NAS nedostupný přes VPN: adresa, zpáteční cesta nebo služba?

Tunely se zvednou, klienti dostanou adresu a NAS neodpovídá vůbec nic. Tento jediný příznak pokrývá tři nesouvisející poruchy a pořadí, v jakém je testujete, rozhoduje o tom, jak dlouho oprava potrvá. Adresování jde první, protože překrývající se podsíť může váš požadavek poslat na cizí zařízení. Zpáteční cesta jde druhá, protože požadavek, který dorazí bez odpovědi, vypadá stejně jako zavřená služba. Služba a oprávnění jdou na konec, a to až poté, co jsou první dvě prokázané.

Tři poruchy, které se všechny čtou jako nedostupné

Volba adresy, zpětný routing a autorizace služby vytvářejí stejnou viditelnou zprávu: nic se neděje. Mají různé důkazy, různé odpovědné a různé opravy, takže jejich oddělení je celý úkol. Ping, který selže, sám o sobě dokazuje málo, a úspěšné odmítnutí TCP je vlastně dobrá zpráva.

Čtěte tabulku jako pořadí testů, ne jako seznam příčin. Každý řádek omezuje ten následující, protože odmítnutí už dokazuje, že adresování a zpáteční cesta fungují. Strávit dvacet minut v pravidlech firewallu před tím, než zkontrolujete, které rozhraní trasa zvolila, je nejčastější způsob, jak ztratit odpoledne. Pracujte shora dolů a zastavte se u prvního řádku, který sedí.

Podmínka jedna: je ta adresa správné zařízení?

Zapište podsíť NAS a rozsah, který VPN přiděluje klientům, a obojí porovnejte se sítí, ve které je váš notebook právě teď. V tomto postupu je NAS na 10.40.7.25 a fond VPN je 10.40.9.0/24, dva oddělené privátní rozsahy v rámci jednoho plánu lokality; domácnost, která používá 192.168.0.0/24 nebo 10.0.0.0/24, má mnohem větší šanci narazit na jeden z nich.

Když se místní síť a síť NAS překrývají, klient pošle tento provoz na svou vlastní bránu a může se dostat k nesouvisejícímu zařízení, které náhodou má stejnou adresu. Ověřte cestu, než zadáte přihlašovací údaje do čehokoli, co odpovídá.

ip -4 route get 10.40.7.25
traceroute -n -m 5 10.40.7.25

První příkaz pojmenuje rozhraní a bránu, které by jádro použilo, a druhý ukáže první skoky, které skutečně odpovídají. Pokud se oba neshodují, věřte vyhledání, protože to je cesta, kterou paket půjde. Seznam skoků, který se zastaví jeden skok před NAS, je také zjištění, nikoli selhání. Vyhledání, které se přeloží na fyzický adaptér místo tunelu, vyšetřování v tomto bodě ukončí.

Podmínka dvě: vrací se odpověď?

Klient potřebuje trasu k NAS a síť NAS potřebuje zpáteční cestu k fondu VPN. Přeposílání na bráně, pravidla firewallu a záměrný překlad adres každé ovlivňuje tuto dvojici. Poznámky strongSwan k předávání popisují volby zpáteční trasy a překladu pro privátní podsíť za bránou.

Když požadavek dorazí a odpověď odejde jinou bránou, žádná změna DNS asymetrii nespraví. Zachycení na obou stranách to vyřeší na jeden pokus a ukáže také, zda překlad přepsal zdroj, kterému NAS odpověděl. Správce tu hranici vlastní: povolte jen potřebné služby a rozsah klientů VPN a zapište, zda bylo zvoleno směrování, nebo překlad.

Podmínka tři: je služba na místě a je povolená?

Správcovská stránka a služba sdílení souborů jsou různé koncové body na stejném stroji a jedna může přijímat spojení, zatímco druhou blokuje firewall hostitele, konfigurace služby nebo oprávnění ke sdílení. Zařízení, které odpoví odmítnutím, už první dvě podmínky prokázalo, což třetí značně zužuje.

Testujte s účtem, který soubory skutečně potřebuje, ne s účtem správce z instalace, protože správcovská práva nemohou opravit chybějící trasu a trasa nemůže udělit oprávnění ke sdílení. I jména sem patří: jméno NAS objevené doma často závisí na místním multicastu, který směrovaný tunel nepřenáší, takže zkuste dokumentované privátní jméno hostitele od výrobce nebo samotnou adresu, abyste oddělili pojmenování od přístupu.

Testujte zvenčí sítě NAS a pak pomalu rozšiřujte

Test provedený ve stejné LAN skryje každou neúplnou část vzdálené cesty, a proto si první úspěšný vzdálený pokus zaslouží poznámku v záznamu změn. Provádějte kontroly z klienta, který se k NAS dostane jen tunelem, a uchovejte původní text chyby z každého pokusu.

nc -vz 10.40.7.25 445
smbclient -L 10.40.7.25 -U guest

Jakmile cesta funguje, přeneste neškodný soubor a potvrďte chování čtení nebo zápisu, které skutečně potřebujete. Pokud se velké přenosy zaseknou, zatímco malé procházejí, zbývajícím problémem je zpracování velikosti paketů nebo stabilita spojení, ne adresování.

Nezveřejňujte porty pro sdílení souborů ani pro správu na internetu, abyste obešli nevysvětlenou poruchu. Opravte privátní cestu, udržujte software NAS podporovaný a otestujte obnovu všeho, co přes něj zálohujete, než se na tu zálohu spolehnete.