Το κοινόχρηστο SMB αποτυγχάνει μόνο μέσω VPN: υπογραφή ή σύγκρουση υποδικτύου;

Ένας αντιστοιχισμένος δίσκος που λειτουργεί στο γραφείο και λήγει στο σπίτι δεν σας δίνει σχεδόν καμία χρήσιμη πληροφορία από μόνος του. Η σήραγγα προφανώς μεταφέρει πακέτα, αλλιώς τίποτα δεν θα έφτανε στον διακομιστή. Αυτό που απέτυχε βρίσκεται σε ένα από τρία επίπεδα: το όνομα επιλύθηκε σε λάθος διεύθυνση, ο πελάτης αρνήθηκε να υπογράψει τη συνεδρία ή μια παλιά συνεδρία επέζησε της σύνδεσης που τη μετέφερε. Κάθε ένα έχει διαφορετική επισκευή, και τα δύο από τα τρία είναι στην πλευρά του πελάτη.

Τρεις βλάβες φορούν το ίδιο σφάλμα

Το γράμμα του δίσκου δεν λέει ποιο επίπεδο έσπασε, και το κείμενο του σφάλματος είναι συνήθως αρκετά γενικό για να ταιριάζει και στα τρία. Χωρίστε τα με δύο γρήγορες ερωτήσεις: απαντά ο διακομιστής στη διεύθυνση IP του και δέχεται η θύρα 445 σύνδεση;

Αυτές οι απαντήσεις δίνουν έναν πίνακα απόφασης αντί για εικασία. Αν η IP λειτουργεί και το όνομα όχι, δείχνει την επίλυση ονομάτων. Αν λειτουργούν και τα δύο και η σύνδεση απορρίπτεται, δείχνει την υπογραφή. Αν λειτουργούν και τα δύο και μια ανάγνωση αρχείου κολλάει μετά από διακοπή της σήραγγας, δείχνει μια παρωχημένη συνεδρία.

Περάστε τα με αυτή τη σειρά, γιατί ένα όνομα που επιλύεται στον λάθος κεντρικό υπολογιστή κάνει κάθε επόμενη δοκιμή άχρηστη.

Επιλύστε το όνομα πριν αγγίξετε τον κοινόχρηστο φάκελο

Αν ο διακομιστής απαντά στη διεύθυνσή του και το όνομα του κοινόχρηστου φακέλου λήγει, η σήραγγα κάνει τη δουλειά της και ο πελάτης ψάχνει στο λάθος μέρος. Στην απομακρυσμένη πρόσβαση, δύο αιτίες εξηγούν το μεγαλύτερο μέρος αυτού.

Η πρώτη είναι επικάλυψη διευθύνσεων. Όταν το γραφείο χρησιμοποιεί 192.168.70.0/24 και το οικιακό ρούτερ δίνει το ίδιο εύρος, ένα όνομα κεντρικού υπολογιστή που επιλύεται σε 192.168.70.20 μπορεί να δείχνει σε τοπική συσκευή αντί για τον διακομιστή πίσω από τη σήραγγα. Τα Windows μπορεί τότε να στείλουν το αίτημα τοπικά, να απορρίψουν τη διαδρομή ή να το επιλύσουν σε έναν εκτυπωτή που τυχαίνει να έχει αυτή τη διεύθυνση. Η επισκευή είναι η επαναρίθμηση της μίας πλευράς, όχι η προσθήκη άλλης διαδρομής.

Η δεύτερη είναι το εύρος DNS. Ένας προσαρμογέας VPN χωρίς εσωτερικό διακομιστή DNS, ή με έναν που δεν είναι προσβάσιμος μέσω της σήραγγας, αφήνει τα σύντομα ονόματα να πηγαίνουν σε δημόσιο resolver. Διαβάστε τις καταχωρίσεις DNS του προσαρμογέα και ρωτήστε απευθείας το εσωτερικό όνομα πριν αγγίξετε τον κοινόχρηστο φάκελο:

> ipconfig /all | findstr /i "DNS Servers"
> nslookup files.corp.internal
Server: 10.90.0.2
Address: 10.90.0.2
Name: files.corp.internal
Address: 10.90.0.15

Αν αυτό το ερώτημα επιστρέψει την αναμενόμενη διεύθυνση, η επίλυση ονομάτων έχει ξεκαθαρίσει και το πρόβλημα βρίσκεται ψηλότερα στη στοίβα.

Διαβάστε την απαίτηση υπογραφής και στα δύο άκρα

Ένας προσβάσιμος διακομιστής που απορρίπτει κάθε σύνδεση είναι το σημάδι μιας αναντιστοιχίας πολιτικής και όχι βλάβης δικτύου. Τα Windows μπορούν να απαιτούν υπογραφή SMB στον πελάτη, και ένας διακομιστής ή NAS που δεν υπογράφει δεν μπορεί να ολοκληρώσει τη συνεδρία, όσο υγιής κι αν είναι η σήραγγα.

Μπορείτε να διαβάσετε τη ρύθμιση του πελάτη χωρίς να ψάχνετε στον επεξεργαστή πολιτικών:

> Get-SmbClientConfiguration | Select-Object RequireSecuritySignature
RequireSecuritySignature
-------------------------
True
> Get-SmbConnection

Η αντίστοιχη τιμή στην πλευρά του διακομιστή βρίσκεται στη διαμόρφωση SMB του διακομιστή, και οι δύο πρέπει να συμφωνούν. Σε μια αναφερόμενη περίπτωση ο πελάτης είχε την απαίτηση ενεργοποιημένη από τοπική πολιτική, ενώ ο διακομιστής δεν υπέγραφε καθόλου· η απενεργοποίηση και η εκτέλεση gpupdate /force επανέφεραν αμέσως τον κοινόχρηστο φάκελο. Αυτό είναι διαγνωστικό βήμα για επιβεβαίωση της αιτίας, όχι μόνιμη διόρθωση.

Προτιμήστε να ενεργοποιήσετε την υπογραφή και στα δύο άκρα όπου ο διακομιστής το υποστηρίζει. Η αλλαγή μιας ρύθμισης ασφαλείας για να λειτουργήσει ένας κοινόχρηστος φάκελος πρέπει να καταγράφεται με την προηγούμενη τιμή και τον λόγο, ώστε κανείς να μην χρειαστεί να την ανακαλύψει ξανά στον επόμενο έλεγχο.

Καθαρίστε την παρωχημένη συνεδρία πριν ρυθμίσετε τα χρονόμετρα

Ένας κοινόχρηστος φάκελος που κολλάει μόνο αφού πέσει και επανασυνδεθεί το VPN κρατά συνήθως μια συνεδρία που ο διακομιστής έχει ήδη απορρίψει. Ο διακομιστής κλείνει τις αδρανείς συνεδρίες SMB με το χρονόμετρο Autodisconnect στην περιοχή LanmanServer\Parameters, που από προεπιλογή είναι 15 λεπτά, ενώ ο πελάτης έχει το δικό του SessTimeout στην περιοχή LanmanWorkstation\Parameters. Μια διακοπή μεγαλύτερη από αυτές τις τιμές αφήνει κάθε άκρο με διαφορετική αντίληψη της συνεδρίας.

Αναπαράγετέ το σε σταθερή σειρά για να σημαίνει κάτι το αποτέλεσμα: συνδέστε τη σήραγγα, ανοίξτε τον κοινόχρηστο φάκελο, διακόψτε τη σήραγγα για δύο λεπτά, επαναφέρετέ την και μετά δοκιμάστε να διαβάσετε ένα αρχείο. Αν η προσάρτηση ανακάμψει μόνη της, αφήστε τα χρονόμετρα ήσυχα. Αν κολλάει μέχρι να προσαρτήσετε ξανά, επανασυνδέστε τον κοινόχρηστο φάκελο αφού ανέβει η σήραγγα αντί να τον προσαρτήσετε πριν υπάρξει, και ελέγξτε αν ο βοηθός προσάρτησης επαναλαμβάνει.

Η αύξηση των χρονικών ορίων είναι ένα λογικό τελευταίο βήμα για μια ασταθή σύνδεση, αλλά θεραπεύει το σύμπτωμα. Ένας πελάτης που περιμένει περισσότερο μια συνεδρία που ο διακομιστής έχει ξεχάσει περιμένει ακόμη.

Τελειώστε διαβάζοντας ένα αρχείο μέσω της προσάρτησης και μετά διακόπτοντας και επαναφέροντας τη σήραγγα μία ακόμη φορά. Αυτή η δοκιμή αποδοχής καλύπτει και τα τρία επίπεδα ταυτόχρονα, και είναι η μόνη δοκιμή που αντιστοιχεί σε αυτό που κάνει πραγματικά ο χρήστης.