Võrguketas VPN-i kaudu saidi vahel: DNS, SMB ja UNC-tee
Võrgu tuvastamine ei läbi marsruuditud linki, kuid nimega UNC-tee läbib. Suunake DNS serverile, avage SMB mõlemas suunas ja seejärel kaardistage ketas.
Exploreri leht Võrk näitab seadmeid, mis on end kohalikus segmendis teatanud, ja marsruuditud tunnel ei kanna ühtegi neist teadetest. Seetõttu võib server olla täiesti kättesaadav, samal ajal kui kasutaja ees olev aken jääb tühjaks. Nimega UNC-tee ei sõltu tuvastamisest üldse ja lahendus on panna nimi lahenema ning port vastama. Tühi aken on vale kihi sümptom, mitte katkise jagatud kausta oma.
Tuvastamine ei ole sama mis kättesaadavus
Windows leiab lähedal olevad masinad protokollide abil, mis on mõeldud ringhäälingu domeenile, ja esitab seejärel leitu mugavusnimekirjana. Mitte ükski sellest nimekirjast ei ole SMB-failidele juurdepääsuks vajalik. Klient, kes teab serveri nime ja jõuab TCP 445-ni, avab jagatud kausta, olenemata sellest, kas masin kunagi jaotises Võrk ilmub või mitte.
Kaks kihti nurjuvad üksteisest sõltumatult ja seetõttu väärivad "ma ei näe seda" ja "ma ei saa seda avada" erinevaid teste. Nimekirja vaatamine ütleb midagi tuvastamise kohta; tee avamine ütleb midagi teenuse kohta.
Nimetage server enne, kui jagatud kausta kaardistate
Avaldage failiserver DNS-is aadressiga, mis tal teisel pool on, ja suunake kliendi sait resolverile, mis suudab selle tsooni eest vastata. Täielikult kvalifitseeritud nimi väldib sõltuvust kohalikust sufiksiotsingu nimekirjast, mis on tavaline põhjus, miks lühike nimi ühes saidis töötab ja teises ei.
Kui keskkond kasutab Active Directoryt, on nimede lahendamine ka autentimise osa: klient peab Kerberose jaoks jõudma domeenikontrollerini ja liiga paigast ära kell paneb piletivahetuse nurjuma. See on teine probleem kui SMB kättesaadavus ja näeb välja nagu mandaadiviga. Testige domeenikontrollerit enne, kui parooli uuesti sisestate.
| Layer | What it needs | Symptom when missing |
|---|---|---|
| Name resolution | A DNS answer for the server name | Path cannot be found, ping by IP still works |
| Transport | TCP 445 open in both directions | Connection times out or is refused |
| Authentication | A reachable domain controller and correct clock | Access is denied after the port connects |
| Authorization | Share permission and filesystem permission | The share opens but the folder is inaccessible |
Marsruutige ja filtreerige mõlemas suunas
Saitidevaheline tunnel vajab kaugemat prefiksit kohalikus marsruutimistabelis ja kohalikku prefiksit kaugemas, ning kummagi poole tulemüür peab saabuvat liiklust lubama. Ühesuunaline konfiguratsioon annab ühenduse, mis avaneb ja ei vasta kunagi, mida kasutajad kirjeldavad aeglase jagatud kaustana. Kontrollige kõigepealt tunneli enda loendureid. Kui paketid väljuvad ja midagi ei tule tagasi, otsige tagasiteed või kaugemat filtrit.
WireGuardis peavad partneri lubatud IP-d ja operatsioonisüsteemi marsruudid selle kavandiga kooskõlas olema. Tunnel kannab pakette; see ei paku DNS-kirjeid ega jagatud kausta õigusi kummalgi poolel.
Ehitage tulemüürireegel tegeliku lähtevõrgu põhjal, mis ühenduse loob, ja kirjutage erand üles. Kui kavand tõlgib kusagil teel aadresse, peab reegel kasutama tõlgitud lähtet, ja kliendi algne aadress ei ole logides enam nähtav.
Autentige end, seejärel kaardistage ketas
Liikuge kihtidest läbi käskudega, mitte Exploreri aknaga:
Resolve-DnsName -Name files.corp.example -Type A
Test-NetConnection -ComputerName files.corp.example -Port 445
net use Z: \\files.corp.example\Projects /persistent:noTeine käsk tõestab TCP-teed, mitte õigust midagi lugeda. Kolmas on koht, kus autentimist ja autoriseerimist rakendatakse, ja sealne ebaõnnestumine peaks saatma teid jagatud kausta ja failisüsteemi õiguste juurde, mitte tagasi ruuteri juurde.
Hoidke SMB allkirjastamine ja olemasolev autentimispoliitika muutumatuna. SMB1 uuesti lubamine või tuvastuse ringhäälingu tunnelist läbi saatmine ei ole selge tee jaoks vajalik ning TCP 445 peaks jääma privaatsele teele, mitte internetile suunatud edastusele. Andke kasutajatele hallatud otsetee või kaardistatud ketas kinnitatud nime juurde ja tühi leht Võrk lakkab olemast oluline.