NAS ei ole VPN:n kautta tavoitettavissa: osoite, paluureitti vai palvelu?

Tunnelit nousevat, asiakkaat saavat osoitteen, eikä NAS vastaa yhtään mitään. Tämä yksi oire kattaa kolme toisiinsa liittymätöntä vikaa, ja se järjestys, jossa ne testaat, ratkaisee korjauksen keston. Osoitteistus tulee ensin, koska päällekkäinen aliverkko voi lähettää pyyntösi vieraalle laitteelle. Paluureitti tulee toisena, koska ilman vastausta saapuva pyyntö näyttää täsmälleen samalta kuin suljettu palvelu. Palvelu ja käyttöoikeus tulevat viimeiseksi ja vasta kun kaksi ensimmäistä on todistettu.

Kolme vikaa, jotka kaikki luetaan tavoitettamattomuudeksi

Osoitteen valinta, paluureititys ja palvelun valtuutus tuottavat saman näkyvän viestin: mitään ei tapahdu. Niillä on eri todisteet, eri vastuuhenkilöt ja eri korjaukset, joten niiden erottaminen on koko tehtävä. Epäonnistuva ping todistaa yksinään vähän, ja onnistunut TCP-hylkäys on itse asiassa hyvä uutinen.

Lue taulukko testien järjestyksenä, älä syiden luettelona. Jokainen rivi rajoittaa seuraavaa, koska hylkäys todistaa jo, että osoitteistus ja paluureitti toimivat. Kahdenkymmenen minuutin käyttäminen palomuurisääntöihin ennen kuin tarkistat, minkä liittymän reitti valitsi, on yleisin tapa menettää iltapäivä. Etene ylhäältä alas ja pysähdy ensimmäiseen riviin, joka sopii.

Ehto yksi: onko tuo osoite oikea laite?

Kirjoita muistiin NAS:n aliverkko ja alue, jonka VPN jakaa asiakkaille, ja vertaa molempia verkkoon, jossa kannettavasi on juuri nyt. Tässä läpikäynnissä NAS on osoitteessa 10.40.7.25 ja VPN:n alta on 10.40.9.0/24, kaksi erillistä yksityistä aluetta yhden toimipaikkasuunnitelman sisällä; kotitaloudella, joka käyttää osoitetta 192.168.0.0/24 tai 10.0.0.0/24, on paljon suurempi mahdollisuus törmätä toiseen niistä.

Kun paikallinen verkko ja NAS-verkko menevät päällekkäin, asiakas lähettää tämän liikenteen omalle yhdyskäytävälleen ja voi tavoittaa asiaankuulumattoman laitteen, jolla sattuu olemaan sama osoite. Varmista reitti ennen kuin kirjoitat kirjautumistietoja mihinkään, mikä vastaa.

ip -4 route get 10.40.7.25
traceroute -n -m 5 10.40.7.25

Ensimmäinen komento kertoo liittymän ja yhdyskäytävän, jota ydin käyttäisi, ja toinen näyttää ensimmäiset hypyt, jotka todella vastaavat. Jos ne eivät täsmää, usko hakua, koska se on reitti, jonka paketti kulkee. Hyppylista, joka pysähtyy yhden hypyn ennen NAS-laitetta, on myös havainto eikä epäonnistuminen. Haku, joka ratkeaa fyysiseen sovittimeen tunnelin sijaan, päättää tutkinnan tähän pisteeseen.

Ehto kaksi: tuleeko vastaus takaisin?

Asiakas tarvitsee reitin NAS-laitteeseen, ja NAS-verkko tarvitsee paluureitin VPN:n altaaseen. Yhdyskäytävän edelleenlähetys, palomuurisäännöt ja tarkoituksellinen osoitteenmuunnos vaikuttavat kukin tähän pariin. strongSwanin muistiinpanot edelleenlähetyksestä kuvaavat paluureitin ja muunnoksen valinnat yksityiselle aliverkolle yhdyskäytävän takana.

Kun pyyntö saapuu ja vastaus lähtee toisen yhdyskäytävän kautta, mikään DNS-muutos ei korjaa epäsymmetriaa. Kaappaus molemmilla puolilla ratkaisee sen yhdellä yrityksellä, ja se näyttää myös, kirjoittiko muunnos uudelleen sen lähteen, johon NAS vastasi. Ylläpitäjä omistaa tämän rajan: salli vain tarvittavat palvelut ja VPN-asiakasalue, ja kirjoita muistiin, valittiinko reititys vai muunnos.

Ehto kolme: onko palvelu olemassa ja sallittu?

Hallintasivu ja tiedostojen jakopalvelu ovat saman laitteen eri päätepisteitä, ja toinen voi ottaa yhteyksiä vastaan, kun toisen estää isäntäkoneen palomuuri, palvelun kokoonpano tai jakokäyttöoikeus. Laite, joka vastaa hylkäyksellä, on jo todistanut kaksi ensimmäistä ehtoa, mikä kaventaa kolmatta huomattavasti.

Testaa tilillä, joka todella tarvitsee tiedostot, älä asennuksen aikaisella ylläpitäjätilillä, koska ylläpitäjän oikeudet eivät voi korjata puuttuvaa reittiä eikä reitti voi myöntää jakokäyttöoikeutta. Myös nimet kuuluvat tähän: kotona löydetty NAS-nimi riippuu usein paikallisesta multicastista, jota reititetty tunneli ei kuljeta, joten kokeile valmistajan dokumentoimaa yksityistä isäntänimeä tai itse osoitetta nimeämisen ja käytön erottamiseksi.

Testaa NAS-verkon ulkopuolelta ja laajenna sitten hitaasti

Samassa lähiverkossa tehty testi kätkee jokaisen vaillinaisen osan etäreitistä, ja siksi ensimmäinen onnistunut etäyritys ansaitsee merkinnän muutoslokiin. Suorita tarkistukset asiakkaalta, joka tavoittaa NAS-laitteen vain tunnelin kautta, ja säilytä jokaisen yrityksen alkuperäinen virheteksti.

nc -vz 10.40.7.25 445
smbclient -L 10.40.7.25 -U guest

Kun reitti toimii, siirrä vaaraton tiedosto ja vahvista se luku- tai kirjoituskäyttäytyminen, jota todella tarvitset. Jos suuret siirrot pysähtyvät pienten onnistuessa, jäljellä oleva ongelma on pakettikoon käsittely tai yhteyden vakaus, ei osoitteistus.

Älä julkaise tiedostojen jakamisen tai hallinnan portteja internetiin kiertääksesi selittämättömän vian. Korjaa yksityinen reitti, pidä NAS-ohjelmisto tuettuna ja testaa kaiken sen palauttaminen, mitä varmuuskopioit sen kautta, ennen kuin luotat siihen varmuuskopioon.