורמט הדיסק (למשל, השרת יכול להיות מפורמט כ-NTFS או ZFS).
  • אנקדוטה היסטורית: בעבר אפל השתמשה בפרוטוקול AFP משלה (שהתחיל ב-1988), אבל כיום SMB של מיקרוסופט (במקור של IBM) נחשב לסטנדרט הבלעדי גם אצל מקיסטים. כדאי לציין ש-SMB עדיין לא "מבין" קבצי Sparse של APFS, ולכן העתקה של קובץ כזה דרך SMB 'תנפח' אותו חזרה לגודל המלא על השרת.

← APFS Sparse Files ו-Clones נלמדו בשיעור 06 (FileSystem) — כאן רואים ש-SMB לא מכבד אותם ומנפח את הקובץ לגודלו המקורי.

  • התחברות לשרת:
  • שימוש בחלון Connect to Server ב-Finder.
  • תחביר חובה: מתחיל ב-smb:// (ולא בלוכסנים הפוכים כמו ב-Windows).

🖼️ הפניה ויזואלית: הראה לתלמידים את התמונה 26-Tahoe-Finder-Connect-to-Server-scaled.png כדי להמחיש את מסך ההתחברות.

הדגמה מעשית (Demonstration):

  • מעבר ל-Finder (לחיצה על שולחן העבודה).
  • פתיחת חלון התחברות: בתפריט העליון לחצו Go > Connect to Server (או ⌘+K).
  • הקלדת נתיב לדוגמה: למשל smb://10.0.0.5/Public.
  • הצגת חלון הזדהות (שם משתמש וסיסמה).
  • איתור השרת המחובר תחת Locations בסרגל הצד.

Instructor Deep-Dive:

לחץ להרחבה טכנית למדריך: SMB ב-macOS
  • מנוע ה-SMB במק (SMBx):
  • המערכת מנסה להתחבר תחילה ב-SMB 3 (כולל תמיכה בהצפנה).
  • קונפיגורציה קשיחה ופקודות טרמינל:
  • /etc/nsmb.conf: מאפשר ביטול Packet Signing או אילוץ גרסה מול שרתים ישנים.
  • smbutil statshares -a: בודק גרסת חיבור וסטטוס תמיכה בתכונות מתקדמות.
  • פקודות רשת לאבחון: netstat -an ו-ping -c 5.
  • לוגים ומקרי קצה:
  • לוגים: חפשו ב-Console לפי subsystem: com.apple.smb לאיתור שגיאות אימות ומשא ומתן.
  • מקרה קצה (איטיות ב-SMB): נובע מניסיון המערכת לייצר קבצי .DS_Store. ניתן למנוע זאת עם: defaults write com.apple.desktopservices DSDontWriteNetworkStores -bool TRUE.

2. שיתוף מקומי: Screen Sharing, AirDrop ו-Universal Control

פסקת כיוון למרצה: חלק זה מתמקד בקסם של אקוסיסטם אפל - Zero Configuration. תלמידים יופתעו לראות איך Bonjour מזהה מחשבים באוויר ללא הגדרת IP. המטרה היא להראות איך טכנולוגיות צרכניות כמו AirDrop או שיתוף מסך מקומי פועלות מתחת לפני השטח. שאלו את התלמידים: "מתי פעם אחרונה הצלחתם לשתף עכבר ומקלדת בין שני מחשבים בלי תוכנה צד ג'?".

תסריט שיחה (Discussion - Script):

  • שיתוף מקומי באקוסיסטם של אפל:
  • התממשקות קלה ומהירה למכשירים סמוכים (Zero-Configuration).
  • אנקדוטה היסטורית: בשנות ה-90 (מערכת System 7), גילוי שרתים ומדפסות נעשה ידנית דרך כלי בשם "Chooser". היום טכנולוגיות כמו mDNS/Bonjour ו-AWDL מזהות הכל אוטומטית.
  • העברת קבצים עם AirDrop ושליטה מרחוק (Screen Sharing):
  • AirDrop משתמש ב-Bluetooth לגילוי ו-Wi-Fi Direct להעברה מהירה.
  • Screen Sharing מבוסס על שדרוג של VNC הקלאסי אך עטוף בשכבת אבטחה (TCC) הדורשת הרשאות הקלטת מסך.
  • תכונת ה-Universal Control:
  • מאפשרת עכבר ומקלדת אחת בין מספר מסכים, מנוהל על ידי שירות rapportd.

הדגמה מעשית (Demonstration):

  • העברת קבצים (AirDrop): פתחו חלון Finder, לחצו על AirDrop בסרגל הצד והראו אפשרויות חשיפה (Contacts Only).
  • שיתוף מסך (Screen Sharing): נווטו אל System Settings > General > Sharing והפעילו. הראו את כפתור ה-(i) לבחירת משתמשים.
  • עבודה רציפה (Universal Control): נווטו אל System Settings > Displays > Advanced להמחשת ההגדרות.

Instructor Deep-Dive:

לחץ להרחבה טכנית למדריך: פרוטוקולי שיתוף מקומי
  • אופן הפעולה של AirDrop והרשת המקומית:
  • זיהוי מתבצע דרך Bluetooth LE והעברה דרך ממשק Apple Wireless Direct Link (AWDL - מיוצג במערכת כ-awdl0).
  • פקודות ולוגים:
  • לוגים: סננו ב-Console לפי subsystem: com.apple.sharing כדי לראות לחיצות יד (Handshakes) של AirDrop.
  • טרמינל: sharing -l מציג שירותי שיתוף פעילים, ו-ifconfig awdl0 מציג את ממשק הרשת האלחוטי הישיר.
  • מקרי קצה ופתרון תקלות:
  • תקלת AirDrop נפוצה (לא רואים את המכשיר): כיבוי והדלקה של Wi-Fi במק לרוב יאפס את ממשק ה-awdl0.
  • שיתוף מסך לא עובד: נובע לעיתים קרובות מהיעדר הרשאת Screen Recording תחת Privacy & Security (TCC), או שחומת האש חוסמת תעבורה נכנסת.

3. שכפול מהיר: Mac Sharing Mode להעברת מידע כבל-לכבל

פסקת כיוון למרצה: זהו כלי חילוץ קריטי. הסטודנטים מכירים אולי מ-Windows חיבור כוננים כ-Target Disk, אבל כאן, בגלל ההצפנה ו-SSV, אפל שינתה את חוקי המשחק ב-Apple Silicon. הסבירו שזה בעצם שרת SMB קטן וזמני בתוך ה-Recovery. זה המקום להדגיש את המגבלה הקריטית עבור אנשי IT: אי אפשר לתקן דיסק שמשותף דרך רשת בגלל שזה ברמת קובץ ולא ברמת בלוק.

תסריט שיחה (Discussion - Script):

  • תרחיש חילוץ נתונים קלאסי:
  • במחשבי Apple Silicon הדיסקים מולחמים. אם מערכת ההפעלה לא עולה, אנחנו צריכים לחלץ נתונים.
  • Mac Sharing Mode (יורשו של Target Disk Mode):
  • מבוסס על שיתוף קבצים ברשת (SMB) בתוך Recovery Mode (1TR).
  • אנקדוטה היסטורית: Target Disk Mode הישן חשף את הכונן ברמת הבלוק החומרתי. בעשור הראשון של OS X לא הייתה כלל מחיצת Recovery. ב-Apple Silicon, כדי להגן על FileVault, המק פועל כשרת SMB מבודד לחלוטין ברמת הקובץ.
  • דרישות אבטחה:
  • המחשב המארח מחייב הזנת סיסמת המשתמש המקומי של המק התקול, מה שמפענח (Unlock) את ווליום הנתונים (Data Volume).

← FileVault שנלמד בשיעור 04 (הצפנה) הוא הסיבה שמשתמשים בסיסמאת Admin ב-Mac Sharing Mode — ה-Volume Owner מאשר את הגישה דרך Secure Enclave.

הדגמה מעשית (Demonstration):

  • חשיפת מתג שיתוף רגיל (System Settings > General > Sharing).
  • הסבר הדגמת Mac Sharing Mode:
  • כניסה ל-Recovery Mode (לחיצה ארוכה על כפתור ההפעלה ב-Apple Silicon).
  • הפעלת כלי Share Disk מסרגל Utilities.
  • חיבור: במק המארח נכנסים ל-Network ב-Finder ולוחצים על המק התקול שהפך כעת לשרת SMB זמני.

Instructor Deep-Dive:

לחץ להרחבה טכנית למדריך: Target Disk מול Mac Sharing
  • ארכיטקטורה:
  • המק התקול משתף את עצמו כשרת SMB (על ידי תהליך smbd מינימליסטי) הפועל מעל גשר רשת של IP-over-Thunderbolt.
  • מקרי קצה ופתרון תקלות:
  • טעות נפוצה של אנשי IT: ניסיון להריץ Disk Utility (First Aid) מהמחשב המארח על המחשב התקול. זה בלתי אפשרי ב-Apple Silicon, כי המחשב המארח רואה רק תיקיית רשת (SMB) ולא בלוק אחסון גולמי. יש להריץ תיקוני דיסק מה-Recovery של המחשב התקול עצמו.
  • ניתוקים: בחיבור IP-over-Thunderbolt, ניתוקים נובעים לרוב מאיכות כבל ירודה.

4. תיבול ארגוני: התממשקות ל-Single Sign-On (כמו סיומת Kerberos SSO) בארגון לחיבור שקוף לכונני רשת

פסקת כיוון למרצה: כאן אנחנו מחברים את תחום הרשת והשיתוף לניהול בארגון (MDM). הסטודנטים יבינו איך פותרים את בעיית "עייפות הסיסמאות" שפוקדת משתמשים המנסים לגשת לכונני רשת שוב ושוב. המטרה היא להראות איך SSO (ובמיוחד תוסף Kerberos המובנה) מספק חוויה שקופה – המק זוכר הכל מאחורי הקלעים בעזרת MDM.

תסריט שיחה (Discussion - Script):

  • אתגרי הזדהות (Password Fatigue):
  • ריבוי סיסמאות בארגון מייצר קריאות תמיכה של "נעילת משתמש".
  • המעבר מ-AD Binding ל-SSO:
  • בעבר מק היה נקשר ל-AD (Bind), אך מודל זה מיושן (Mobile Accounts בעייתיים).
  • כיום: הרחבות Single Sign-On (כגון Kerberos SSO) מנוהלות על ידי פרופילי MDM (Configuration Profile).
  • חווית הלקוח (TGT):
  • התוסף מזהה רשת ארגונית, מבקש אימות פעם אחת, ומושך TGT (Ticket Granting Ticket) משרת ה-AD.
  • מאותו רגע, הלקוח מתחבר ל-SMB פנימי ללא שום בקשת סיסמה.

הדגמה מעשית (Demonstration):

  • בדיקת שירותי אימות ו-Directory Services במק המקומי:
  • פתחו את Directory Utility (/System/Library/CoreServices/Applications/Directory Utility.app או בחיפוש ב-Spotlight) והציגו את צומת ה-Search Policy המקומי (/Local/Default).
  • הריצו בטרמינל את הפקודה klist כדי להראות כיצד macOS בודקת מטמוני כרטיסי Kerberos מקומיים.
  • המלצה פדגוגית למרצה (עזרים ויזואליים):
  • מאחר ומחשב ההדרכה אינו מנוהל ב-MDM, הציגו מתוך העזרים הוויזואליים של השיעור את צילום המסך של סמל המפתח של הרחבת ה-Kerberos SSO בשורת התפריטים (Menu Bar) ופרופיל ה-Extensible SSO ב-MDM.

Instructor Deep-Dive:

לחץ להרחבה טכנית למדריך: SSO Extensions ומגבלות MDM
  • פקודות טרמינל לאבחון Kerberos:
  • klist: לבדיקת כרטיסי ה-TGT שנמצאים כרגע במטמון המקומי.
  • kinit ו-kdestroy: לאיפוס ומשיכת כרטיסים באופן ידני מה-KDC.
  • מקרי קצה (התנגשויות וזליגת מידע):
  • Platform SSO מול Kerberos: פריסה כפולה לאותו דומיין תיצור חפיפה בסנכרון סיסמאות. יש להגדיר syncLocalPassword=FALSE ב-Kerberos במידה וכלי אחר מנהל זאת.
  • AirDrop בארגון: לעיתים משתמשים מתלוננים שאינם מצליחים לשתף קובץ ב-AirDrop. אם מוגדר "Managed Open In" ב-MDM, המק מתייחס ל-AirDrop כאל 'Unmanaged Destination' וחוסם יציאת מסמכים ארגוניים החוצה (DLP).