Wedi cysylltu ag OpenVPN ond dim ping na rhannu SMB? Gwirio tair clwyd

Mae’r twnel yn codi, mae’r cleient yn cael cyfeiriad, ac nid oes dim ar y LAN pell yn ateb. Mae ping yn methu, nid yw’r rhannu yn agor, ac mae log y VPN yn edrych yn lân oherwydd o’i safbwynt ef mae’r sesiwn yn iach. Mae tair clwyd annibynnol rhwng y sesiwn honno a ffeil ar weinydd: polisi anfon ymlaen, y porthladdoedd sydd eu hangen ar y gwasanaeth, a’r enw a deipioch chi yn lle cyfeiriad.

Mae pob clwyd yn methu â symptom gwahanol, a dim ond yr un gyntaf sydd ar y gweinydd VPN.

Mae anfon ymlaen yn bolisi ar y gadwyn FORWARD

Mae derbyn y gwrandawr OpenVPN yn digwydd ar INPUT, a dyna pam y gall y twnel gysylltu tra bod pob pecyn tuag at y LAN yn cael ei ollwng. Mae traffig sy’n cyrraedd tun0 ac yn gadael ar ryngwyneb y LAN yn croesi FORWARD, ac mae gwesteiwr â pholisi DROP diofyn yno yn ei daflu’n dawel. Gwiriwch y sysctl a’r gadwyn ill dau cyn cyffwrdd â dim arall: sysctl net.ipv4.ip_forward a iptables -L FORWARD -v -n.

Caniatâwch y cyfeiriad rydych chi’n ei fwriadu a’r atebion sy’n perthyn iddo, er enghraifft rheol accept o ryngwyneb y twnel i ryngwyneb y LAN ynghyd â rheol stateful ar gyfer traffig established a related. Os yw’r LAN y tu ôl i rywter arall, mae angen llwybr yn ôl i’r gronfa gleientiaid ar y rywter hwnnw neu source NAT ar y gweinydd VPN. Cadarnhewch y llwybr hwnnw ag un ping cyn ychwanegu mwy o reolau, oherwydd nid yw rheol nad oes modd ei chyrraedd byth yn ymddangos mewn cyfrifydd.

Mae angen mwy nag un porthladd ar SMB

Nid yw rhannu ffeiliau yn un sgwrs TCP 445. Mae darganfod yn defnyddio UDP 137 a 138, mae sesiynau NetBIOS hŷn yn defnyddio TCP 139, ac mae sesiynau SMB modern yn defnyddio TCP 445. Mae rheol sy’n agor 445 yn unig yn creu’r achos gwallgof lle mae gyriant wedi’i fapio yn gweithio ac nid yw pori’r rhwydwaith, neu i’r gwrthwyneb.

Mae trosglwyddiadau mawr dros dwnel hefyd yn taro problemau MSS sy’n edrych fel rhannu wedi torri. Mae SYN sy’n hysbysebu maint segment llawn y LAN yn cael ei ollwng gan MTU llai y twnel, ac mae’r cysylltiad yn hongian ar ôl yr handshake. Mae clymu MSS ar y llwybr anfon ymlaen, iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu, yn dileu’r math hwnnw o stondin. Gwirwch gyda chopi o ychydig o fetabyteau yn hytrach na rhestr cyfeiriadur, oherwydd mae atebion bach yn pasio hyd yn oed pan nad yw trosglwyddiadau swmp yn gwneud.

Mae’r addasydd twnel yn cyrraedd fel proffil rhwydwaith newydd

Mae Windows yn dosbarthu pob addasydd i broffil rhwydwaith, ac mae addasydd twnel newydd fel arfer yn glanio yn Public, lle mae rheolau rhannu ffeiliau ac argraffwyr wedi’u blocio. Penderfyniad gan firewall y gwesteiwr ar y gweinydd ffeiliau yw hwnnw, nid problem llwybro ar y gweinydd VPN. Newidiwch y categori yn fwriadol gyda Set-NetConnectionProfile -InterfaceAlias "Ethernet 3" -NetworkCategory Private ar ôl cadarnhau bod y polisi’n caniatáu hynny, oherwydd mae’r categori hefyd yn newid pa reolau mewnol sy’n berthnasol.

Mae’r un proffil yn esbonio ping sy’n methu tra bod TCP 445 yn llwyddo: mae ceisiadau echo yn cael eu gollwng ar Public yn ddiofyn.

Nid yw enwau’n croesi twnel wedi’i lwybro ar eu pen eu hunain

Mae datrysiad enwau NetBIOS a darganfod lleol yn dibynnu ar ddarllediadau nad yw twnel wedi’i lwybro yn eu cario. Felly mae teipio enw byr y gweinydd yn methu tra bod ei gyfeiriad yn gweithio, ac mae’r rhannu yn edrych fel pe bai wedi torri pan mai dim ond yr edrychiad sydd wedi torri. Ychwanegwch gofnod DNS ar gyfer y gweinydd ar y datryswr y mae’r twnel yn ei roi, neu defnyddiwch y cyfeiriad yn y llwybr byr.

Os yw’r defnydd yn dal i ddibynnu ar WINS, ei ffurfweddu ar y cleient yn hytrach na gobeithio y bydd traffig darlledu yn ymddangos. Profwch drwy gyfeiriad yn gyntaf fel na ellir camgymryd methiant enw am fethiant firewall.

Profwch un haen ar y tro a darllenwch y methiant cyntaf

Ewch i fyny: pingwch giât y twnel, pingwch westieiwr LAN drwy gyfeiriad, yna agorwch borth y gwasanaeth gyda Test-NetConnection -ComputerName 10.8.0.5 -Port 445, a dim ond wedyn dilyswch i’r rhannu. Y cam cyntaf sy’n methu yw’r haen i’w thrwsio, ac mae pob cam diweddarach yn sŵn nes iddo basio. Mae ping sy’n ateb tra bod y porth yn aros ar gau yn cyfeirio at firewall y gweinydd ffeiliau ei hun, tra bod porth sy’n agor er gwaethaf pingau distaw yn cyfeirio at hidlo ICMP. Nodwch y cam cyntaf sy’n methu cyn newid dim, oherwydd mae ail newid yn cuddio canlyniad y cyntaf.

Os nad y gweinydd VPN yw rywter y LAN, cadarnhewch y llwybr dychwelyd ar y rywter hwnnw cyn ychwanegu mwy o reolau at y gweinydd. Heb hynny, mae ceisiadau’n cyrraedd y gwesteiwr ac mae atebion yn gadael ar y llwybr diofyn tuag at y rhyngrwyd, sy’n edrych yn union fel gollyngiad firewall o ochr y cleient.

Cadwch y cyfrif rhannu ar wahân i fewngofnodi’r VPN yn eich nodiadau, oherwydd nid yw twnel llwyddiannus yn dweud dim am ganiatâd ffeiliau. Nid yw datgelu SMB i’r rhyngrwyd i osgoi rheol sydd ar goll yn ateb.