Свързан диск през VPN между обекти: DNS, SMB и пътят UNC
Откриването в мрежата не преминава през маршрутизирана връзка, но именуваният път UNC го прави. Насочете DNS към сървъра, отворете SMB в двете посоки и след това свържете диска.
Страницата Мрежа в Explorer показва устройства, които са се обявили в локалния сегмент, а маршрутизираният тунел не пренася нито едно от тези обявления. Затова сървърът може да е напълно достъпен, докато прозорецът пред потребителя остава празен. Именуваният път UNC изобщо не зависи от откриването, а решението е името да се разрешава и портът да отговаря. Празният прозорец е симптом на грешен слой, а не на повредено споделяне.
Откриването не е същото като достъпност
Windows намира близките машини чрез протоколи, създадени за broadcast домейн, и после показва намереното като списък за удобство. Нищо от този списък не е нужно за достъп до файлове през SMB. Клиент, който знае името на сървъра и може да достигне TCP 445, ще отвори споделянето, независимо дали машината някога ще се появи в Мрежа.
Двата слоя се провалят независимо и затова "не го виждам" и "не мога да го отворя" заслужават различни тестове. Погледът към списъка говори за откриването; отварянето на пътя говори за услугата.
Именувайте сървъра, преди да свържете споделянето
Публикувайте файловия сървър в DNS с адреса, който има от другата страна, и насочете обекта на клиента към resolver, който може да отговаря за тази зона. Напълно квалифицираното име избягва зависимост от локален списък с наставки за търсене, което е обичайната причина кратко име да работи на едно място и да се проваля на друго.
Ако средата използва Active Directory, разрешаването на имена е също част от удостоверяването: клиентът трябва да достигне контролер на домейн за Kerberos, а часовник, който е твърде извън синхрон, ще провали размяната на билети. Това е различен проблем от достъпността на SMB и изглежда като грешка в данните за вход. Тествайте контролера на домейна, преди да въведете паролата отново.
| Layer | What it needs | Symptom when missing |
|---|---|---|
| Name resolution | A DNS answer for the server name | Path cannot be found, ping by IP still works |
| Transport | TCP 445 open in both directions | Connection times out or is refused |
| Authentication | A reachable domain controller and correct clock | Access is denied after the port connects |
| Authorization | Share permission and filesystem permission | The share opens but the folder is inaccessible |
Маршрутизирайте и филтрирайте в двете посоки
Тунелът между обекти се нуждае от отдалечения префикс в локалната таблица за маршрутизиране и от локалния префикс в отдалечената, а защитната стена от всяка страна трябва да разрешава идващия трафик. Едностранната конфигурация създава връзка, която се отваря и никога не отговаря, което потребителите описват като бавно споделяне. Проверете първо собствените броячи на тунела. Ако пакетите излизат и нищо не се връща, търсете обратния маршрут или отдалечения филтър.
При WireGuard разрешените IP адреси на партньора и маршрутите на операционната система трябва да съвпадат с този проект. Тунелът пренася пакети; той не предоставя DNS записи или разрешения за споделяне от нито една от страните.
Изградете правилото на защитната стена върху реалната изходна мрежа, която ще се свързва, и запишете изключението. Ако проектът някъде по пътя преобразува адреси, правилото трябва да използва преобразувания източник, а първоначалният адрес на клиента вече не се вижда в записите.
Удостоверете се, след това свържете диска
Преминете през слоевете с команди, а не с прозореца на Explorer:
Resolve-DnsName -Name files.corp.example -Type A
Test-NetConnection -ComputerName files.corp.example -Port 445
net use Z: \\files.corp.example\Projects /persistent:noВтората команда доказва пътя TCP, а не правото да се чете нещо. Третата е мястото, където се прилагат удостоверяването и оторизацията, и провал там трябва да ви насочи към разрешенията за споделяне и файловата система, а не обратно към рутера.
Запазете подписването на SMB и съществуващата политика за удостоверяване непроменени. Повторното включване на SMB1 или препращането на broadcast за откриване през тунела не е нужно за явен път, а TCP 445 трябва да остане на частния път, а не на препращане към интернет. Дайте на потребителите управляван пряк път или свързан диск към одобреното име и празната страница Мрежа престава да има значение.