Mae rhannu SMB yn methu dros VPN yn unig: llofnodi neu wrthdrawiad is-rwydwaith?

Nid yw gyriant wedi’i fapio sy’n gweithio yn y swyddfa ac yn amseru allan gartref yn rhoi fawr ddim gwybodaeth ddefnyddiol ar ei ben ei hun. Mae’r twnnel yn amlwg yn cario pecynnau, neu ni fyddai dim yn cyrraedd y gweinydd. Yr hyn a fethodd sydd mewn un o dair haen: datryswyd yr enw i’r cyfeiriad anghywir, gwrthododd y cleient lofnodi’r sesiwn, neu goroesodd hen sesiwn y cysylltiad a’i cariodd. Mae gan bob un atgyweiriad gwahanol, ac mae dau o’r tri ar ochr y cleient.

Tri methiant yn gwisgo’r un gwall

Nid yw llythyren y gyriant yn dweud pa haen a dorrwyd, ac mae testun y gwall fel arfer yn ddigon cyffredinol i ffitio’r tri. Gwahanwch nhw gyda dau gwestiwn cyflym: a yw’r gweinydd yn ateb ar ei gyfeiriad IP, ac a yw porth 445 yn derbyn cysylltiad?

Mae’r atebion hynny’n cynhyrchu tabl penderfynu yn hytrach na dyfaliad. Os yw IP yn gweithio ac nid yw’r enw, mae hynny’n cyfeirio at ddatrys enwau. Os yw’r ddau’n gweithio ac mae’r mewngofnodi’n cael ei wrthod, mae hynny’n cyfeirio at lofnodi. Os yw’r ddau’n gweithio ac mae darllen ffeil yn hongian ar ôl toriad twnnel, mae hynny’n cyfeirio at hen sesiwn.

Ewch trwyddyn nhw yn y drefn honno, oherwydd mae enw sy’n datrys i’r gwesteiwr anghywir yn gwneud pob prawf diweddarach yn ddiystyr.

Datryswch yr enw cyn cyffwrdd â’r rhannu

Os yw’r gweinydd yn ateb ar ei gyfeiriad ac mae enw’r rhannu’n amseru allan, mae’r twnnel yn gwneud ei waith ac mae’r cleient yn chwilio yn y lle anghywir. Mewn mynediad o bell, mae dau achos yn egluro’r rhan fwyaf o hyn.

Y cyntaf yw gorgyffwrdd cyfeiriadau. Pan fydd y swyddfa’n defnyddio 192.168.70.0/24 ac mae llwybrydd y cartref yn dosbarthu’r un ystod, gall enw gwesteiwr sy’n datrys i 192.168.70.20 bwyntio at ddyfais leol yn lle’r gweinydd y tu ôl i’r twnnel. Gall Windows wedyn anfon y cais yn lleol, gwrthod y llwybr, neu ei ddatrys i argraffydd sydd â’r cyfeiriad hwnnw ar hap. Yr atgyweiriad yw ailrifo un ochr, nid ychwanegu llwybr arall.

Yr ail yw cwmpas DNS. Mae addasydd VPN heb weinydd DNS mewnol, neu gydag un nad yw’n cyrraedd trwy’r twnnel, yn gadael enwau byr yn mynd i ddatryswr cyhoeddus. Darllenwch gofnodion DNS yr addasydd a gofynnwch i’r enw mewnol yn uniongyrchol cyn cyffwrdd â’r rhannu:

> ipconfig /all | findstr /i "DNS Servers"
> nslookup files.corp.internal
Server: 10.90.0.2
Address: 10.90.0.2
Name: files.corp.internal
Address: 10.90.0.15

Os yw’r ymholiad hwnnw’n dychwelyd y cyfeiriad a ddisgwylir, mae datrys enwau wedi’i setlo ac mae’r broblem yn uwch yn y pentwr.

Darllenwch y gofyniad llofnodi ar y ddau ben

Mae gweinydd cyrraeddadwy sy’n gwrthod pob mewngofnodi yn arwydd o gamgymharu polisi yn hytrach na nam rhwydwaith. Gall Windows fynnu llofnodi SMB ar y cleient, ac ni all gweinydd neu NAS nad yw’n llofnodi gwblhau’r sesiwn, waeth pa mor iach yw’r twnnel.

Gallwch ddarllen gosodiad y cleient heb chwilio trwy olygydd polisi:

> Get-SmbClientConfiguration | Select-Object RequireSecuritySignature
RequireSecuritySignature
-------------------------
True
> Get-SmbConnection

Mae’r gwerth cyfatebol ar ochr y gweinydd yng nghyfluniad SMB y gweinydd, ac mae’n rhaid i’r ddau gytuno. Mewn un achos a gofnodwyd, roedd y gofyniad wedi’i alluogi ar y cleient gan bolisi lleol tra nad oedd y gweinydd yn llofnodi o gwbl; fe wnaeth ei analluogi a rhedeg gpupdate /force adfer y rhannu ar unwaith. Cam diagnostig i gadarnhau’r achos yw hwnnw, nid atgyweiriad parhaol.

Byddwch yn well yn galluogi llofnodi ar y ddau ben lle mae’r gweinydd yn ei gefnogi. Dylid cofnodi newid gosodiad diogelwch er mwyn i rannu weithio gyda’i werth blaenorol a’r rheswm, fel na fydd yn rhaid i neb ei ailddarganfod yn yr archwiliad nesaf.

Cliriwch yr hen sesiwn cyn tiwnio’r amseryddion

Mae rhannu sy’n hongian dim ond ar ôl i’r VPN ddisgyn ac ailgysylltu fel arfer yn dal sesiwn y mae’r gweinydd eisoes wedi’i thaflu. Mae’r gweinydd yn cau sesiynau SMB segur ar yr amserydd Autodisconnect o dan LanmanServer\Parameters, sef 15 munud yn ddiofyn, tra bod gan y cleient ei SessTimeout ei hun o dan LanmanWorkstation\Parameters. Mae toriad hirach na’r gwerthoedd hynny’n gadael i bob pen gael syniad gwahanol o’r sesiwn.

Ailadroddwch ef mewn trefn sefydlog fel bod y canlyniad yn golygu rhywbeth: cysylltwch y twnnel, agorwch y rhannu, torrwch y twnnel am ddau funud, adferwch ef, ac yna ceisiwch ddarllen ffeil. Os yw’r mowntio’n gwella ar ei ben ei hun, gadewch yr amseryddion. Os yw’n hongian nes byddwch yn ailfowntio, ailgysylltwch y rhannu ar ôl i’r twnnel godi yn lle ei fowntio cyn iddo fodoli, a gwiriwch a yw’r cynorthwyydd mowntio’n ceisio eto.

Mae codi terfynau amser yn gam olaf rhesymol ar gyfer cysylltiad ansad, ond mae’n trin y symptom. Mae cleient sy’n aros yn hirach am sesiwn y mae’r gweinydd wedi’i anghofio yn dal i aros.

Gorffennwch drwy ddarllen un ffeil trwy’r mowntio, yna torri ac adfer y twnnel unwaith eto. Mae’r prawf derbyn hwnnw’n cwmpasu’r tair haen ar unwaith, a dyma’r unig brawf sy’n cyfateb i’r hyn y mae’r defnyddiwr yn ei wneud mewn gwirionedd.