Keppele skiif oer in site-VPN: DNS, SMB en it UNC-paad
Netwurkûntdekking giet net oer in routed ferbining, mar in neamd UNC-paad wol. Wys DNS nei de tsjinner, iepenje SMB yn beide rjochtingen en keppel dan de skiif.
De side Netwurk yn Verkenner lit apparaten sjen dy't har op it lokale segmint oankundige hawwe, en in routed tunnel ferfiert gjin fan dy oankundigings. Dêrom kin in tsjinner folslein berikber wêze wylst it finster foar de brûker leech bliuwt. In neamd UNC-paad hinget hielendal net fan ûntdekking ôf, en de oplossing is de namme oplosse te litten en de poarte antwurdzje te litten. It lege finster is in symptoom fan 'e ferkearde laach, net fan in stikken dieling.
Ûntdekking is net itselde as berikberens
Windows fynt tichtby lizzende masines fia protokollen dy't foar in broadcastdomein ûntwurpen binne, en lit wat it fûn hat sjen as in gemakslist. Neat yn dy list is nedich foar SMB-triemtagong. In klant dy't de tsjinnernamme ken en TCP 445 berikke kin, iepenet de dieling, oft de masine no ea ûnder Netwurk ferskynt of net.
De twa lagen falle ûnôfhinklik fan elkoar, en dêrom fertsjinje "ik kin it net sjen" en "ik kin it net iepenje" ferskate testen. Nei de list sjen seit wat oer ûntdekking; it paad iepenje seit wat oer de tsjinst.
Nammefier de tsjinner foardat jo de dieling keppelje
Publisearje de triemtsjinner yn DNS mei it adres dat er oan 'e oare kant hat, en rjochtsje it klantstee op in resolver dy't foar dy sône antwurdzje kin. In folslein kwalifisearre namme foarkomt ôfhinklikens fan in lokale suffikssyklist, wat de gewoane reden is dat in koarte namme op it iene stee wurket en op it oare net.
As de omjouwing Active Directory brûkt, is namme-oplossing ek diel fan autentikaasje: de klant moat in domeincontroller foar Kerberos berikke, en in klok dy't te fier út 'e pas rint lit de kaartsje-útwikseling mislearje. Dat is in oar probleem as SMB-berikberens en liket op in oanmeldfout. Test de domeincontroller foardat jo it wachtwurd opnij yntype.
| Layer | What it needs | Symptom when missing |
|---|---|---|
| Name resolution | A DNS answer for the server name | Path cannot be found, ping by IP still works |
| Transport | TCP 445 open in both directions | Connection times out or is refused |
| Authentication | A reachable domain controller and correct clock | Access is denied after the port connects |
| Authorization | Share permission and filesystem permission | The share opens but the folder is inaccessible |
Rûte en filterje yn beide rjochtingen
In tunnel fan stee nei stee hat it fiere foarheaksel yn 'e lokale rûtetabel nedich en it lokale foarheaksel yn 'e fiere, en de brânmuorre oan elke kant moat it ferkear dat oankomt tastean. Iensidige konfiguraasje leveret in ferbining op dy't iepenet en nea antwurdet, wat brûkers beskriuwe as dat de dieling traach is. Kontrolearje earst de eigen tellers fan 'e tunnel. As pakketten fuortgeane en der komt neat werom, is de weromrûte of it fiere filter it plak om te sykjen.
By WireGuard moatte de tastiene IP's fan 'e peer en de rûtes fan it bestjoeringssysteem by dat ûntwerp passe. De tunnel ferfiert pakketten; hy leveret gjin DNS-records of dielingsrjochten oan ien fan beide kanten.
Bêzje de brânmuorrerigele op it wiere boarnetwurk dat ferbine sil, en skriuw de útsûndering op. As it ûntwerp earne yn it paad adressen oerset, moat de rigel de oersette boarne brûke, en it oarspronklike klantadres is net mear sichtber foar logging.
Autentisearje, keppelje dan de skiif
Wurkje de lagen del mei opdrachten yn stee fan mei it finster fan Verkenner:
Resolve-DnsName -Name files.corp.example -Type A
Test-NetConnection -ComputerName files.corp.example -Port 445
net use Z: \\files.corp.example\Projects /persistent:noIt twadde opdracht bewiist it TCP-paad, net it rjocht om wat te lêzen. By it tredde wurde autentikaasje en autorisaasje útoefene, en in mislearring dêr moat jo nei de dielings- en triemsysteemrjochten stjoere yn stee fan werom nei de router.
Hâld SMB-ûndertekening en it besteande autentikaasjebelied yntakt. SMB1 wer ynskeakelje of ûntdekkingsbroadcasts troch de tunnel stjoere is net nedich foar in eksplisyt paad, en TCP 445 heart op it private paad te bliuwen yn stee fan op in nei it ynternet rjochte trochstjoering. Jou brûkers in behearderskoartpaad of keppele skiif nei de goedkarde namme, en de lege Netwurk-side docht der net mear ta.