Yhdistetty verkkoasema sivustojen välisen VPN:n yli: DNS, SMB ja UNC-polku
Verkon tunnistus ei ylitä reititettyä yhteyttä, mutta nimetty UNC-polku ylittää. Osoita DNS palvelimelle, avaa SMB molempiin suuntiin ja yhdistä sitten asema.
Resurssienhallinnan Verkko-sivu näyttää laitteet, jotka ovat ilmoittautuneet paikallisessa segmentissä, eikä reititetty tunneli kuljeta yhtään näistä ilmoituksista. Siksi palvelin voi olla täysin tavoitettavissa, kun taas käyttäjän edessä oleva ikkuna pysyy tyhjänä. Nimetty UNC-polku ei riipu tunnistuksesta lainkaan, ja ratkaisu on saada nimi ratkeamaan ja portti vastaamaan. Tyhjä ikkuna on väärän kerroksen oire, ei rikkinäisen jaon.
Tunnistus ei ole sama kuin tavoitettavuus
Windows löytää lähellä olevat koneet protokollilla, jotka on tarkoitettu broadcast-verkkotunnukselle, ja esittää löytämänsä mukavuussyistä listana. Mikään tuossa listassa ei ole tarpeen SMB-tiedostokäyttöön. Asiakas, joka tietää palvelimen nimen ja tavoittaa TCP 445:n, avaa jaon riippumatta siitä, ilmestyykö kone koskaan Verkko-kohtaan.
Kaksi kerrosta epäonnistuvat toisistaan riippumatta, ja siksi "en näe sitä" ja "en saa sitä auki" ansaitsevat erilaiset testit. Listan katsominen kertoo tunnistuksesta; polun avaaminen kertoo palvelusta.
Nimeä palvelin ennen kuin yhdistät jaon
Julkaise tiedostopalvelin DNS:ssä osoitteella, joka sillä on toisella puolella, ja suuntaa asiakkaan sivusto resolveriin, joka pystyy vastaamaan kyseisestä vyöhykkeestä. Täysin kvalifioitu nimi välttää riippuvuuden paikallisesta liiteliitteen hakuluettelosta, mikä on tavallinen syy siihen, että lyhyt nimi toimii yhdellä sivustolla ja epäonnistuu toisella.
Jos ympäristö käyttää Active Directorya, nimien selvitys on myös osa todennusta: asiakkaan on tavoitettava toimialueen ohjainain Kerberosta varten, ja liian paljon poikkeava kello saa lipunvaihdon epäonnistumaan. Se on eri ongelma kuin SMB:n tavoitettavuus ja näyttää tunnistetietovirheeltä. Testaa toimialueen ohjain ennen kuin kirjoitat salasanan uudelleen.
| Layer | What it needs | Symptom when missing |
|---|---|---|
| Name resolution | A DNS answer for the server name | Path cannot be found, ping by IP still works |
| Transport | TCP 445 open in both directions | Connection times out or is refused |
| Authentication | A reachable domain controller and correct clock | Access is denied after the port connects |
| Authorization | Share permission and filesystem permission | The share opens but the folder is inaccessible |
Reititä ja suodata molempiin suuntiin
Sivustojen välinen tunneli tarvitsee etäprefiksin paikalliseen reititystauluun ja paikallisen prefiksin etätauluun, ja kummankin puolen palomuurin on sallittava saapuva liikenne. Yksisuuntainen kokoonpano tuottaa yhteyden, joka avautuu eikä koskaan vastaa, mitä käyttäjät kuvaavat hitaaksi jaoksi. Tarkista ensin tunnelin omat laskurit. Jos paketit lähtevät eikä mitään palaa, etsi paluureitti tai etäsuodatin.
WireGuardissa vertaislaitteen sallitut IP-osoitteet ja käyttöjärjestelmän reitit on sovitettava tuon suunnitelman kanssa. Tunneli kuljettaa paketteja; se ei tarjoa DNS-tietueita tai jaon käyttöoikeuksia kummallakaan puolella.
Perusta palomuurisääntö todelliseen lähiverkkoon, joka yhdistää, ja kirjoita poikkeus muistiin. Jos suunnitelma kääntää osoitteita jossain reitillä, säännön on käytettävä käännettyä lähdettä, eikä alkuperäinen asiakasosoite ole enää näkyvissä lokeissa.
Todenna, yhdistä sitten asema
Etene kerrokset komennoilla Resurssienhallinnan ikkunan sijaan:
Resolve-DnsName -Name files.corp.example -Type A
Test-NetConnection -ComputerName files.corp.example -Port 445
net use Z: \\files.corp.example\Projects /persistent:noToinen komento todistaa TCP-polun, ei oikeutta lukea mitään. Kolmas on kohta, jossa todennus ja valtuutus toteutetaan, ja siinä epäonnistuminen pitäisi ohjata sinut jaon ja tiedostojärjestelmän käyttöoikeuksiin, ei takaisin reitittimelle.
Pidä SMB-allekirjoitus ja nykyinen todennuskäytäntö ennallaan. SMB1:n uudelleen käyttöönotto tai tunnistuksen broadcastien välittäminen tunnelin läpi ei ole tarpeen selkeälle polulle, ja TCP 445:n pitäisi pysyä yksityisellä polulla eikä internetiin päin olevassa edelleenohjauksessa. Anna käyttäjille hallittu pikakuvake tai yhdistetty asema hyväksyttyyn nimeen, niin tyhjällä Verkko-sivulla ei ole enää väliä.