NAS tidak terjangkau melalui VPN: alamat, jalur balik, atau layanan?
Tunnel privat memerlukan rute ke NAS, jalur balasan, dan layanan yang diizinkan. Tentukan mana dari ketiganya yang gagal sebelum mengubah kredensial.
Tunnel menyala, klien mendapat alamat, dan NAS sama sekali tidak menjawab. Satu gejala ini menutupi tiga kegagalan yang tidak saling terkait, dan urutan pengujiannya menentukan berapa lama perbaikan berlangsung. Pengalamatan didahulukan karena subnet yang tumpang tindih dapat mengirim permintaan Anda ke perangkat asing. Jalur balik menyusul karena permintaan yang datang tanpa balasan tampak sama persis dengan layanan yang tertutup. Layanan dan izin diperiksa terakhir, dan hanya setelah dua yang pertama terbukti.
Tiga kegagalan yang semuanya terbaca sebagai tidak terjangkau
Pemilihan alamat, perutean balik, dan otorisasi layanan menghasilkan pesan yang sama di mata pengguna: tidak terjadi apa-apa. Ketiganya punya bukti, penanggung jawab, dan perbaikan yang berbeda, jadi memisahkannya adalah seluruh tugas. Ping yang gagal hanya membuktikan sedikit, dan penolakan TCP yang berhasil justru kabar baik.
| Observation | Most likely conclusion |
|---|---|
| Route to the NAS address leaves the wrong interface | Overlapping or missing private route |
| Request visible on the server, no reply seen | Return path, gateway forwarding or translation |
| TCP connection refused rather than dropped | Reachable host, service not listening or filtered |
| TCP works, login or file access fails | Share permission, account or protocol version |
Bacalah tabel sebagai urutan pengujian, bukan daftar penyebab. Setiap baris membatasi baris berikutnya, karena penolakan sudah membuktikan pengalamatan dan jalur balik bekerja. Menghabiskan dua puluh menit di dalam aturan firewall sebelum memeriksa antarmuka mana yang dipilih rute adalah cara paling umum kehilangan satu sore. Bekerjalah dari atas ke bawah dan berhenti pada baris pertama yang cocok.
Syarat pertama: apakah alamat itu perangkat yang benar?
Catat subnet NAS dan rentang yang diberikan VPN kepada klien, lalu bandingkan keduanya dengan jaringan tempat laptop Anda sekarang. Dalam panduan ini NAS berada di 10.40.7.25 dan kumpulan VPN adalah 10.40.9.0/24, dua rentang privat terpisah dalam satu rencana situs; rumah tangga yang memakai 192.168.0.0/24 atau 10.0.0.0/24 jauh lebih berpeluang bertabrakan dengan salah satunya.
Ketika jaringan lokal dan jaringan NAS tumpang tindih, klien mengirim lalu lintas itu ke gateway-nya sendiri dan bisa mencapai perangkat tak terkait yang kebetulan memiliki alamat sama. Verifikasi jalurnya sebelum mengetikkan kredensial ke apa pun yang menjawab.
ip -4 route get 10.40.7.25
traceroute -n -m 5 10.40.7.25Perintah pertama menyebutkan antarmuka dan gateway yang akan dipakai kernel, dan yang kedua menampilkan hop pertama yang benar-benar menjawab. Jika keduanya tidak cocok, percayai pencarian karena itulah jalur yang akan ditempuh paket. Daftar hop yang berhenti satu hop sebelum NAS juga sebuah temuan, bukan kegagalan. Pencarian yang mengarah ke adaptor fisik alih-alih tunnel mengakhiri penyelidikan di titik ini.
Syarat kedua: apakah balasannya kembali?
Klien memerlukan rute menuju NAS, dan jaringan NAS memerlukan jalur balik menuju kumpulan VPN. Penerusan gateway, aturan firewall, dan penerjemahan alamat yang disengaja masing-masing memengaruhi pasangan itu. Catatan strongSwan tentang penerusan menjelaskan pilihan rute balik dan penerjemahan untuk subnet privat di belakang gateway.
Ketika permintaan tiba dan balasan keluar melalui gateway lain, tidak ada perubahan DNS yang memperbaiki asimetri itu. Penangkapan di kedua sisi menyelesaikannya dalam satu percobaan, dan juga menunjukkan apakah penerjemahan menulis ulang sumber yang dibalas NAS. Administrator bertanggung jawab atas batas itu: izinkan hanya layanan yang diperlukan dan rentang klien VPN, lalu catat apakah perutean atau penerjemahan yang dipilih.
Syarat ketiga: apakah layanannya ada dan diizinkan?
Halaman manajemen dan layanan berbagi berkas adalah titik akhir berbeda pada mesin yang sama, dan yang satu bisa menerima koneksi sementara yang lain diblokir firewall host, konfigurasi layanan, atau izin berbagi. Perangkat yang menjawab dengan penolakan sudah membuktikan dua syarat pertama, sehingga syarat ketiga menyempit drastis.
Ujilah dengan akun yang benar-benar membutuhkan berkasnya, bukan akun administrator dari pemasangan, karena hak administratif tidak bisa memperbaiki rute yang hilang dan rute tidak bisa memberikan izin berbagi. Nama juga termasuk di sini: nama NAS yang ditemukan di rumah sering bergantung pada multicast lokal yang tidak dibawa tunnel berute, jadi cobalah nama host privat yang didokumentasikan vendor atau alamatnya sendiri untuk memisahkan penamaan dari akses.
Uji dari luar jaringan NAS, lalu perluas perlahan
Pengujian di LAN yang sama menyembunyikan setiap bagian jalur jarak jauh yang belum lengkap, karena itu percobaan jarak jauh pertama yang berhasil layak dicatat di log perubahan. Jalankan pemeriksaan dari klien yang hanya mencapai NAS melalui tunnel, dan simpan teks galat asli dari setiap percobaan.
nc -vz 10.40.7.25 445
smbclient -L 10.40.7.25 -U guestSetelah jalurnya bekerja, pindahkan berkas tak berbahaya dan pastikan perilaku baca atau tulis yang benar-benar Anda butuhkan. Jika transfer besar tersendat sementara yang kecil berhasil, masalah tersisa adalah penanganan ukuran paket atau kestabilan koneksi, bukan pengalamatan.
Jangan membuka port berbagi berkas atau administrasi ke internet untuk mengakali gangguan yang belum dijelaskan. Perbaiki jalur privatnya, pertahankan perangkat lunak NAS dalam dukungan, dan uji pemulihan semua yang Anda cadangkan melaluinya sebelum bergantung pada cadangan itu.