Կցված սկավառակ կայքի VPN-ի միջոցով՝ DNS, SMB և UNC ուղի
Ցանցի հայտնաբերումը չի անցնում երթուղավորված կապով, բայց անվանված UNC ուղին անցնում է։ Ուղղեք DNS-ը սերվերին, բացեք SMB-ն երկու ուղղությամբ, ապա կցեք սկավառակը։
Explorer-ի Ցանց էջը ցույց է տալիս սարքերը, որոնք հայտարարվել են տեղական սեգմենտում, և երթուղավորված թունելը չի տեղափոխում այդ հայտարարություններից ոչ մեկը։ Այդ պատճառով սերվերը կարող է լիովին հասանելի լինել, մինչ օգտատիրոջ առջևի պատուհանը դատարկ է մնում։ Անվանված UNC ուղին ընդհանրապես կախված չէ հայտնաբերումից, և լուծումը անվան լուծումն ու պորտի պատասխանն ապահովելն է։ Դատարկ պատուհանը սխալ շերտի ախտանիշ է, ոչ թե կոտրված ընդհանուր պանակի։
Հայտնաբերումը նույնը չէ, ինչ հասանելիությունը
Windows-ը գտնում է մոտակա մեքենաները հեռարձակման դոմենի համար նախատեսված արձանագրություններով, ապա գտնվածը ներկայացնում է որպես հարմարության ցանկ։ Այդ ցանկից ոչինչ պարտադիր չէ SMB ֆայլային հասանելիության համար։ Այն հաճախորդը, որը գիտի սերվերի անունը և հասնում է TCP 445-ին, կբացի ընդհանուր պանակը՝ անկախ այն բանից, թե մեքենան երբևէ կհայտնվի Ցանցում, թե ոչ։
Երկու շերտերը ձախողվում են միմյանցից անկախ, դրա համար էլ «չեմ տեսնում» և «չեմ կարող բացել» արտահայտությունները տարբեր ստուգումների արժանի են։ Ցանկին նայելը պատմում է հայտնաբերման մասին, ուղին բացելը՝ ծառայության։
Անվանեք սերվերը նախքան ընդհանուր պանակը կցելը
Հրապարակեք ֆայլային սերվերը DNS-ում այն հասցեով, որը նա ունի մյուս կողմում, և ուղղեք հաճախորդի կայքը դեպի լուծիչ, որը կարող է պատասխանել այդ գոտու համար։ Լիովին որակավորված անունը խուսափում է տեղական վերջածանցների որոնման ցանկից կախվածությունից, ինչը սովորական պատճառն է, որ կարճ անունը աշխատում է մի կայքում և ձախողվում մյուսում։
Եթե միջավայրն օգտագործում է Active Directory, ապա անունների լուծումը նույնպես նույնականացման մաս է. հաճախորդը պետք է հասնի դոմենի կարգավորիչին Kerberos-ի համար, և չափից շատ շեղված ժամացույցը կձախողի տոմսերի փոխանակումը։ Սա տարբեր խնդիր է, քան SMB հասանելիությունը, և նման է հավատարմագրերի սխալի։ Ստուգեք դոմենի կարգավորիչը նախքան գաղտնաբառը կրկին մուտքագրելը։
| Layer | What it needs | Symptom when missing |
|---|---|---|
| Name resolution | A DNS answer for the server name | Path cannot be found, ping by IP still works |
| Transport | TCP 445 open in both directions | Connection times out or is refused |
| Authentication | A reachable domain controller and correct clock | Access is denied after the port connects |
| Authorization | Share permission and filesystem permission | The share opens but the folder is inaccessible |
Երթուղավորում և զտում երկու ուղղությամբ
Կայքերի միջև թունելին անհրաժեշտ է հեռավոր նախածանցը տեղական երթուղային աղյուսակում և տեղական նախածանցը հեռավորում, իսկ յուրաքանչյուր կողմի հրդեհային պատը պետք է թույլատրի ժամանող տրաֆիկը։ Միակողմանի կարգավորումը ստեղծում է կապ, որը բացվում է և երբեք չի պատասխանում, ինչը օգտատերերը նկարագրում են որպես դանդաղ ընդհանուր պանակ։ Նախ ստուգեք բուն թունելի հաշվիչները։ Եթե փաթեթները դուրս են գալիս և ոչինչ չի վերադառնում, փնտրեք վերադարձի երթուղին կամ հեռավոր զտիչը։
WireGuard-ում գործընկերոջ թույլատրված IP-ները և օպերացիոն համակարգի երթուղիները պետք է համապատասխանեն այդ նախագծին։ Թունելը փոխադրում է փաթեթներ. այն չի տրամադրում DNS գրառումներ կամ ընդհանուր պանակի թույլտվություններ կողմերից ոչ մեկում։
Հրդեհային պատի կանոնը կառուցեք իրական աղբյուր ցանցի վրա, որը կմիանա, և գրի առեք բացառությունը։ Եթե նախագիծը ինչ-որ տեղ ուղու վրա թարգմանում է հասցեներ, կանոնը պետք է օգտագործի թարգմանված աղբյուրը, և հաճախորդի սկզբնական հասցեն այլևս տեսանելի չէ մատյաններում։
Նույնականացեք, ապա կցեք սկավառակը
Անցեք շերտերով հրամաններով, ոչ թե Explorer-ի պատուհանով.
Resolve-DnsName -Name files.corp.example -Type A
Test-NetConnection -ComputerName files.corp.example -Port 445
net use Z: \\files.corp.example\Projects /persistent:noԵրկրորդ հրամանը ապացուցում է TCP ուղին, ոչ թե ինչ-որ բան կարդալու իրավունքը։ Երրորդը այն տեղն է, որտեղ կիրառվում են նույնականացումը և լիազորումը, և այնտեղ ձախողումը պետք է ուղարկի ձեզ ընդհանուր պանակի և ֆայլային համակարգի թույլտվությունների, ոչ թե հետ դեպի երթուղիչ։
Պահեք SMB ստորագրումը և գործող նույնականացման քաղաքականությունը անփոփոխ։ Բացահայտ ուղու համար պարտադիր չէ նորից միացնել SMB1-ը կամ թունելով փոխանցել հայտնաբերման հեռարձակումները, և TCP 445-ը պետք է մնա մասնավոր ուղու վրա, ոչ թե ինտերնետին ուղղված փոխանցման։ Տվեք օգտատերերին կառավարվող դյուրանցում կամ կցված սկավառակ հաստատված անվանը, և դատարկ Ցանց էջն այլևս նշանակություն չի ունենա։