Нужно помнить, что основная задача mDNS — просто назначать сетевые адреса и рекламировать сервисы. При этом реклама сервисов никак не означает, что эти сервисы реально доступны. Например, если через брандмауэр заблокировать порты 445 и 139, доступ к smb-шаре будет закрыт, но её реклама при этом останется. Можно настроить сеть так, что пользователи видят сервисы, но не могут к ним подключиться. И наоборот — если отключить или заблокировать рекламу mDNS для файловой шары, её всё равно можно будет достичь по адресу, даже если реклама не показывается. Чтобы немного подробнее пояснить… У меня несколько VLAN, которые не должны иметь доступ друг к другу. Блокировка всего трафика между VLAN с помощью брандмауэра Unifi решает эту задачу, но не влияет на видимость сервисов между VLAN. Если mDNS включён в сети, пользователи видят сервисы, рекламируемые в любой другой сети с включённым mDNS, хотя фактически подключиться к ним не могут.
Кроме того, реализация управления mDNS в UniFi довольно грубая. На моём примере, я хочу, чтобы сервисы на основном LAN были видимы и доступные для всех VLAN, но VLAN должны быть полностью изолированы друг от друга — не видеть сервисы других VLAN и не иметь к ним доступа. UniFi mDNS не умеет такого. Это либо включено на все сети, либо выключено. Он не является ретранслятором, а просто отражателем, позволяющим сетям с включённым mDNS отправлять и принимать широковещательные сообщения друг от друга без ограничений. Для более точного контроля, который мне нужен, я использую multicast-relay, и это отлично работает.
