Mapovaná jednotka přes VPN mezi lokalitami: DNS, SMB a cesta UNC
Zjišťování v síti nepřekročí směrované propojení, ale pojmenovaná cesta UNC ano. Namiřte DNS na server, otevřete SMB v obou směrech a pak jednotku namapujte.
Stránka Síť v Průzkumníku zobrazuje zařízení, která se ohlásila v místním segmentu, a směrovaný tunel nenese žádné z těchto ohlášení. Proto může být server dokonale dostupný, zatímco okno před uživatelem zůstává prázdné. Pojmenovaná cesta UNC na zjišťování vůbec nezávisí a řešením je přimět název, aby se přeložil, a port, aby odpověděl. Prázdné okno je příznakem špatné vrstvy, ne rozbitého sdílení.
Zjišťování není totéž jako dostupnost
Windows nachází blízké počítače pomocí protokolů navržených pro broadcastovou doménu a nalezené pak předkládá jako seznam pro pohodlí. Nic z tohoto seznamu není pro přístup k souborům přes SMB potřeba. Klient, který zná název serveru a dosáhne na TCP 445, sdílení otevře, ať se počítač v Síti někdy objeví, nebo ne.
Obě vrstvy selhávají nezávisle, a proto si "nevidím to" a "nemůžu to otevřít" zaslouží různé testy. Pohled na seznam vypovídá o zjišťování; otevření cesty vypovídá o službě.
Pojmenujte server dřív, než sdílení namapujete
Zveřejněte souborový server v DNS s adresou, kterou má na vzdálené straně, a namiřte lokalitu klienta na resolver, který pro danou zónu umí odpovědět. Plně kvalifikovaný název se vyhýbá závislosti na místním seznamu přípon pro hledání, což bývá obvyklý důvod, proč krátký název v jedné lokalitě funguje a v jiné selže.
Pokud prostředí používá Active Directory, je překlad názvů také součástí ověřování: klient musí dosáhnout na řadič domény kvůli Kerberu a hodiny příliš mimo krok nechají výměnu lístků selhat. To je jiný problém než dostupnost SMB a vypadá jako chyba přihlašovacích údajů. Otestujte řadič domény, než znovu napíšete heslo.
| Layer | What it needs | Symptom when missing |
|---|---|---|
| Name resolution | A DNS answer for the server name | Path cannot be found, ping by IP still works |
| Transport | TCP 445 open in both directions | Connection times out or is refused |
| Authentication | A reachable domain controller and correct clock | Access is denied after the port connects |
| Authorization | Share permission and filesystem permission | The share opens but the folder is inaccessible |
Směrujte a filtrujte v obou směrech
Tunel mezi lokalitami potřebuje vzdálený prefix v místní směrovací tabulce a místní prefix ve vzdálené a firewall na každé straně musí povolit provoz, který přichází. Jednostranná konfigurace vytvoří spojení, které se otevře a nikdy neodpovídá, což uživatelé popisují jako pomalé sdílení. Nejprve zkontrolujte vlastní čítače tunelu. Pokud pakety odcházejí a nic se nevrací, hledejte zpětnou trasu nebo vzdálený filtr.
U WireGuardu se musí povolené IP adresy protějšku a trasy operačního systému shodovat s tímto návrhem. Tunel přenáší pakety; nezřizuje záznamy DNS ani oprávnění ke sdílení na žádné ze stran.
Pravidlo firewallu postavte na skutečné zdrojové síti, která se bude připojovat, a výjimku si zapište. Pokud návrh někde na cestě překládá adresy, musí pravidlo použít přeložený zdroj a původní adresa klienta už není v logu vidět.
Ověřte se, pak namapujte jednotku
Procházejte vrstvy pomocí příkazů, ne okna Průzkumníku:
Resolve-DnsName -Name files.corp.example -Type A
Test-NetConnection -ComputerName files.corp.example -Port 445
net use Z: \\files.corp.example\Projects /persistent:noDruhý příkaz dokazuje cestu TCP, ne právo cokoliv číst. Třetí je místem, kde se uplatňuje ověřování a autorizace, a selhání tam by vás mělo poslat k oprávněním sdílení a souborového systému, ne zpátky ke routeru.
Ponechte podepisování SMB a stávající zásady ověřování beze změny. Znovu zapínat SMB1 nebo přeposílat zjišťovací broadcasty tunelem není pro explicitní cestu potřeba a TCP 445 má zůstat na soukromé cestě, ne na přesměrování do internetu. Dejte uživatelům spravovanou zástupku nebo mapovanou jednotku na schválený název a prázdná stránka Sítě přestane vadit.