Το NAS δεν είναι προσβάσιμο μέσω VPN: διεύθυνση, διαδρομή επιστροφής ή υπηρεσία;

Οι σήραγγες σηκώνονται, οι πελάτες παίρνουν διεύθυνση και το NAS δεν απαντά απολύτως τίποτα. Αυτό το ένα σύμπτωμα καλύπτει τρεις άσχετες βλάβες και η σειρά με την οποία τις ελέγχετε καθορίζει πόσο θα διαρκέσει η επισκευή. Η διευθυνσιοδότηση έρχεται πρώτη, επειδή ένα επικαλυπτόμενο υποδίκτυο μπορεί να στείλει το αίτημά σας σε ξένη συσκευή. Η διαδρομή επιστροφής έρχεται δεύτερη, επειδή ένα αίτημα που φτάνει χωρίς απάντηση μοιάζει ακριβώς με κλειστή υπηρεσία. Η υπηρεσία και η άδεια έρχονται τελευταίες, και μόνο αφού αποδειχθούν οι δύο πρώτες.

Τρεις βλάβες που όλες διαβάζονται ως μη προσβάσιμο

Η επιλογή διεύθυνσης, η δρομολόγηση επιστροφής και η εξουσιοδότηση υπηρεσίας παράγουν το ίδιο ορατό μήνυμα: δεν συμβαίνει τίποτα. Έχουν διαφορετικά αποδεικτικά, διαφορετικούς υπεύθυνους και διαφορετικές διορθώσεις, επομένως ο διαχωρισμός τους είναι όλη η εργασία. Ένα ping που αποτυγχάνει αποδεικνύει λίγα από μόνο του, και μια επιτυχημένη απόρριψη TCP είναι στην πραγματικότητα καλό νέο.

Διαβάστε τον πίνακα ως σειρά δοκιμών και όχι ως λίστα αιτιών. Κάθε γραμμή περιορίζει την επόμενη, επειδή η απόρριψη αποδεικνύει ήδη ότι η διευθυνσιοδότηση και η διαδρομή επιστροφής λειτουργούν. Το να περάσετε είκοσι λεπτά μέσα σε κανόνες τείχους προστασίας πριν ελέγξετε ποια διεπαφή επέλεξε η διαδρομή είναι ο πιο συνηθισμένος τρόπος να χάσετε ένα απόγευμα. Δουλέψτε από πάνω προς τα κάτω και σταματήστε στην πρώτη γραμμή που ταιριάζει.

Συνθήκη πρώτη: είναι αυτή η διεύθυνση η σωστή συσκευή;

Γράψτε το υποδίκτυο του NAS και το εύρος που δίνει το VPN στους πελάτες, και συγκρίνετε και τα δύο με το δίκτυο στο οποίο βρίσκεται τώρα το φορητό σας. Σε αυτή την πορεία το NAS βρίσκεται στο 10.40.7.25 και η δεξαμενή του VPN είναι 10.40.9.0/24, δύο ξεχωριστά ιδιωτικά εύρη μέσα σε ένα σχέδιο τοποθεσίας· ένα νοικοκυριό που χρησιμοποιεί 192.168.0.0/24 ή 10.0.0.0/24 έχει πολύ μεγαλύτερη πιθανότητα να συγκρουστεί με ένα από αυτά.

Όταν το τοπικό δίκτυο και το δίκτυο του NAS επικαλύπτονται, ο πελάτης στέλνει αυτή την κίνηση στην δική του πύλη και μπορεί να φτάσει σε άσχετη συσκευή που τυχαίνει να έχει την ίδια διεύθυνση. Επαληθεύστε τη διαδρομή πριν πληκτρολογήσετε διαπιστευτήρια σε ό,τι απαντήσει.

ip -4 route get 10.40.7.25
traceroute -n -m 5 10.40.7.25

Η πρώτη εντολή ονομάζει τη διεπαφή και την πύλη που θα χρησιμοποιούσε ο πυρήνας, και η δεύτερη δείχνει τα πρώτα άλματα που πραγματικά απαντούν. Αν τα δύο δεν συμφωνούν, πιστέψτε την αναζήτηση, γιατί αυτή είναι η διαδρομή που θα ακολουθήσει το πακέτο. Μια λίστα αλμάτων που σταματά ένα άλμα πριν από το NAS είναι επίσης εύρημα και όχι αποτυχία. Μια αναζήτηση που επιλύεται στον φυσικό προσαρμογέα αντί για τη σήραγγα τερματίζει την έρευνα σε αυτό το σημείο.

Συνθήκη δεύτερη: επιστρέφει η απάντηση;

Ο πελάτης χρειάζεται διαδρομή προς το NAS, και το δίκτυο του NAS χρειάζεται διαδρομή επιστροφής προς τη δεξαμενή του VPN. Η προώθηση στην πύλη, οι κανόνες τείχους προστασίας και η σκόπιμη μετάφραση διευθύνσεων επηρεάζουν το καθένα αυτό το ζεύγος. Οι σημειώσεις του strongSwan για την προώθηση περιγράφουν τις επιλογές διαδρομής επιστροφής και μετάφρασης για ένα ιδιωτικό υποδίκτυο πίσω από πύλη.

Όταν το αίτημα φτάνει και η απάντηση φεύγει από άλλη πύλη, καμία αλλαγή DNS δεν διορθώνει την ασυμμετρία. Μια καταγραφή και στις δύο πλευρές το λύνει με μία προσπάθεια, και δείχνει επίσης αν η μετάφραση ξαναέγραψε την πηγή στην οποία απάντησε το NAS. Ο διαχειριστής κατέχει αυτό το όριο: επιτρέψτε μόνο τις απαραίτητες υπηρεσίες και το εύρος πελατών VPN, και σημειώστε αν επιλέχθηκε δρομολόγηση ή μετάφραση.

Συνθήκη τρίτη: υπάρχει η υπηρεσία και είναι επιτρεπτή;

Μια σελίδα διαχείρισης και μια υπηρεσία κοινής χρήσης αρχείων είναι διαφορετικά τελικά σημεία στο ίδιο μηχάνημα, και η μία μπορεί να δέχεται συνδέσεις ενώ την άλλη την μπλοκάρει το τείχος προστασίας του κεντρικού υπολογιστή, η διαμόρφωση της υπηρεσίας ή μια άδεια κοινής χρήσης. Μια συσκευή που απαντά με απόρριψη έχει ήδη αποδείξει τις δύο πρώτες συνθήκες, γεγονός που στενεύει σημαντικά την τρίτη.

Δοκιμάστε με τον λογαριασμό που χρειάζεται πραγματικά τα αρχεία, όχι με τον λογαριασμό διαχειριστή από την εγκατάσταση, γιατί τα δικαιώματα διαχειριστή δεν μπορούν να επισκευάσουν μια διαδρομή που λείπει και μια διαδρομή δεν μπορεί να δώσει άδεια κοινής χρήσης. Και τα ονόματα έχουν τη θέση τους εδώ: ένα όνομα NAS που ανακαλύπτεται στο σπίτι συχνά εξαρτάται από τοπικό multicast, το οποίο μια δρομολογημένη σήραγγα δεν μεταφέρει, οπότε δοκιμάστε το τεκμηριωμένο ιδιωτικό όνομα κεντρικού υπολογιστή του κατασκευαστή ή την ίδια τη διεύθυνση για να ξεχωρίσετε την ονοματοδοσία από την πρόσβαση.

Δοκιμάστε από έξω από το δίκτυο του NAS και μετά επεκτείνετε αργά

Μια δοκιμή στο ίδιο LAN κρύβει κάθε ελλιπές τμήμα της απομακρυσμένης διαδρομής, γι' αυτό η πρώτη επιτυχημένη απομακρυσμένη προσπάθεια αξίζει σημείωση στο αρχείο αλλαγών. Εκτελέστε τους ελέγχους από πελάτη που φτάνει στο NAS μόνο μέσω της σήραγγας, και κρατήστε το αρχικό κείμενο σφάλματος κάθε προσπάθειας.

nc -vz 10.40.7.25 445
smbclient -L 10.40.7.25 -U guest

Μόλις λειτουργήσει η διαδρομή, μεταφέρετε ένα ακίνδυνο αρχείο και επιβεβαιώστε τη συμπεριφορά ανάγνωσης ή εγγραφής που πραγματικά χρειάζεστε. Αν οι μεγάλες μεταφορές κολλήσουν ενώ οι μικρές πετυχαίνουν, το υπόλοιπο πρόβλημα είναι η διαχείριση μεγέθους πακέτου ή η σταθερότητα της σύνδεσης, όχι η διευθυνσιοδότηση.

Μην δημοσιεύετε θύρες κοινής χρήσης αρχείων ή διαχείρισης στο διαδίκτυο για να παρακάμψετε μια ανεξήγητη βλάβη. Επισκευάστε την ιδιωτική διαδρομή, κρατήστε το λογισμικό του NAS υποστηριζόμενο, και δοκιμάστε την επαναφορά όλων όσων αντιγράφετε μέσω αυτού πριν βασιστείτε σε αυτό το αντίγραφο ασφαλείας.