NAS לא נגיש דרך ה-VPN: כתובת, נתיב חזרה או שירות?
מנהרה פרטית זקוקה למסלול אל ה-NAS, לנתיב תשובה ולשירות מורשה. החליטו מה מהשלושה נכשל לפני שתשנו פרטי התחברות.
המנהרות עולות, הלקוחות מקבלים כתובת, וה-NAS לא עונה בכלל. הסימפטום האחד הזה מכסה שלוש תקלות לא קשורות, והסדר שבו תבדקו אותן קובע כמה זמן יימשך התיקון. הכתובות באות קודם, כי תת-רשת חופפת עלולה לשלוח את הבקשה שלכם להתקן זר. נתיב החזרה בא שני, כי בקשה שמגיעה בלי תשובה נראית בדיוק כמו שירות סגור. השירות וההרשאה באים אחרונים, ורק לאחר ששני הראשונים הוכחו.
שלוש תקלות שכולן נקראות כלא נגיש
בחירת כתובת, ניתוב חזרה והרשאת שירות מייצרים את אותה הודעה גלויה: שום דבר לא קורה. יש להן ראיות שונות, אחראים שונים ותיקונים שונים, ולכן ההפרדה ביניהן היא כל המשימה. פינג שנכשל מוכיח מעט בפני עצמו, וסירוב TCP מוצלח הוא למעשה חדשות טובות.
| Observation | Most likely conclusion |
|---|---|
| Route to the NAS address leaves the wrong interface | Overlapping or missing private route |
| Request visible on the server, no reply seen | Return path, gateway forwarding or translation |
| TCP connection refused rather than dropped | Reachable host, service not listening or filtered |
| TCP works, login or file access fails | Share permission, account or protocol version |
קראו את הטבלה כסדר בדיקות ולא כרשימת סיבות. כל שורה מגבילה את הבאה אחריה, כי סירוב כבר מוכיח שהכתובות ונתיב החזרה עובדים. לבלות עשרים דקות בתוך כללי חומת אש לפני שתבדקו איזה ממשק בחר המסלול הוא הדרך הנפוצה ביותר לאבד אחר צהריים. עבדו מלמעלה למטה ועצרו בשורה הראשונה שמתאימה.
תנאי ראשון: האם הכתובת הזו היא ההתקן הנכון?
רשמו את תת-הרשת של ה-NAS ואת הטווח שה-VPN מחלק ללקוחות, והשוו את שניהם לרשת שהמחשב הנייד שלכם נמצא בה כרגע. בהדרכה הזו ה-NAS נמצא בכתובת 10.40.7.25 ובריכת ה-VPN היא 10.40.9.0/24, שני טווחים פרטיים נפרדים בתוך תוכנית אתר אחת; משק בית שמשתמש ב-192.168.0.0/24 או ב-10.0.0.0/24 נמצא בסיכון גבוה בהרבה להתנגש באחד מהם.
כשהרשת המקומית ורשת ה-NAS חופפות, הלקוח שולח את התעבורה הזו לשער שלו עצמו ועלול להגיע להתקן לא קשור שבמקרה יש לו את אותה כתובת. אמתו את המסלול לפני שתקלידו פרטי התחברות במשהו שמגיב.
ip -4 route get 10.40.7.25
traceroute -n -m 5 10.40.7.25הפקודה הראשונה מציינת את הממשק ואת השער שהליבה הייתה משתמשת בהם, והשנייה מציגה את הקפיצות הראשונות שבאמת מגיבות. אם השתיים לא מסכימות, האמינו לחיפוש, כי זה המסלול שהחבילה תלך בו. רשימת קפיצות שנעצרת קפיצה אחת לפני ה-NAS היא גם ממצא ולא כישלון. חיפוש שנפתר לכתובת המתאם הפיזי במקום למנהרה מסיים את החקירה בנקודה הזו.
תנאי שני: האם התשובה חוזרת?
הלקוח צריך מסלול אל ה-NAS, ורשת ה-NAS צריכה נתיב חזרה אל בריכת ה-VPN. העברת חבילות בשער, כללי חומת אש ותרגום כתובות מכוון משפיעים כל אחד על הזוג הזה. ההערות של strongSwan על העברה מתארים את האפשרויות לנתיב חזרה ולתרגום עבור תת-רשת פרטית מאחורי שער.
כשהבקשה מגיעה והתשובה יוצאת דרך שער אחר, שום שינוי DNS לא מתקן את חוסר הסימטריה. לכידה בשני הצדדים מכריעה את זה בניסיון אחד, והיא גם מראה אם התרגום שכתב מחדש את המקור שה-NAS השיב לו. המנהל אחראי לגבול הזה: אפשרו רק את השירותים הנדרשים ואת טווח לקוחות ה-VPN, ורשמו אם נבחר ניתוב או תרגום.
תנאי שלישי: האם השירות קיים ומורשה?
עמוד ניהול ושירות שיתוף קבצים הם נקודות קצה שונות על אותה מכונה, ואחד יכול לקבל חיבורים בזמן שהשני חסום על ידי חומת האש של המארח, תצורת השירות או הרשאת שיתוף. התקן שמשיב בסירוב כבר הוכיח את שני התנאים הראשונים, מה שמצמצם מאוד את השלישי.
בדקו עם החשבון שבאמת צריך את הקבצים, ולא עם חשבון המנהל מההתקנה, כי הרשאות ניהול לא יכולות לתקן מסלול חסר ומסלול לא יכול להעניק הרשאת שיתוף. גם שמות שייכים לכאן: שם NAS שמתגלה בבית תלוי לעיתים קרובות ב-multicast מקומי, שמנהרה מנותבת אינה נושאת, לכן נסו את שם המארח הפרטי המתועד של היצרן או את הכתובת עצמה כדי להפריד בין שמות לגישה.
בדקו מחוץ לרשת ה-NAS, ואז הרחיבו לאט
בדיקה שנעשית באותה רשת LAN מסתירה כל חלק חסר במסלול המרוחק, ולכן הניסיון המרוחק המוצלח הראשון ראוי לרישום ביומן השינויים. הריצו את הבדיקות מלקוח שמגיע ל-NAS רק דרך המנהרה, ושמרו את טקסט השגיאה המקורי מכל ניסיון.
nc -vz 10.40.7.25 445
smbclient -L 10.40.7.25 -U guestלאחר שהמסלול עובד, העבירו קובץ לא מזיק ואמתו את התנהגות הקריאה או הכתיבה שאתם באמת צריכים. אם העברות גדולות נתקעות בעוד שקטנות מצליחות, הבעיה שנותרה היא טיפול בגודל החבילה או יציבות החיבור, ולא הכתובות.
אל תפרסמו יציאות שיתוף קבצים או ניהול לאינטרנט כדי לעקוף תקלה לא מוסברת. תקנו את המסלול הפרטי, החזיקו את תוכנת ה-NAS נתמכת, ובדקו את השחזור של כל מה שאתם מגבים דרכו לפני שאתם מסתמכים על הגיבוי הזה.