Что такое mDNSResponder на Mac? Bonjour, DNS и высокая нагрузка на сеть объяснены

mDNSResponder, это системный демон, встроенный в macOS и подписанный Apple. Это не вредоносное ПО, не дополнение и не то, что вы устанавливали: он поставляется вместе с операционной системой и запускается автоматически.

Он выполняет две разные задачи, и путаница между ними, источник большей части недоразумений вокруг него. Первая, multicast DNS и обнаружение сервисов: это Bonjour Apple, технология, которая позволяет вашему Mac находить принтеры, приемники AirPlay, Chromecasts, общие диски, аксессуары HomeKit и другие Mac в локальной сети без ручной настройки. Этот трафик отправляется на multicast-адрес по UDP-порту 5353, который является стандартным портом mDNS.

Вторая задача, которую большинство объяснений пропускает: в macOS mDNSResponder также является системным DNS-resolver. Когда любому приложению на вашем Mac нужно преобразовать имя хоста в IP-адрес, запрос обычно обрабатывается mDNSResponder от имени этого приложения, а не самим приложением.

Обе задачи выполняются внутри одного процесса. Поэтому, когда вы видите, что mDNSResponder занят, вы смотрите на суммарный результат локального обнаружения в сети и каждого поиска имени, который выполняет ваш Mac.

Это часть, которая вызывает тревогу у людей, и у нее есть простое объяснение. Поскольку mDNSResponder разрешает имена от имени других процессов, практически все DNS-запросы вашего Mac выглядят так, как будто исходят от mDNSResponder, а не от приложения, которое на самом деле запрашивало адрес.

Ваш браузер загружает страницу с десятком сторонних ресурсов, ваш почтовый клиент проверяет аккаунты, фоновый обновлятор, чат-приложение переподключается: ни одно из них не отображается как самостоятельное в DNS-обзоре. Они показываются как mDNSResponder, общающийся с вашими настроенными DNS-серверами. Со стороны кажется, что один процесс интересуется огромным и постоянно меняющимся списком доменов.

Этот факт объясняет большую часть подозрений. Видеть, как mDNSResponder контактирует с множеством хостов, не означает, что он делает что-то подозрительное. Это прокси. Активность принадлежит тому программному обеспечению, которое запрашивало поиск; mDNSResponder просто выполняет его.

Также это объясняет, почему процесс редко становится тихим. Современный Mac постоянно работает в фоновом режиме: службы синхронизации, push-уведомления, проверки обновлений, телеметрия из установленных приложений. Каждое из них нуждается в разрешении имен, и все это проходит через один и тот же демон.

mDNSResponder, это законная часть macOS. Нет значимой истории того, чтобы он маскировался под что-то вредоносное, и на нормально работающем Mac вы должны видеть ровно один его экземпляр.

Вам не нужно верить этому на слово. В Activity Monitor выберите процесс и откройте инспектор, чтобы увидеть его сведения, включая путь к исполняемому файлу, из которого он был запущен. Системные демоны Apple находятся внутри защищённых системных каталогов, а не в вашей домашней папке, Downloads или Applications. Процесс с именем mDNSResponder, запущенный из необычного места, это как раз то, что стоит проверить, само по себе имя ничего не доказывает.

Более надёжная проверка, это подпись кода. macOS поставляется с инструментом codesign, и проверка по пути запущенного бинарного файла покажет вам, кто его подписал. Собственные системные компоненты Apple подписаны Apple. В последних версиях macOS системные файлы также находятся на запечатанном, доступном только для чтения системном томе, что делает подмену настоящего бинарного файла гораздо сложнее, чем раньше.

Ещё одна проверка на здравый смысл: высокая активность mDNSResponder, это нормально, но длительное высокое использование CPU в течение часов, нет. Обычно это симптом чего-то другого в вашей сети или на вашем Mac, и именно об этом говорит следующий раздел.

Когда mDNSResponder действительно ведёт себя неправильно, причина почти всегда находится вне его. Обычно виноваты: загруженная локальная сеть с интенсивным Bonjour-трафиком, принтер или NAS, слишком активно объявляющие о себе, VPN или стороннее DNS-программное обеспечение, конфликтующее с системным резолвером, captive-portal при подключении к сети отеля или кафе, либо одно приложение на вашем Mac, которое делает запросы в бесконечном цикле.

Проверяйте по порядку, от самого простого к более трудоёмкому. Сначала выключите и снова включите Wi-Fi или ненадолго отключитесь от сети, это очищает удивительно много временных состояний. Если не помогло, перезагрузите Mac, перезапуск сбрасывает демон вместе со всем, что его обслуживает. Если проблема возникает только в одной сети, переменная именно сеть, а не ваш Mac: попробуйте другую, чтобы это подтвердить, и посмотрите, что там рекламирует себя. Если вы недавно устанавливали VPN-клиент, инструмент фильтрации DNS или что-то ещё, что устанавливает сетевое расширение, временно отключите это, так вы быстро поймёте, не оно ли вызывает проблему. Если проблема сопровождает вас в разных сетях и не исчезает после перезагрузки, подозревайте конкретное приложение и начните по одному закрывать недавно установленные или недавно обновлённые приложения.

Чего делать не стоит, так это блокировать его. Никогда не блокируйте mDNSResponder в firewall. Поскольку это системный резолвер, его блокировка останавливает разрешение имён для всего Mac: браузеры, Mail, App Store, обновления программного обеспечения и практически всё остальное, что обращается к сети, перестанет работать, обычно с запутанными ошибками, которые никак не указывают на добавленное вами правило firewall. Это один из немногих процессов, при блокировке которого вред намного больше, чем от трафика, который он должен был остановить.

Если ваша настоящая цель, уменьшить локальный сетевой шум, настраивайте функции, а не резолвер. Отключите AirPlay receiver, общий доступ к принтеру, общий доступ к файлам и другие службы, зависящие от Bonjour, которыми вы не пользуетесь, тогда ваш Mac будет меньше объявлять о себе и меньше слушать, не ломая DNS. Это и есть правильный рычаг.

Следствие централизованного разрешения имён, это проблема атрибуции. Если вы наблюдаете соединения на системном уровне, большая часть интересной DNS-активности помечается как mDNSResponder, и по одной этой метке вы не поймёте, запросил ли домен ваш браузер, фоновое обновление или приложение, которое тихо звонит домой.

Чтобы ответить на этот вопрос, нужен инструмент, который отслеживает соединения по каждому процессу и связывает активность с исходным приложением, а не с тем демоном, который выполнил поиск. Именно этот пробел и закрывает NetMute: он показывает трафик в реальном времени по приложениям и процессам, а также ведёт журналы доменов для каждого приложения, какие домены оно запрашивало, когда и сколько данных передавалось. Вместо одного загруженного демона вы получаете картину по приложениям, с кем именно общается ваш Mac.

Дальше можно действовать точечно. Брандмауэр NetMute для приложений позволяет заблокировать конкретное приложение одним щелчком или применить временное правило с автоматическим истечением срока, если нужно лишь на время заглушить что-то. Профили сети позволяют делать правила разными для дома, офиса и недоверенных сетей, а Tracker Shield закрывает список из более чем 1 100 известных доменов трекеров. При этом не нужно вмешиваться в сам mDNSResponder: вы оставляете резолвер в покое и воздействуете на приложение, которое порождает запросы. Это единственный способ, который не ломает остальной Mac.