NAS nedostupan preko VPN-a: adresa, povratni put ili servis?
Privatni tunel traži rutu do NAS-a, povratni put i dozvoljeni servis. Odlučite koja od tri stavke nije u redu prije nego što promijenite akreditive.
Tuneli se dižu, klijenti dobijaju adresu, a NAS ne odgovara baš ništa. Taj jedan simptom pokriva tri nepovezana kvara, a redoslijed kojim ih provjeravate odlučuje koliko će popravka trajati. Adresiranje je prvo, jer preklopljena podmreža može poslati zahtjev na tuđi uređaj. Povratni put je drugi, jer zahtjev koji stigne bez odgovora izgleda isto kao zatvoreni servis. Servis i dozvola su posljednji, i to samo pošto su prva dva dokazana.
Tri kvara koja se sva čitaju kao nedostupno
Izbor adrese, povratno rutiranje i autorizacija servisa daju istu vidljivu poruku: ništa se ne dešava. Oni imaju različite dokaze, različite odgovorne i različite popravke, pa je njihovo razdvajanje cijeli zadatak. Ping koji ne prođe sam po sebi dokazuje malo, a uspješno TCP odbijanje je zapravo dobra vijest.
| Observation | Most likely conclusion |
|---|---|
| Route to the NAS address leaves the wrong interface | Overlapping or missing private route |
| Request visible on the server, no reply seen | Return path, gateway forwarding or translation |
| TCP connection refused rather than dropped | Reachable host, service not listening or filtered |
| TCP works, login or file access fails | Share permission, account or protocol version |
Čitajte tabelu kao redoslijed provjera, a ne kao spisak uzroka. Svaki red ograničava sljedeći, jer odbijanje već dokazuje da adresiranje i povratni put rade. Provoditi dvadeset minuta u pravilima zaštitnog zida prije nego što provjerite koji je interfejs izabrala ruta najčešći je način da izgubite popodne. Radite odozgo nadolje i zaustavite se na prvom redu koji se poklapa.
Uslov jedan: je li ta adresa pravi uređaj?
Zapišite podmrežu NAS-a i opseg koji VPN daje klijentima, pa uporedite oba sa mrežom u kojoj je vaš laptop sada. U ovom pregledu NAS stoji na 10.40.7.25, a bazen VPN-a je 10.40.9.0/24, dva odvojena privatna opsega unutar jednog plana lokacije; domaćinstvo koje koristi 192.168.0.0/24 ili 10.0.0.0/24 ima mnogo veće šanse da se sukobi sa jednim od njih.
Kada se lokalna mreža i mreža NAS-a preklope, klijent šalje taj saobraćaj na vlastiti mrežni prolaz i može stići do nepovezanog uređaja koji slučajno ima istu adresu. Provjerite put prije nego što unesete akreditive u bilo šta što odgovori.
ip -4 route get 10.40.7.25
traceroute -n -m 5 10.40.7.25Prva komanda imenuje interfejs i prolaz koje bi koristilo jezgro, a druga prikazuje prve skokove koji zaista odgovaraju. Ako se dvije slike ne slažu, vjerujte pretrazi, jer to je put kojim će paket ići. Spisak skokova koji se zaustavlja jedan skok prije NAS-a je takođe nalaz, a ne neuspjeh. Pretraga koja se razrješava na fizički adapter umjesto na tunel završava istragu u tom trenutku.
Uslov dva: vraća li se odgovor?
Klijentu treba ruta ka NAS-u, a mreži NAS-a povratni put ka bazenu VPN-a. Prosljeđivanje na prolazu, pravila zaštitnog zida i namjerna translacija adresa svako utiče na taj par. Bilješke strongSwan o prosljeđivanju opisuju izbore povratne rute i translacije za privatnu podmrežu iza prolaza.
Kada zahtjev stigne, a odgovor izađe kroz drugi prolaz, nikakva promjena DNS-a ne popravlja asimetriju. Snimak sa obje strane rješava to u jednom pokušaju i pokazuje da li je translacija prepisala izvor na koji je NAS odgovorio. Administrator je odgovoran za tu granicu: dozvolite samo potrebne servise i opseg VPN klijenata i zapišite da li je izabrano rutiranje ili translacija.
Uslov tri: postoji li servis i je li dozvoljen?
Stranica za upravljanje i servis za dijeljenje datoteka različite su krajnje tačke na istoj mašini, i jedna može prihvatati veze dok drugu blokira zaštitni zid domaćina, konfiguracija servisa ili dozvola za dijeljenje. Uređaj koji odgovori odbijanjem već je dokazao prva dva uslova, što treći znatno sužava.
Testirajte nalogom kojem zaista trebaju datoteke, a ne administratorskim nalogom iz instalacije, jer administratorska prava ne mogu popraviti rutu koja nedostaje, a ruta ne može dodijeliti dozvolu za dijeljenje. I imena tu imaju mjesto: ime NAS-a otkriveno kod kuće često zavisi od lokalnog multicast-a, koji rutirani tunel ne prenosi, zato probajte dokumentovano privatno ime domaćina proizvođača ili samu adresu da odvojite imenovanje od pristupa.
Testirajte izvan mreže NAS-a, pa polako proširujte
Test u istoj lokalnoj mreži krije svaki nepotpuni dio udaljenog puta, i zato prvi uspješni udaljeni pokušaj zaslužuje zabilješku u dnevniku izmjena. Izvodite provjere sa klijenta koji do NAS-a stiže samo kroz tunel i čuvajte originalni tekst greške iz svakog pokušaja.
nc -vz 10.40.7.25 445
smbclient -L 10.40.7.25 -U guestKada put proradi, prenesite bezazlenu datoteku i potvrdite ponašanje čitanja ili pisanja koje vam zaista treba. Ako se veliki prenosi zaustavljaju, a mali prolaze, preostali problem je rukovanje veličinom paketa ili stabilnost veze, a ne adresiranje.
Ne objavljujte portove za dijeljenje datoteka ili administraciju na internetu da biste zaobišli neobjašnjen kvar. Popravite privatni put, držite softver NAS-a podržanim i testirajte vraćanje svega što kopirate preko njega prije nego što se pouzdate u tu rezervnu kopiju.