NAS მიუწვდომელია VPN-ით: მისამართი, დაბრუნების გზა თუ სერვისი?
პირად ტუნელს სჭირდება მარშრუტი NAS-მდე, პასუხის გზა და დაშვებული სერვისი. დაადგინეთ, სამიდან რომელი ჩავარდა, სანამ შესვლის მონაცემებს შეცვლით.
ტუნელები ადის, კლიენტები იღებენ მისამართს, NAS კი საერთოდ არ პასუხობს. ეს ერთი სიმპტომი სამ დაუკავშირებელ ხარვეზს ფარავს და მათი შემოწმების რიგი განსაზღვრავს, რამდენ ხანს გასტანს შეკეთება. მისამართება პირველია, რადგან გადაფარვადი ქვექსელი შეიძლება თქვენი მოთხოვნა უცხო მოწყობილობას გაუგზავნოს. დაბრუნების გზა მეორეა, რადგან პასუხის გარეშე მოსული მოთხოვნა ზუსტად დახურულ სერვისს ჰგავს. სერვისი და ნებართვა ბოლოა და მხოლოდ პირველი ორის დამტკიცების შემდეგ.
სამი ხარვეზი, რომლებიც ყველა მიუწვდომლად იკითხება
მისამართის არჩევა, დაბრუნების მარშრუტიზაცია და სერვისის ავტორიზაცია ერთსა და იმავე ხილულ შეტყობინებას იძლევა: არაფერი ხდება. მათ აქვთ განსხვავებული მტკიცებულებები, განსხვავებული პასუხისმგებლები და განსხვავებული შესწორებები, ამიტომ მათი გამოყოფა მთელი ამოცანაა. წარუმატებელი ping თავისთავად ცოტას ამტკიცებს, ხოლო წარმატებული TCP უარი სინამდვილეში კარგი ამბავია.
| Observation | Most likely conclusion |
|---|---|
| Route to the NAS address leaves the wrong interface | Overlapping or missing private route |
| Request visible on the server, no reply seen | Return path, gateway forwarding or translation |
| TCP connection refused rather than dropped | Reachable host, service not listening or filtered |
| TCP works, login or file access fails | Share permission, account or protocol version |
წაიკითხეთ ცხრილი როგორც შემოწმებების რიგი და არა როგორც მიზეზების სია. ყოველი სტრიქონი ზღუდავს შემდეგს, რადგან უარი უკვე ამტკიცებს, რომ მისამართება და დაბრუნების გზა მუშაობს. ცეცხლის კედლის წესებში ოცი წუთის გატარება იმის შემოწმებამდე, თუ რომელი ინტერფეისი აირჩია მარშრუტმა, შუადღის დაკარგვის ყველაზე გავრცელებული გზაა. იმუშავეთ ზემოდან ქვემოთ და გაჩერდით პირველ შესაბამის სტრიქონზე.
პირველი პირობა: არის თუ არა ეს მისამართი სწორი მოწყობილობა?
ჩაიწერეთ NAS-ის ქვექსელი და დიაპაზონი, რომელსაც VPN კლიენტებს აძლევს, და ორივე შეადარეთ იმ ქსელს, რომელშიც ახლა თქვენი ლეპტოპია. ამ მიმოხილვაში NAS არის 10.40.7.25-ზე, ხოლო VPN-ის აუზი არის 10.40.9.0/24, ორი ცალკე პირადი დიაპაზონი ერთი ობიექტის გეგმაში; შინამეურნეობას, რომელიც იყენებს 192.168.0.0/24 ან 10.0.0.0/24-ს, გაცილებით მეტი შანსი აქვს ერთ-ერთ მათგანს შეეჯახოს.
როცა ადგილობრივი ქსელი და NAS-ის ქსელი ერთმანეთს გადაფარავს, კლიენტი ამ ტრაფიკს საკუთარ კარიბჭესთან აგზავნის და შეიძლება მოუკავშირებელ მოწყობილობამდე მივიდეს, რომელსაც შემთხვევით იგივე მისამართი აქვს. გადაამოწმეთ გზა, სანამ შესვლის მონაცემებს რომელიმე მპასუხობელში ჩაწერთ.
ip -4 route get 10.40.7.25
traceroute -n -m 5 10.40.7.25პირველი ბრძანება ასახელებს ინტერფეისს და კარიბჭეს, რომელსაც ბირთვი გამოიყენებდა, ხოლო მეორე აჩვენებს პირველ ნახტომებს, რომლებიც ნამდვილად პასუხობენ. თუ ორივე არ ემთხვევა, ერთგული იყავით ძიების, რადგან ეს არის გზა, რომლითაც პაკეტი წავა. ნახტომების სია, რომელიც NAS-ამდე ერთი ნახტომით ადრე ჩერდება, ასევე აღმოჩენაა და არა მარცხი. ძიება, რომელიც ფიზიკურ ადაპტერზე წყდება და არა ტუნელზე, ამ წერტილში ასრულებს გამოძიებას.
მეორე პირობა: ბრუნდება პასუხი?
კლიენტს სჭირდება მარშრუტი NAS-მდე, ხოლო NAS-ის ქსელს სჭირდება დაბრუნების გზა VPN-ის აუზამდე. კარიბჭის გადაცემა, ცეცხლის კედლის წესები და განზრახ მისამართების თარგმნა თითოეული ამ წყვილზე მოქმედებს. strongSwan-ის შენიშვნები გადაცემის შესახებ აღწერს დაბრუნების მარშრუტისა და თარგმნის არჩევანს კარიბჭის უკან მდებარე პირადი ქვექსელისთვის.
როცა მოთხოვნა მოდის და პასუხი სხვა კარიბჭით გადის, არც ერთი DNS ცვლილება არ ასწორებს ასიმეტრიას. ჩანაწერი ორივე მხარეს ამას ერთი მცდელობით წყვეტს და ასევე აჩვენებს, გადაწერა თუ არა თარგმნამ ის წყარო, რომელსაც NAS უპასუხა. ადმინისტრატორი ამ საზღვარზეა პასუხისმგებელი: დაუშვით მხოლოდ საჭირო სერვისები და VPN კლიენტების დიაპაზონი, და ჩაწერეთ, მარშრუტიზაცია თუ თარგმნა აირჩიეს.
მესამე პირობა: სერვისი იქაა და დაშვებულია?
მართვის გვერდი და ფაილების გაზიარების სერვისი ერთი და იმავე მანქანის სხვადასხვა ბოლო წერტილია და ერთი შეიძლება კავშირებს იღებდეს, სანამ მეორეს ჰოსტის ცეცხლის კედელი, სერვისის კონფიგურაცია ან გაზიარების ნებართვა ბლოკავს. მოწყობილობა, რომელიც უარით პასუხობს, უკვე დაამტკიცა პირველი ორი პირობა, რაც მესამეს საგრძნობლად ავიწროებს.
შეამოწმეთ იმ ანგარიშით, რომელსაც ფაილები ნამდვილად სჭირდება და არა ინსტალაციის დროს გამოყენებული ადმინისტრატორის ანგარიშით, რადგან ადმინისტრატორის უფლებებს არ შეუძლია დაკარგული მარშრუტის შეკეთება და მარშრუტს არ შეუძლია გაზიარების ნებართვის მიცემა. სახელებიც აქ მოდის: სახლში აღმოჩენილი NAS-ის სახელი ხშირად ადგილობრივ multicast-ზეა დამოკიდებული, რომელსაც მარშრუტიზებული ტუნელი არ ატარებს, ამიტომ სცადეთ მწარმოებლის დოკუმენტირებული პირადი ჰოსტის სახელი ან თავად მისამართი, რათა დასახელება წვდომისგან გააცალკევოთ.
შეამოწმეთ NAS-ის ქსელის გარედან, შემდეგ ნელა გააფართოვეთ
იმავე LAN-ში ჩატარებული ტესტი მალავს შორეული გზის ყოველ არასრულ ნაწილს, ამიტომ პირველი წარმატებული შორეული მცდელობა ცვლილებების ჟურნალში ჩანაწერს იმსახურებს. შეასრულეთ შემოწმებები კლიენტიდან, რომელიც NAS-ს მხოლოდ ტუნელით აღწევს, და შეინახეთ ყოველი მცდელობის საწყისი შეცდომის ტექსტი.
nc -vz 10.40.7.25 445
smbclient -L 10.40.7.25 -U guestროცა გზა მუშაობს, გადაიტანეთ უვნებელი ფაილი და დაადასტურეთ კითხვის ან ჩაწერის ის ქცევა, რომელიც ნამდვილად გჭირდებათ. თუ დიდი გადატანები ჩერდება, პატარები კი წარმატდება, დარჩენილი პრობლემა პაკეტის ზომის დამუშავება ან კავშირის სტაბილურობაა და არა მისამართება.
ნუ გამოაქვეყნებთ ფაილების გაზიარების ან მართვის პორტებს ინტერნეტში აუხსნელი ხარვეზის თავიდან ასაცილებლად. შეაკეთეთ პირადი გზა, შეინახეთ NAS-ის პროგრამული უზრუნველყოფა მხარდაჭერილი და შეამოწმეთ ყველაფრის აღდგენა, რასაც მის მეშვეობით არქივებთ, სანამ ამ სარეზერვო ასლს დაეყრდნობით.