Падключаны дыск праз VPN паміж пляцоўкамі: DNS, SMB і шлях UNC
Выяўленне ў сетцы не праходзіць праз маршрутызаваны канал, а іменаваны шлях UNC праходзіць. Накіруйце DNS на сервер, адкрыйце SMB у абодва бакі і затым падключыце дыск.
Старонка «Сетка» у Праводніку паказвае прылады, якія абвясцілі сябе ў лакальным сегменце, а маршрутызаваны тунель не перадае ніводнага з такіх абвяшчэнняў. Таму сервер можа быць цалкам даступным, пакуль акно перад карыстальнікам застаецца пустым. Іменаваны шлях UNC зусім не залежыць ад выяўлення, і рашэнне ў тым, каб імя вырашалася, а порт адказваў. Пустое акно — сімптом няправільнага ўзроўню, а не зламанай агульнай папкі.
Выяўленне — не тое самае, што даступнасць
Windows знаходзіць суседнія машыны праз пратаколы, разлічаныя на шырокавяшчальны дамен, і потым паказвае знойдзенае як спіс для зручнасці. Нічога з гэтага спіса не патрабуецца для доступу да файлаў праз SMB. Кліент, які ведае імя сервера і можа дастукацца да TCP 445, адкрые агульную папку незалежна ад таго, ці з'явіцца машына калі-небудзь у раздзеле «Сетка».
Два ўзроўні адмаўляюць незалежна, таму «я яго не бачу» і «я не магу яго адкрыць» заслугоўваюць розных праверкаў. Позірк на спіс гаворыць пра выяўленне; адкрыццё шляху гаворыць пра службу.
Назвіце сервер, перш чым падключаць агульную папку
Апублікуйце файлавы сервер у DNS з адрасам, які ён мае на далёкім баку, і накіруйце пляцоўку кліента на рэзалвер, здольны адказваць за гэтую зону. Поўнае даменнае імя пазбаўляе залежнасці ад лакальнага спіса суфіксаў пошуку — звычайнай прычыны, чаму кароткае імя працуе на адной пляцоўцы і не працуе на іншай.
Калі асяроддзе выкарыстоўвае Active Directory, развязанне імёнаў таксама ўваходзіць у аўтэнтыфікацыю: кліент мусіць дастукацца да кантролера дамена для Kerberos, а гадзіннік, які занадта адхіліўся, прывядзе да збою абмену білетамі. Гэта іншая праблема, чым даступнасць SMB, і выглядае яна як памылка ўліковых даных. Праверце кантролер дамена, перш чым уводзіць пароль зноў.
| Layer | What it needs | Symptom when missing |
|---|---|---|
| Name resolution | A DNS answer for the server name | Path cannot be found, ping by IP still works |
| Transport | TCP 445 open in both directions | Connection times out or is refused |
| Authentication | A reachable domain controller and correct clock | Access is denied after the port connects |
| Authorization | Share permission and filesystem permission | The share opens but the folder is inaccessible |
Маршрутызацыя і фільтрацыя ў абодва бакі
Тунэлю паміж пляцоўкамі патрэбны аддалены прэфікс у лакальнай табліцы маршрутызацыі і лакальны прэфікс у аддаленай, а міжсеткавы экран з кожнага боку павінен прапускаць трафік, які прыходзіць. Аднабаковыя налады даюць злучэнне, якое адкрываецца і ніколі не адказвае, што карыстальнікі апісваюць як павольную агульную папку. Спачатку праверце ўласныя лічыльнікі тунэлю. Калі пакеты выходзяць і нічога не вяртаецца, шукайце зваротны маршрут або аддалены фільтр.
У WireGuard дазволеныя IP-адрасы партнёра і маршруты аперацыйнай сістэмы мусяць узгадняцца з гэтым праектам. Тунэль пераносіць пакеты; ён не стварае запісы DNS і не выдае дазволы на агульную папку ні з аднаго боку.
Будуйце правіла міжсеткавага экрана па рэальнай зыходнай сетцы, якая будзе падключацца, і запішыце выключэнне. Калі праект дзесьці на шляху транслюе адрасы, правіла мусіць выкарыстоўваць трансляваную крыніцу, а першапачатковы адрас кліента больш не відаць у журналах.
Аўтэнтыфікуйцеся, затым падключыце дыск
Праходзьце ўзроўні камандамі, а не акном Праводніка:
Resolve-DnsName -Name files.corp.example -Type A
Test-NetConnection -ComputerName files.corp.example -Port 445
net use Z: \\files.corp.example\Projects /persistent:noДругая каманда даказвае шлях TCP, а не права нешта чытаць. Трэцяя — там, дзе ўжываюцца аўтэнтыфікацыя і аўтарызацыя, і збой там павінен адпраўляць вас да дазволаў агульнай папкі і файлавай сістэмы, а не назад да маршрутызатара.
Захоўвайце подпіс SMB і існуючую палітыку аўтэнтыфікацыі нязменнымі. Паўторна ўключаць SMB1 або перасылаць шырокавяшчальныя абвяшчэнні выяўлення праз тунель для яўнага шляху не трэба, а TCP 445 павінен заставацца на прыватным шляху, а не на пераадрасацыі ў інтэрнэт. Дайце карыстальнікам кіраваны ярлык або падключаны дыск да зацверджанага імя, і пустая старонка «Сетка» перастане мець значэнне.