დამაურთავი დისკი საიტის VPN-ით: DNS, SMB და UNC გზა
ქსელის აღმოჩენა მარშრუტიზებულ კავშირს არ კვეთს, მაგრამ დასახელებული UNC გზა კვეთს. მიმართეთ DNS სერვერზე, გახსენით SMB ორივე მიმართულებით და შემდეგ დააურთეთ დისკი.
გამომძიებელში გვერდი ქსელი აჩვენებს მოწყობილობებს, რომლებმაც თავი გამოაცხადეს ლოკალურ სეგმენტში, და მარშრუტიზებული გვირაბი არცერთ ამ განცხადებას არ გადაიტანს. ამიტომ სერვერი შეიძლება სრულად ხელმისაწვდომი იყოს, სანამ მომხმარებლის წინ ფანჯარა ცარიელი რჩება. დასახელებული UNC გზა საერთოდ არ არის დამოკიდებული აღმოჩენაზე, და გადაწყვეტაა სახელის ამოხსნა და პორტის პასუხი. ცარიელი ფანჯარა არასწორი შრის სიმპტომია და არა გატეხილი საერთო საქაღალდის.
აღმოჩენა არ არის იგივე, რაც ხელმისაწვდომობა
Windows ახლომდებარე მანქანებს პოულობს მაუწყებლობის დომენისთვის განკუთვნილი პროტოკოლებით და შემდეგ ნაპოვნს მოხერხებულობის სიად წარმოადგენს. ამ სიიდან არაფერია საჭირო SMB ფაილებზე წვდომისთვის. კლიენტი, რომელმაც იცის სერვერის სახელი და აღწევს TCP 445-ს, გახსნის საერთო საქაღალდეს, გამოჩნდება თუ არა მანქანა ოდესმე ქსელში.
ორი შრე ერთმანეთისგან დამოუკიდებლად ფუჭდება, ამიტომ "ვერ ვხედავ" და "ვერ ვხსნი" სხვადასხვა გამოცდას იმსახურებს. სიაზე ყურება აღმოჩენაზე გვეუბნება; გზის გახსნა სერვისზე გვეუბნება.
დაასახელეთ სერვერი, სანამ საერთო საქაღალდეს დააურთებთ
გამოაქვეყნეთ ფაილური სერვერი DNS-ში იმ მისამართით, რომელიც მას მეორე მხარეს აქვს, და მიმართეთ კლიენტის საიტი რეზოლვერზე, რომელსაც შეუძლია ამ ზონაზე პასუხი. სრულად კვალიფიცირებული სახელი თავიდან აიცილებს ლოკალურ სუფიქსთა საძიებო სიაზე დამოკიდებულებას, რაც ჩვეულებრივი მიზეზია იმისა, რომ მოკლე სახელი ერთ საიტზე მუშაობს, მეორეზე კი არა.
თუ გარემო იყენებს Active Directory-ს, სახელთა ამოხსნა ავთენტიფიკაციის ნაწილიცაა: კლიენტმა უნდა მიაღწიოს დომენის კონტროლერს Kerberos-ისთვის, და ზედმეტად გადახრილი საათი ბილეთების გაცვლას ჩააფლავს. ეს SMB ხელმისაწვდომობისგან განსხვავებული პრობლემაა და საიდენტიფიკაციო მონაცემების შეცდომას ჰგავს. შეამოწმეთ დომენის კონტროლერი, სანამ პაროლს ხელახლა აკრიფებთ.
| Layer | What it needs | Symptom when missing |
|---|---|---|
| Name resolution | A DNS answer for the server name | Path cannot be found, ping by IP still works |
| Transport | TCP 445 open in both directions | Connection times out or is refused |
| Authentication | A reachable domain controller and correct clock | Access is denied after the port connects |
| Authorization | Share permission and filesystem permission | The share opens but the folder is inaccessible |
მარშრუტიზაცია და ფილტრაცია ორივე მიმართულებით
საიტებს შორის გვირაბს სჭირდება შორეული პრეფიქსი ლოკალურ მარშრუტიზაციის ცხრილში და ლოკალური პრეფიქსი შორეულში, ხოლო თითოეულ მხარეს ქსელური ფარი უნდა უშვებდეს შემომავალ ტრაფიკს. ცალმხრივი კონფიგურაცია ქმნის კავშირს, რომელიც იხსნება და არასდროს პასუხობს, რასაც მომხმარებლები საერთო საქაღალდის ნელობად აღწერენ. პირველად შეამოწმეთ თავად გვირაბის მთვლელები. თუ პაკეტები გადის და არაფერი ბრუნდება, მოძებნეთ დაბრუნების მარშრუტი ან შორეული ფილტრი.
WireGuard-ში პარტნიორის დაშვებული IP-ები და ოპერაციული სისტემის მარშრუტები უნდა შეესაბამებოდეს ამ გეგმას. გვირაბი პაკეტებს გადაიტანს; ის არ უზრუნველყოფს DNS ჩანაწერებს ან საერთო საქაღალდის ნებართვებს არცერთ მხარეს.
ქსელური ფარის წესი ააგეთ რეალურ წყარო ქსელზე, რომელიც დაუკავშირდება, და ჩაწერეთ გამონაკლისი. თუ გეგმა სადმე გზაზე მისამართებს თარგმნის, წესმა უნდა გამოიყენოს თარგმნილი წყარო, და კლიენტის თავდაპირველი მისამართი ჟურნალებში აღარ ჩანს.
გაიარეთ ავთენტიფიკაცია, შემდეგ დააურთეთ დისკი
გაიარეთ შრეები ბრძანებებით და არა გამომძიებლის ფანჯრით:
Resolve-DnsName -Name files.corp.example -Type A
Test-NetConnection -ComputerName files.corp.example -Port 445
net use Z: \\files.corp.example\Projects /persistent:noმეორე ბრძანება ამტკიცებს TCP გზას და არა რაიმეს წაკითხვის უფლებას. მესამე არის ადგილი, სადაც ავთენტიფიკაცია და ავტორიზაცია ხორციელდება, და იქაური წარუმატებლობა უნდა გაგიშვათ საერთო საქაღალდისა და ფაილური სისტემის ნებართვებთან და არა უკან მარშრუტიზატორთან.
შეინარჩუნეთ SMB ხელმოწერა და არსებული ავთენტიფიკაციის პოლიტიკა უცვლელი. ცხადი გზისთვის SMB1-ის ხელახლა ჩართვა ან აღმოჩენის მაუწყებლობის გვირაბში გატარება არ არის საჭირო, და TCP 445 უნდა დარჩეს კერძო გზაზე და არა ინტერნეტისკენ მიმართულ გადამისამართებაზე. მიეცით მომხმარებლებს მართული მალსახმობი ან დაურთავი დისკი დამტკიცებულ სახელზე, და ცარიელი გვერდი ქსელი აღარ იქნება მნიშვნელოვანი.