NAS ei ole VPN-i kaudu kättesaadav: aadress, tagasitee või teenus?
Privaatne tunnel vajab marsruuti NAS-ini, vastuseteed ja lubatud teenust. Otsustage, milline kolmest ebaõnnestus, enne kui muudate mandaate.
Tunnelid tõusevad, kliendid saavad aadressi ja NAS ei vasta üldse mitte midagi. See üks sümptom katab kolm omavahel mitteseotud riket ning nende testimise järjekord otsustab, kui kaua parandus kestab. Adresseerimine tuleb esimesena, sest kattuv alamvõrk võib saata teie päringu võõrale seadmele. Tagasitee tuleb teisena, sest vastuseta saabuv päring näeb välja täpselt nagu suletud teenus. Teenus ja luba tulevad viimasena ning alles pärast seda, kui kaks esimest on tõestatud.
Kolm riket, mida kõiki loetakse kättesaamatuks
Aadressi valik, tagasisuunaline marsruutimine ja teenuse autoriseerimine annavad sama nähtava teate: midagi ei juhtu. Neil on erinevad tõendid, erinevad vastutajad ja erinevad parandused, seega nende eraldamine ongi kogu ülesanne. Ping, mis ebaõnnestub, tõestab iseenesest vähe, ja edukas TCP keeldumine on tegelikult hea uudis.
| Observation | Most likely conclusion |
|---|---|
| Route to the NAS address leaves the wrong interface | Overlapping or missing private route |
| Request visible on the server, no reply seen | Return path, gateway forwarding or translation |
| TCP connection refused rather than dropped | Reachable host, service not listening or filtered |
| TCP works, login or file access fails | Share permission, account or protocol version |
Lugege tabelit testide järjekorrana, mitte põhjuste loendina. Iga rida piirab järgmist, sest keeldumine tõestab juba, et adresseerimine ja tagasitee töötavad. Veeta kakskümmend minutit tulemüürireeglites enne, kui kontrollite, millise liidese marsruut valis, on kõige tavalisem viis kaotada pärastlõuna. Töötage ülalt alla ja peatuge esimese rea juures, mis sobib.
Tingimus üks: kas see aadress on õige seade?
Kirjutage üles NAS-i alamvõrk ja vahemik, mille VPN klientidele annab, ning võrrelge mõlemat võrgustikuga, milles teie sülearvuti praegu on. Selles läbimängus on NAS aadressil 10.40.7.25 ja VPN-i kogum on 10.40.9.0/24, kaks eraldi privaatset vahemikku ühe saidiplaani sees; majapidamisel, mis kasutab 192.168.0.0/24 või 10.0.0.0/24, on palju suurem võimalus ühega neist kokku põrgata.
Kui kohalik võrk ja NAS-i võrk kattuvad, saadab klient selle liikluse omaenda lüüsile ja võib jõuda kõrvalise seadmeni, millel juhtub olema sama aadress. Kontrollige teed enne, kui sisestate mandaadid ükskõik millesse, mis vastab.
ip -4 route get 10.40.7.25
traceroute -n -m 5 10.40.7.25Esimene käsk nimetab liidese ja lüüsi, mida kernel kasutaks, ja teine näitab esimesi hüppeid, mis tegelikult vastavad. Kui need kaks ei klapi, uskuge otsingut, sest see on tee, mille pakett läbib. Hüpete loend, mis lõpeb üks hüpe enne NAS-i, on samuti leid, mitte ebaõnnestumine. Otsing, mis laheneb füüsilisele adapterile tünneli asemel, lõpetab uurimise selles punktis.
Tingimus kaks: kas vastus tuleb tagasi?
Klient vajab marsruuti NAS-ini ja NAS-i võrk vajab tagasiteed VPN-i kogumini. Lüüsi edastamine, tulemüürireeglid ja teadlik aadresside tõlkimine mõjutavad igaüks seda paari. strongSwan-i märkmed edastamise kohta kirjeldavad tagasitee ja tõlkimise valikuid privaatse alamvõrgu jaoks lüüsi taga.
Kui päring saabub ja vastus väljub teise lüüsi kaudu, ei paranda ükski DNS-i muudatus asümmeetriat. Püüdmine mõlemal pool lahendab selle ühe katsega ja näitab ka seda, kas tõlkimine kirjutas ümber allika, millele NAS vastas. Administraator vastutab selle piiri eest: lubage ainult vajalikud teenused ja VPN-i kliendivahemik ning kirjutage üles, kas valiti marsruutimine või tõlkimine.
Tingimus kolm: kas teenus on olemas ja lubatud?
Haldusleht ja failijagamisteenus on sama masina erinevad lõpp-punktid ning üks võib ühendusi vastu võtta, samal ajal kui teise blokeerib hosti tulemüür, teenuse konfiguratsioon või jagamisluba. Seade, mis vastab keeldumisega, on kaks esimest tingimust juba tõestanud, mis kolmandat tublisti kitsendab.
Testige kontoga, mis faile tegelikult vajab, mitte paigaldusel kasutatud administraatorikontoga, sest administraatoriõigused ei saa parandada puuduvat marsruuti ja marsruut ei saa anda jagamisluba. Ka nimed kuuluvad siia: kodus avastatud NAS-i nimi sõltub sageli kohalikust multicast-ist, mida marsruuditud tunnel ei kanna, seega proovige tootja dokumenteeritud privaatset hostinime või aadressi ennast, et eraldada nimetamine juurdepääsust.
Testige väljastpoolt NAS-i võrku ja laiendage siis aeglaselt
Samas LAN-is tehtud test varjab iga puuduliku osa kaugteest, seetõttu väärib esimene edukas kaugkatse märget muudatuste logis. Tehke kontrollid kliendist, mis pääseb NAS-ini ainult tunnelit kaudu, ja hoidke alles iga katse algne veatekst.
nc -vz 10.40.7.25 445
smbclient -L 10.40.7.25 -U guestKui tee töötab, kandke üle kahjutu fail ja kinnitage lugemis- või kirjutamiskäitumine, mida tegelikult vajate. Kui suured ülekanded takerduvad, samal ajal kui väikesed õnnestuvad, on allesjäänud probleem paketi suuruse käsitlemine või ühenduse stabiilsus, mitte adresseerimine.
Ärge avaldage failijagamise ega haldusporte internetis, et mööda minna seletamata rikkest. Parandage privaatne tee, hoidke NAS-i tarkvara toetatuna ja testige kõige selle taastamist, mida selle kaudu varundate, enne kui sellele varukoopiale loote.