Gyriant wedi'i fapio dros VPN safle: DNS, SMB a llwybr UNC

Mae tudalen Rhwydwaith yn Explorer yn dangos dyfeisiau a gyhoeddodd eu hunain ar y segment lleol, ac nid yw twnnel â llwybr yn cario unrhyw un o'r cyhoeddiadau hynny. Dyna pam y gall gweinydd fod yn hollol gyrhaeddadwy tra bo'r ffenestr o flaen y defnyddiwr yn parhau'n wag. Nid yw llwybr UNC â enw yn dibynnu ar ddarganfod o gwbl, a'r ateb yw gwneud i'r enw ddatrys ac i'r porth ateb. Mae'r ffenestr wag yn symptom o'r haen anghywir, nid o raniad wedi torri.

Nid yw darganfod yr un peth â chyrhaeddiad

Mae Windows yn darganfod peiriannau cyfagos trwy brotocolau sydd wedi'u cynllunio ar gyfer parth darlledu, yna'n cyflwyno'r hyn a ganfu fel rhestr gyfleustra. Nid oes angen unrhyw beth ar y rhestr honno ar gyfer mynediad ffeil SMB. Bydd cleient sy'n gwybod enw'r gweinydd ac yn cyrraedd TCP 445 yn agor y raniad, p'un a yw'r peiriant byth yn ymddangos o dan Rhwydwaith ai peidio.

Mae'r ddwy haen yn methu'n annibynnol, felly mae "ni allaf ei weld" a "ni allaf ei agor" yn haeddu profion gwahanol. Mae edrych ar y rhestr yn dweud wrthych am ddarganfod; mae agor y llwybr yn dweud wrthych am y gwasanaeth.

Enwch y gweinydd cyn mapio'r raniad

Cyhoeddwch y gweinydd ffeil yn DNS gyda'r cyfeiriad sydd ganddo ar yr ochr draw, a phwyntiwch safle'r cleient at ddatryswr sy'n gallu ateb ar gyfer y parth hwnnw. Mae enw cwbl gymwys yn osgoi dibynnu ar restr chwilio ôl-ddodiad lleol, sef y rheswm arferol pam mae enw byr yn gweithio ar un safle ac yn methu ar un arall.

Os yw'r amgylchedd yn defnyddio Active Directory, mae datrys enwau hefyd yn rhan o'r dilysu: rhaid i'r cleient gyrraedd rheolydd parth ar gyfer Kerberos, a bydd cloc sy'n gwyro gormod yn gwneud i'r cyfnewid tocynnau fethu. Mae hyn yn broblem wahanol i gyrhaeddiad SMB ac mae'n edrych fel gwall manylion mewngofnodi. Profwch y rheolydd parth cyn i chi deipio'r cyfrinair eto.

Llwybro a hidlo yn y ddwy gyfeiriad

Mae angen y rhagddodiad pell yn y tabl llwybr lleol a'r rhagddodiad lleol yn yr un pell ar dwnnel safle-i-safle, a rhaid i'r mur cadarn ar bob ochr ganiatáu'r traffig sy'n cyrraedd. Mae ffurfweddiad unffordd yn cynhyrchu cysylltiad sy'n agor ac nad yw byth yn ateb, rhywbeth y mae defnyddwyr yn ei ddisgrifio fel rhaniad araf. Gwiriwch gowntwyr y twnnel ei hun yn gyntaf. Os yw pecynnau'n gadael ac nad oes dim yn dychwelyd, edrychwch ar y llwybr dychwelyd neu'r hidlydd pell.

Gyda WireGuard, rhaid i IPau a ganiateir y cymar a llwybrau'r system weithredu gyd-fynd â'r cynllun hwnnw. Mae'r twnnel yn cario pecynnau; nid yw'n darparu cofnodion DNS na chaniatadau rhannu ar y naill ochr na'r llall.

Seiliwch rheol y mur cadarn ar y rhwydwaith ffynhonnell go iawn a fydd yn cysylltu, ac ysgrifennwch yr eithriad i lawr. Os yw'r cynllun yn cyfieithu cyfeiriadau yn rhywle ar y llwybr, rhaid i'r rheol ddefnyddio'r ffynhonnell a gyfieithwyd, ac nid yw cyfeiriad gwreiddiol y cleient i'w weld yn y logiau mwyach.

Dilyswch, yna mapiwch y gyriant

Ewch i lawr y haenau gyda chyfarwyddiadau yn lle ffenestr Explorer:

Resolve-DnsName -Name files.corp.example -Type A
Test-NetConnection -ComputerName files.corp.example -Port 445
net use Z: \\files.corp.example\Projects /persistent:no

Mae'r ail orchymyn yn profi'r llwybr TCP, nid yr hawl i ddarllen unrhyw beth. Y trydydd yw'r man lle gweithredir dilysu ac awdurdodi, a dylai methiant yno eich anfon at ganiatadau'r raniad a'r system ffeiliau, nid yn ôl at y llwybrydd.

Cadwch lofnodi SMB a'r polisi dilysu presennol yn ddigyfnewid. Nid oes angen ail-alluogi SMB1 nac anfon darllediadau darganfod trwy'r twnnel ar gyfer llwybr penodol, a dylai TCP 445 aros ar y llwybr preifat yn hytrach nag ar ddargludiad sy'n wynebu'r rhyngrwyd. Rhowch lwybr byr wedi'i reoli neu gyriant wedi'i fapio i'r enw cymeradwy i ddefnyddwyr, ac mae tudalen wag Rhwydwaith yn peidio â bod o bwys.