Zugeordnetes Laufwerk über ein Standort-VPN: DNS, SMB und der UNC-Pfad
Netzwerkerkennung überschreitet keine geroutete Strecke, ein benannter UNC-Pfad schon. DNS auf den Server zeigen lassen, SMB in beide Richtungen öffnen, dann das Laufwerk zuordnen.
Die Seite Netzwerk im Explorer zeigt Geräte, die sich im lokalen Segment angekündigt haben, und ein gerouteter Tunnel trägt keine dieser Ankündigungen. Deshalb kann ein Server vollständig erreichbar sein, während das Fenster vor dem Benutzer leer bleibt. Ein benannter UNC-Pfad hängt überhaupt nicht von der Erkennung ab, und die Lösung besteht darin, den Namen auflösen und den Port antworten zu lassen. Das leere Fenster ist ein Symptom der falschen Schicht, nicht einer defekten Freigabe.
Erkennung ist nicht dasselbe wie Erreichbarkeit
Windows findet nahe Rechner über Protokolle, die für eine Broadcast-Domäne gedacht sind, und zeigt das Gefundene als Liste zum bequemen Zugriff an. Nichts in dieser Liste ist für den SMB-Dateizugriff erforderlich. Ein Client, der den Servernamen kennt und TCP 445 erreicht, öffnet die Freigabe, ob der Rechner jemals unter Netzwerk erscheint oder nicht.
Die beiden Schichten versagen unabhängig voneinander, deshalb verdienen "ich sehe es nicht" und "ich kann es nicht öffnen" unterschiedliche Tests. Die Liste anzusehen sagt etwas über die Erkennung; den Pfad zu öffnen sagt etwas über den Dienst.
Benennen Sie den Server, bevor Sie die Freigabe zuordnen
Veröffentlichen Sie den Dateiserver im DNS mit der Adresse, die er auf der Gegenseite hat, und richten Sie den Clientstandort auf einen Resolver aus, der für diese Zone antworten kann. Ein vollqualifizierter Name vermeidet die Abhängigkeit von einer lokalen Suffixsuchliste, die der übliche Grund dafür ist, dass ein kurzer Name an einem Standort funktioniert und an einem anderen nicht.
Nutzt die Umgebung Active Directory, gehört die Namensauflösung auch zur Authentifizierung: Der Client muss einen Domänencontroller für Kerberos erreichen, und eine Uhr, die zu weit daneben liegt, lässt den Ticketaustausch scheitern. Das ist ein anderes Problem als die SMB-Erreichbarkeit und sieht wie ein Anmeldefehler aus. Testen Sie den Domänencontroller, bevor Sie das Kennwort neu eingeben.
| Layer | What it needs | Symptom when missing |
|---|---|---|
| Name resolution | A DNS answer for the server name | Path cannot be found, ping by IP still works |
| Transport | TCP 445 open in both directions | Connection times out or is refused |
| Authentication | A reachable domain controller and correct clock | Access is denied after the port connects |
| Authorization | Share permission and filesystem permission | The share opens but the folder is inaccessible |
In beide Richtungen routen und filtern
Ein Standort-zu-Standort-Tunnel braucht das entfernte Präfix in der lokalen Routingtabelle und das lokale Präfix in der entfernten, und die Firewall auf jeder Seite muss den ankommenden Verkehr zulassen. Eine einseitige Konfiguration erzeugt eine Verbindung, die aufgeht und nie antwortet, was Benutzer als langsame Freigabe beschreiben. Prüfen Sie zuerst die eigenen Zähler des Tunnels. Verlassen Pakete das Netz und kommt nichts zurück, ist die Rückroute oder der entfernte Filter die Stelle, an der Sie suchen müssen.
Bei WireGuard müssen die erlaubten IPs des Peers und die Routen des Betriebssystems zu diesem Entwurf passen. Der Tunnel trägt Pakete; er stellt keine DNS-Einträge oder Freigabeberechtigungen bereit auf einer der beiden Seiten.
Legen Sie die Firewallregel anhand des tatsächlichen Quellnetzes an, das sich verbinden wird, und schreiben Sie die Ausnahme auf. Übersetzt der Entwurf irgendwo im Pfad Adressen, muss die Regel die übersetzte Quelle verwenden, und die ursprüngliche Clientadresse ist für die Protokollierung nicht mehr sichtbar.
Authentifizieren, dann das Laufwerk zuordnen
Arbeiten Sie sich mit Befehlen durch die Schichten statt mit dem Explorer-Fenster:
Resolve-DnsName -Name files.corp.example -Type A
Test-NetConnection -ComputerName files.corp.example -Port 445
net use Z: \\files.corp.example\Projects /persistent:noDer zweite Befehl belegt den TCP-Pfad, nicht das Recht, etwas zu lesen. Beim dritten werden Authentifizierung und Autorisierung ausgeübt, und ein Fehlschlag dort sollte Sie zu den Freigabe- und Dateisystemberechtigungen schicken statt zurück zum Router.
Lassen Sie die SMB-Signierung und die bestehende Authentifizierungsrichtlinie unangetastet. SMB1 wieder zu aktivieren oder Erkennungsbroadcasts durch den Tunnel weiterzuleiten ist für einen expliziten Pfad nicht nötig, und TCP 445 sollte auf dem privaten Pfad bleiben statt auf einer internetzugewandten Weiterleitung. Geben Sie Benutzern eine verwaltete Verknüpfung oder ein zugeordnetes Laufwerk auf den freigegebenen Namen, und die leere Netzwerkseite spielt keine Rolle mehr.