OpenVPN-ге қосылдыңыз, бірақ ping те SMB үлесі де жоқ па? Үш қақпаны тексеріңіз

Туннель көтеріледі, клиент мекенжай алады, бірақ алыс LAN-да ештеңе жауап бермейді. Ping сәтсіз аяқталады, үлес ашылмайды, ал VPN журналы таза көрінеді, өйткені оның көзқарасы бойынша сессия сау. Сол сессия мен сервердегі файлдың арасында үш тәуелсіз қақпа бар: қайта жіберу саясаты, қызметке қажет порттар және мекенжайдың орнына терген атауыңыз.

Әр қақпа әртүрлі белгімен сәтсіз болады, тек біріншісі ғана VPN серверінде.

Қайта жіберу — FORWARD тізбегіндегі саясат

OpenVPN тыңдаушысын қабылдау INPUT-та орындалады, сондықтан LAN-ға бағытталған әрбір пакет лақтырылып жатса да туннель қосыла алады. tun0 арқылы келіп, LAN интерфейсі арқылы шығатын трафик FORWARD-тан өтеді, ал онда әдепкі DROP саясаты бар хост оны үнсіз тастайды. Басқа нәрсеге тиіспес бұрын sysctl мен тізбекті де тексеріңіз: sysctl net.ipv4.ip_forward және iptables -L FORWARD -v -n.

Көздеген бағытты және оған тиесілі жауаптарды рұқсат етіңіз, мысалы туннель интерфейсінен LAN интерфейсіне accept ережесі және established пен related трафикке арналған stateful ереже. Егер LAN басқа маршрутизатордың артында болса, ол маршрутизаторға клиенттер пулына қайта оралатын маршрут немесе VPN серверінде source NAT керек. Жаңа ережелер қоспас бұрын сол жолды бір ping-мен растаңыз, өйткені жету мүмкін емес ереже ешқашан санағышта көрінбейді.

SMB-ге бір порт жеткіліксіз

Файл үлесі — бір ғана TCP 445 әңгімесі емес. Анықтау UDP 137 мен 138-ді қолданады, ескі NetBIOS сессиялары TCP 139-ды, ал заманауи SMB сессиялары TCP 445-ті қолданады. Тек 445-ті ашатын ереже салыстырылған дискі жұмыс істеп, желіні шолу жұмыс істемейтін немесе керісінше болатын ашулы жағдайды тудырады.

Туннель арқылы үлкен тасымалдар да сынған үлеске ұқсайтын MSS мәселелеріне тап болады. LAN-ның толық сегмент өлшемін жариялайтын SYN туннельдің кішірек MTU-сымен лақтырылады, ал қосылым қол алысудан кейін ілініп қалады. Қайта жіберу жолында MSS-ті шектеу, iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu, тоқыраудың осы түрін жояды. Каталог тізімінің орнына бірнеше мегабайт көшірмемен тексеріңіз, өйткені кіші жауаптар үлкен тасымалдар өтпеген кезде де өтеді.

Туннель адаптері жаңа желілік профиль ретінде келеді

Windows әр адаптерді желілік профильге жіктейді, ал жаңа туннель адаптері әдетте Public-ке түседі, онда файл мен принтер үлесінің ережелері бұғатталған. Бұл файл серверіндегі хост брандмауэрының шешімі, VPN серверіндегі маршруттау мәселесі емес. Саясат рұқсат беретініне көз жеткізгеннен кейін санатты әдейі өзгертіңіз Set-NetConnectionProfile -InterfaceAlias "Ethernet 3" -NetworkCategory Private арқылы, өйткені санат қандай кіріс ережелері қолданылатынын да өзгертеді.

Сол профиль TCP 445 сәтті болғанымен ping сәтсіз болатынын түсіндіреді: Public-те эхо сұраныстары әдепкі бойынша лақтырылады.

Атаулар маршрутталған туннельден өздігінен өтпейді

NetBIOS атауларын шешу және жергілікті анықтау маршрутталған туннель тасымалдамайтын хабарламаларға сүйенеді. Сондықтан сервердің қысқа атауын теру сәтсіз болады, ал оның мекенжайы жұмыс істейді, тек іздеу ғана бұзылса да үлес сынған болып көрінеді. Туннель беретін шешушіге сервер үшін DNS жазбасын қосыңыз немесе таңбашада мекенжайды қолданыңыз.

Егер орналастыру әлі WINS-ке тәуелді болса, хабарлама трафигі пайда болады деп күтудің орнына оны клиентте конфигурациялаңыз. Алдымен мекенжаймен тексеріңіз, атау ақауы брандмауэр ақауымен шатастырылмасын.

Бір уақытта бір қабатты тексеріп, бірінші ақауды оқыңыз

Төменнен жоғары жүріңіз: туннель қақпасына ping жасаңыз, LAN хостына мекенжаймен ping жасаңыз, содан кейін Test-NetConnection -ComputerName 10.8.0.5 -Port 445 арқылы қызмет портын ашыңыз, тек содан кейін үлеске аутентификация жасаңыз. Бірінші сәтсіз қадам — түзету керек қабат, ал одан кейінгі әрбір қадам ол өтпейінше шу. Порт жабық тұрса да ping жауап берсе, бұл файл серверінің өз брандмауэрын көрсетеді, ал үнсіз ping-ге қарамастан порт ашылса, ICMP сүзгілеуін көрсетеді. Бірдеңе өзгертер алдында бірінші сәтсіз қадамды жазып алыңыз, өйткені екінші өзгеріс біріншінің нәтижесін жасырады.

Егер VPN сервері LAN-ның маршрутизаторы болмаса, сол маршрутизаторда қайту маршрутын растаңыз серверге қосымша ережелер қоспас бұрын. Онсыз сұраныстар хостқа жетеді, ал жауаптар әдепкі маршрутпен интернетке шығады, бұл клиент жағынан брандмауэр лақтыруына дәл ұқсайды.

Жазбаларыңызда үлес тіркелгісін VPN кіруінен бөлек ұстаңыз, өйткені сәтті туннель файл рұқсаттары туралы ештеңе айтпайды. Жетіспейтін ережені айналып өту үшін SMB-ті интернетке шығару шешім емес.