OpenVPN-era konektatuta baina pingik eta SMB partekatzerik ez? Egiaztatu hiru ate
Funtzionatzen duen tunel batek ez du ezer esaten birbidaltzeaz, SMB portuez edo izenen ebazpenaz. Probatu ate bakoitza ordenan eta gelditu huts egiten duen lehenengoan.
Tunela altxatzen da, bezeroak helbide bat jasotzen du, eta urruneko LANean ezerk ez du erantzuten. Ping-ak huts egiten du, partekatzea ez da irekitzen, eta VPNaren erregistroa garbi ikusten da, bere ikuspegitik saioa osasuntsu dagoelako. Saio horren eta zerbitzari bateko fitxategi baten artean hiru ate independente daude: birbidaltze-politika, zerbitzuak behar dituen portuak eta helbidearen ordez idatzi zenuen izena.
Ate bakoitzak sintoma ezberdinarekin egiten du huts, eta lehena bakarrik dago VPN zerbitzarian.
Birbidaltzea FORWARD kateko politika bat da
OpenVPN entzulearen onarpena INPUTen gertatzen da, horregatik tunela konekta daiteke LANera zuzendutako pakete guztiak baztertu arren. tun0 helbidetik iristen eta LAN interfazetik irteten den trafikoak FORWARD zeharkatzen du, eta han DROP politika lehenetsia duen ostalari batek isilik baztertzen du. Beste ezer ukitu aurretik egiaztatu bai sysctl bai katea: sysctl net.ipv4.ip_forward eta iptables -L FORWARD -v -n.
Baimendu nahi duzun norabidea eta hari dagozkion erantzunak, adibidez accept arau bat tunel interfazetik LAN interfazera gehi stateful arau bat established eta related trafikoarentzat. LANa beste router baten atzean badago, router horrek bezeroen multzorako itzulera-bide bat edo source NAT bat behar du VPN zerbitzarian. Egiaztatu bide hori ping bakar batekin arau gehiago gehitu aurretik, irisgarria ez den arau bat ez baita inoiz agertzen kontagailu batean.
SMBk port bat baino gehiago behar du
Fitxategi-partekatzea ez da TCP 445 elkarrizketa bakar bat. Aurkikuntzak UDP 137 eta 138 erabiltzen ditu, NetBIOS saio zaharrek TCP 139 erabiltzen dute eta SMB saio modernoek TCP 445 erabiltzen dute. 445 soilik irekitzen duen arau batek egoera etsigarria sortzen du: mapatutako unitate batek funtzionatzen du eta sarearen arakatzeak ez, edo alderantziz.
Tunel baten bidezko transferentzia handiek MSS arazoak ere jotzen dituzte, partekatze hautsi baten itxura dutenak. LANaren segmentu-tamaina osoa iragartzen duen SYN bat tunelaren MTU txikiagoak baztertzen du, eta konexioa eskegita geratzen da esku-ematearen ondoren. Birbidaltze-bidean MSS mugatzeak, iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu, ataka-mota hori kentzen du. Egiaztatu megabyte batzuen kopia batekin direktorio-zerrenda baten ordez, erantzun txikiak pasatzen baitira transferentzia handiak pasatzen ez direnean ere.
Tunel egokitzailea sare-profil berri gisa iristen da
Windows-ek egokitzaile bakoitza sare-profil batean sailkatzen du, eta tunel egokitzaile berri bat normalean Public profilan erortzen da, non fitxategi eta inprimagailu partekatzeko arauak blokeatuta dauden. Hori fitxategi zerbitzariko ostalariaren suebakiaren erabakia da, ez VPN zerbitzariko bideratze arazoa. Aldatu kategoria nahita Set-NetConnectionProfile -InterfaceAlias "Ethernet 3" -NetworkCategory Private erabiliz politikoak baimentzen duela egiaztatu ondoren, kategoriak zein sarrera-arau aplikatzen diren ere aldatzen baitu.
Profil berak azaltzen du ping batek huts egitea TCP 445ek arrakasta duen bitartean: oihartzun eskaerak Publicen baztertzen dira lehenespenez.
Izenek ez dute bideratutako tunel bat berez zeharkatzen
NetBIOS izen-ebazpena eta tokiko aurkikuntza bideratutako tunel batek eramaten ez dituen difusioen mende daude. Beraz, zerbitzariaren izen laburra idazteak huts egiten du haren helbideak funtzionatzen duen bitartean, eta partekatzeak hautsi itxura du bilaketak soilik huts egiten duenean. Gehitu DNS erregistro bat zerbitzariarentzat tunelak ematen duen ebazpenean, edo erabili helbidea lasterbidean.
Hedapena oraindik WINSen mende badago, konfiguratu bezeroan, difusio-trafikoa agertuko dela espero beharrean. Probatu lehenik helbidearekin, izen-errore bat suebaki-errore batekin nahas ez dadin.
Probatu geruza bat aldiko eta irakurri lehen huts egitea
Igo gora: egin ping tunelaren ate-aurrekoari, egin ping LANeko ostalari bati helbidearekin, gero ireki zerbitzuaren portua Test-NetConnection -ComputerName 10.8.0.5 -Port 445 erabiliz, eta orduan soilik autentikatu partekatzean. Huts egiten duen lehen urratsa zuzendu beharreko geruza da, eta ondorengo urrats bakoitza zarata da hura pasa arte. Erantzuten duen ping batek portua itxita jarraitzen duenean fitxategi zerbitzariaren bere suebakia seinalatzen du, eta ping isilen gainetik irekitzen den portu batek ICMP iragazketa seinalatzen du. Idatzi huts egiten duen lehen urratsa ezer aldatu aurretik, bigarren aldaketa batek lehenengoaren emaitza ezkutatzen baitu.
VPN zerbitzaria LANaren routerra ez bada, egiaztatu itzulera-bidea router horretan zerbitzariari arau gehiago gehitu aurretik. Hargabe, eskaerak ostalarira iristen dira eta erantzunak bide lehenetsitik internetera irteten dira, eta hori bezeroaren aldetik suebakiaren bazterketa baten berdin-berdin ikusten da.
Eduki partekatze-kontua VPN saio-hasieratik bereizita zure oharretan, tunel arrakastatsu batek ez baitu ezer esaten fitxategi-baimenei buruz. SMB internetera erakustea falta den arau bat saihesteko ez da konponbidea.