Αντιστοιχισμένος δίσκος μέσω VPN τοποθεσίας: DNS, SMB και η διαδρομή UNC
Η ανακάλυψη δικτύου δεν διασχίζει μια δρομολογημένη ζεύξη, αλλά μια ονομαστική διαδρομή UNC τη διασχίζει. Στρέψτε το DNS στον διακομιστή, ανοίξτε το SMB και προς τις δύο κατευθύνσεις και μετά αντιστοιχίστε τον δίσκο.
Η σελίδα Δίκτυο στην Εξερεύνηση αρχείων δείχνει συσκευές που ανακοινώθηκαν στο τοπικό τμήμα, και μια δρομολογημένη σήραγγα δεν μεταφέρει καμία από αυτές τις ανακοινώσεις. Γι' αυτό ένας διακομιστής μπορεί να είναι απόλυτα προσβάσιμος ενώ το παράθυρο μπροστά στον χρήστη μένει κενό. Μια ονομαστική διαδρομή UNC δεν εξαρτάται καθόλου από την ανακάλυψη, και η λύση είναι να επιλυθεί το όνομα και να απαντήσει η θύρα. Το κενό παράθυρο είναι σύμπτωμα λάθος επίπεδου, όχι χαλασμένου κοινόχρηστου φακέλου.
Η ανακάλυψη δεν είναι το ίδιο με την προσβασιμότητα
Τα Windows βρίσκουν κοντινά μηχανήματα μέσω πρωτοκόλλων που είναι σχεδιασμένα για τομέα εκπομπής και μετά παρουσιάζουν ό,τι βρήκαν ως λίστα ευκολίας. Τίποτα από αυτή τη λίστα δεν χρειάζεται για πρόσβαση αρχείων μέσω SMB. Ένας πελάτης που γνωρίζει το όνομα του διακομιστή και φτάνει στο TCP 445 θα ανοίξει τον κοινόχρηστο φάκελο, είτε εμφανιστεί ποτέ το μηχάνημα στο Δίκτυο είτε όχι.
Τα δύο επίπεδα αποτυγχάνουν ανεξάρτητα, γι' αυτό το "δεν το βλέπω" και το "δεν μπορώ να το ανοίξω" αξίζουν διαφορετικές δοκιμές. Το να κοιτάξετε τη λίστα λέει κάτι για την ανακάλυψη· το να ανοίξετε τη διαδρομή λέει κάτι για την υπηρεσία.
Ονομάστε τον διακομιστή πριν αντιστοιχίσετε τον κοινόχρηστο φάκελο
Δημοσιεύστε τον διακομιστή αρχείων στο DNS με τη διεύθυνση που έχει στην άλλη πλευρά και στρέψτε την τοποθεσία του πελάτη σε έναν resolver που μπορεί να απαντήσει για αυτή τη ζώνη. Ένα πλήρως αναγνωρισμένο όνομα αποφεύγει την εξάρτηση από τοπική λίστα καταλήξεων αναζήτησης, που είναι ο συνήθης λόγος που ένα σύντομο όνομα λειτουργεί σε μια τοποθεσία και αποτυγχάνει σε άλλη.
Αν το περιβάλλον χρησιμοποιεί Active Directory, η επίλυση ονομάτων είναι επίσης μέρος της ταυτοποίησης: ο πελάτης πρέπει να φτάσει σε έναν ελεγκτή τομέα για το Kerberos, και ένα ρολόι που αποκλίνει πολύ θα κάνει την ανταλλαγή εισιτηρίων να αποτύχει. Αυτό είναι διαφορετικό πρόβλημα από την προσβασιμότητα SMB και μοιάζει με σφάλμα διαπιστευτηρίων. Δοκιμάστε τον ελεγκτή τομέα πριν πληκτρολογήσετε ξανά τον κωδικό.
| Layer | What it needs | Symptom when missing |
|---|---|---|
| Name resolution | A DNS answer for the server name | Path cannot be found, ping by IP still works |
| Transport | TCP 445 open in both directions | Connection times out or is refused |
| Authentication | A reachable domain controller and correct clock | Access is denied after the port connects |
| Authorization | Share permission and filesystem permission | The share opens but the folder is inaccessible |
Δρομολόγηση και φιλτράρισμα και προς τις δύο κατευθύνσεις
Μια σήραγγα τοποθεσίας-σε-τοποθεσία χρειάζεται το απομακρυσμένο πρόθεμα στον τοπικό πίνακα δρομολόγησης και το τοπικό πρόθεμα στον απομακρυσμένο, και το τείχος προστασίας σε κάθε πλευρά πρέπει να επιτρέπει την εισερχόμενη κίνηση. Μια μονόπλευρη διαμόρφωση παράγει μια σύνδεση που ανοίγει και δεν απαντά ποτέ, κάτι που οι χρήστες περιγράφουν ως αργό κοινόχρηστο φάκελο. Ελέγξτε πρώτα τους μετρητές της ίδιας της σήραγγας. Αν τα πακέτα φεύγουν και τίποτα δεν επιστρέφει, ψάξτε τη διαδρομή επιστροφής ή το απομακρυσμένο φίλτρο.
Με το WireGuard, οι επιτρεπόμενες IP του ομότιμου και οι διαδρομές του λειτουργικού συστήματος πρέπει να συμφωνούν με αυτόν τον σχεδιασμό. Η σήραγγα μεταφέρει πακέτα· δεν παρέχει εγγραφές DNS ή άδειες κοινόχρηστου φακέλου σε καμία από τις δύο πλευρές.
Βασίστε τον κανόνα του τείχους προστασίας στο πραγματικό δίκτυο προέλευσης που θα συνδεθεί και σημειώστε την εξαίρεση. Αν ο σχεδιασμός μεταφράζει διευθύνσεις κάπου στη διαδρομή, ο κανόνας πρέπει να χρησιμοποιεί τη μεταφρασμένη προέλευση, και η αρχική διεύθυνση του πελάτη δεν φαίνεται πλέον στα αρχεία καταγραφής.
Ταυτοποιηθείτε και μετά αντιστοιχίστε τον δίσκο
Κατεβείτε τα επίπεδα με εντολές αντί για το παράθυρο της Εξερεύνησης αρχείων:
Resolve-DnsName -Name files.corp.example -Type A
Test-NetConnection -ComputerName files.corp.example -Port 445
net use Z: \\files.corp.example\Projects /persistent:noΗ δεύτερη εντολή αποδεικνύει τη διαδρομή TCP, όχι το δικαίωμα ανάγνωσης. Η τρίτη είναι εκεί όπου ασκούνται η ταυτοποίηση και η εξουσιοδότηση, και μια αποτυχία εκεί θα πρέπει να σας στέλνει στις άδειες του κοινόχρηστου φακέλου και του συστήματος αρχείων, όχι πίσω στον δρομολογητή.
Διατηρήστε άθικτα την υπογραφή SMB και την υπάρχουσα πολιτική ταυτοποίησης. Η επανενεργοποίηση του SMB1 ή η προώθηση ανακοινώσεων ανακάλυψης μέσα από τη σήραγγα δεν χρειάζεται για μια ρητή διαδρομή, και το TCP 445 πρέπει να μένει στην ιδιωτική διαδρομή και όχι σε προώθηση προς το διαδίκτυο. Δώστε στους χρήστες μια διαχειριζόμενη συντόμευση ή έναν αντιστοιχισμένο δίσκο στο εγκεκριμένο όνομα, και η κενή σελίδα Δίκτυο παύει να έχει σημασία.