Tengdur við OpenVPN en ekkert ping eða SMB deiling? Athugaðu þrjú hlið

Göngin koma upp, biðlarinn fær tölu, og ekkert á fjarlæga LANinu svarar. Ping bregst, deilingin opnast ekki, og VPN skráin lítur hrein út því frá sjónarhóli hennar er lotan heilbrigð. Milli þeirrar lotu og skrár á þjóni standa þrjú óháð hlið: framsendingarstefnan, gáttirnar sem þjónustan þarf og nafnið sem þú slóst inn í stað tölu.

Hvert hlið bregst með öðrum einkennum, og aðeins það fyrsta er á VPN þjóninum.

Framsending er stefna á FORWARD keðjunni

Móttaka OpenVPN hlustandans fer fram á INPUT, þess vegna geta göngin tengst á meðan hver pakki sem stefnir á LANið er hent. Umferð sem kemur inn á tun0 og fer út um LAN viðmótið fer í gegnum FORWARD, og hýsing með sjálfgefna DROP stefnu þar hentir henni hljóðlaust. Athugaðu bæði sysctl og keðjuna áður en þú snertir nokkuð annað: sysctl net.ipv4.ip_forward og iptables -L FORWARD -v -n.

Leyfðu stefnuna sem þú vilt og svörin sem henni tilheyra, til dæmis accept reglu frá gönguviðmóti til LAN viðmóts auk stateful reglu fyrir established og related umferð. Ef LANið er bak við annan beini þarf sá beini leið til baka í biðlarahópinn eða source NAT á VPN þjóninum. Staðfestu þá leið með einu pingi áður en þú bætir við fleiri reglum, því regla sem ekki er hægt að ná í birtist aldrei í teljara.

SMB þarf fleiri en eina gátt

Skráadeiling er ekki eitt TCP 445 samtal. Uppgötvun notar UDP 137 og 138, eldri NetBIOS lotur nota TCP 139, og nútíma SMB lotur nota TCP 445. Regla sem opnar aðeins 445 skapar það ergjandi tilvik þar sem tengdur drif virkar og vafrað í netinu ekki, eða öfugt.

Stórar flutningar um göng lenda líka í MSS vandamálum sem líta út eins og brotin deiling. SYN sem tilkynnir fulla segulstærð LANsins er hent vegna minni MTU ganganna, og tengingin hangir eftir handabandið. Þrenging MSS á framsendingarleiðinni, iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu, fjarlægir þá tegund stöðvunar. Staðfestu með afriti af nokkrum megabætum í stað skráarlista, því lítil svör komast í gegn jafnvel þótt stórir flutningar geri það ekki.

Gangaaðlögunin kemur sem nýr netprófíll

Windows flokkar hverja aðlögun í netprófíl, og ný gangaaðlögun lendir venjulega í Public, þar sem reglur um skráa- og prentaradeilingu eru lokaðar. Það er ákvörðun hýsingar eldveggsins á skráaþjóninum, ekki leiðarvandamál á VPN þjóninum. Breyttu flokknum viljandi með Set-NetConnectionProfile -InterfaceAlias "Ethernet 3" -NetworkCategory Private eftir að hafa staðfest að stefnan leyfi það, því flokkurinn breytir líka hvaða innkomu reglur gilda.

Sami prófíll skýrir ping sem bregst meðan TCP 445 tekst: bergmálsbeiðnum er hent í Public sjálfgefið.

Nöfn fara ekki yfir beitt göng sjálf

NetBIOS nafnupplausn og staðbundin uppgötvun byggja á útsendingum sem beitt göng flytja ekki. Þess vegna bregst það að slá inn stutta nafn þjónsins meðan talan hans virkar, og deilingin lítur brotin út þegar aðeins uppflettingin er brotin. Bættu við DNS færslu fyrir þjóninn í upplausnaranum sem göngin úthluta, eða notaðu töluna í flýtileiðinni.

Ef uppsetningin byggir enn á WINS skaltu stilla það á biðlaranum í stað þess að vona að útsendingarumferð birtist. Prófaðu fyrst með tölu svo nafnbrestur sé ekki tekinn fyrir eldveggsbrest.

Prófaðu eitt lag í einu og lestu fyrsta brestinn

Farðu upp á við: pingaðu gátt ganganna, pingaðu LAN hýsingu með tölu, opnaðu svo gátt þjónustunnar með Test-NetConnection -ComputerName 10.8.0.5 -Port 445, og aðeins þá auðkennir þú þig á deilingunni. Fyrsta skrefið sem bregst er lagið sem á að laga, og hvert síðara skref er hávaði þar til það gengur. Ping sem svarar meðan gáttin er lokuð bendir á eigin eldvegg skráaþjónsins, meðan gátt sem opnast þrátt fyrir hljóðlaus ping bendir á ICMP síun. Skrifaðu niður fyrsta brestandi skrefið áður en þú breytir nokkuð, því önnur breyting hylur niðurstöðu þeirrar fyrstu.

Ef VPN þjónninn er ekki beini LANsins, staðfestu afturleiðina á þeim beini áður en þú bætir fleiri reglum við þjóninn. Án hennar ná beiðnir til hýsingarinnar og svör fara sjálfgefnu leiðina í átt að internetinu, sem frá sjónarhóli biðlarans lítur nákvæmlega út eins og eldveggshending.

Haltu deilingarreikningnum aðskildum frá VPN innskráningunni í athugasemdunum þínum, því heppin göng segja ekkert um skráaheimildir. Að afhjúpa SMB á internetinu til að komast hjá vantar reglu er ekki lausn.