OpenVPN’ге туташтыңыз, бирок ping да SMB бөлүшүү да жокпу? Үч дарбазаны текшериңиз

Туннель көтөрүлөт, кардар дарек алат, бирок алыскы LAN’да эч нерсе жооп бербейт. Ping ийгиликсиз болот, бөлүшүү ачылбайт, VPN журналы таза көрүнөт, анткени анын көз карашы боюнча сессия соо. Ошол сессия менен сервердеги файлдын ортосунда үч көз карандысыз дарбаза бар: өткөрүп берүү саясаты, кызматка керек порттор жана даректин ордуна терген атыңыз.

Ар бир дарбаза ар башка белги менен ийгиликсиз болот, жана биринчиси гана VPN серверинде.

Өткөрүп берүү — FORWARD тизмегиндеги саясат

OpenVPN угуучусун кабыл алуу INPUT’то болот, ошондуктан LAN’га багытталган ар бир пакет ыргытылып жатса да туннель туташа алат. tun0 аркылуу келип, LAN интерфейси аркылуу чыккан трафик FORWARD’тон өтөт, ал эми ал жерде демейки DROP саясаты бар хост аны унчукпай таштайт. Башка нерсеге тийүүдөн мурун sysctl менен тизмекти текшериңиз: sysctl net.ipv4.ip_forward жана iptables -L FORWARD -v -n.

Көздөгөн багытты жана ага тиешелүү жоопторду уруксат кылыңыз, мисалы туннель интерфейсинен LAN интерфейсине accept эрежеси жана established менен related трафикке stateful эреже. Эгер LAN башка маршрутизатордун артында болсо, ал маршрутизаторго кардарлар пулуна кайтуучу маршрут же VPN серверинде source NAT керек. Жаңы эрежелерди кошуудан мурун ошол жолду бир ping менен ырастаңыз, анткени жетүү мүмкүн болбогон эреже эч качан эсептегичте көрүнбөйт.

SMB’ге бир порт жетишсиз

Файл бөлүшүү — бир гана TCP 445 сүйлөшүүсү эмес. Аныктоо UDP 137 менен 138’ди колдонот, эски NetBIOS сессиялары TCP 139’ду, ал эми заманбап SMB сессиялары TCP 445’ти колдонот. Бир гана 445’ти ачкан эреже салыштырылган диск иштеп, тармакты карап чыгуу иштебеген же тескерисинче болгон кыжырданган абалды жаратат.

Туннель аркылуу чоң өткөрүүлөр да бузулган бөлүшүүгө окшош MSS көйгөйлөрүнө туш болот. LAN’дын толук сегмент өлчөмүн жарыялаган SYN туннелдин кичине MTU’су менен ыргытылат, ал эми байланыш кол алышуудан кийин илинип калат. Өткөрүп берүү жолунда MSS’ти чектөө, iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu, токтоп калуунун ушул түрүн жок кылат. Каталог тизмесинин ордуна бир нече мегабайт көчүрмө менен текшериңиз, анткени кичине жооптор чоң өткөрүүлөр өтпөгөндө да өтөт.

Туннель адаптери жаңы тармак профили катары келет

Windows ар бир адаптерди тармак профилине бөлөт, ал эми жаңы туннель адаптери адатта Public’ке түшөт, ал жерде файл жана принтер бөлүшүү эрежелери бөгөлгөн. Бул файл сервериндеги хост брандмауэринин чечими, VPN сервериндеги маршруттоо көйгөйү эмес. Саясат уруксат берерин текшергенден кийин категорияны атайын өзгөртүңүз Set-NetConnectionProfile -InterfaceAlias "Ethernet 3" -NetworkCategory Private аркылуу, анткени категория кайсы кирүү эрежелери колдонулаарын да өзгөртөт.

Ушул эле профиль TCP 445 ийгиликтүү болгону менен ping ийгиликсиз болушун түшүндүрөт: Public’те эхо сурамдары демейки боюнча ыргытылат.

Аттар маршрутталган туннелден өз алдынча өтпөйт

NetBIOS аттарын чечүү жана жергиликтүү аныктоо маршрутталган туннель ташыбаган трансляцияларга таянат. Ошондуктан сервердин кыска атын теруу ийгиликсиз болот, ал эми анын дареги иштейт, жана издөө гана бузулса да бөлүшүү бузулгандай көрүнөт. Туннель берген чечүүчүгө сервер үчүн DNS жазуусун кошуңуз же кыска жолдо даректи колдонуңуз.

Эгер жайгаштыруу дагы эле WINS’ке көз каранды болсо, трансляция трафиги пайда болот деп күтүүнүн ордуна аны кардарда конфигурациялаңыз. Адегенде дарек менен текшериңиз, аттын бузулушу брандмауэрдин бузулушу менен чаташтырылбасын.

Бир убакта бир катмарды сынап, биринчи ийгиликсиздикти окуңуз

Төмөндөн жогору жүрүңүз: туннель дарбазасына ping жасаңыз, LAN хостко дарек менен ping жасаңыз, анан Test-NetConnection -ComputerName 10.8.0.5 -Port 445 аркылуу кызматтын портун ачыңыз, жана ошондон кийин гана бөлүшүүгө аутентификация жасаңыз. Биринчи ийгиликсиз кадам — оңдоо керек болгон катмар, ал эми андан кийинки ар бир кадам ал өтмөйүнчө ызы-чуу. Порт жабык турса да ping жооп берсе, бул файл серверинин өз брандмауэрин көрсөтөт, ал эми унчукпас ping’дерге карабастан порт ачылса, ICMP чыпкалоосун көрсөтөт. Бир нерсени өзгөртүүдөн мурун биринчи ийгиликсиз кадамды жазып коюңуз, анткени экинчи өзгөртүү биринчинин жыйынтыгын жашырат.

Эгер VPN сервери LAN’дын маршрутизатору болбосо, ошол маршрутизатордо кайтуу маршрутун ырастаңыз серверге кошумча эрежелерди кошуудан мурун. Ансыз сурамдар хостко жетет, ал эми жооптор демейки маршрут менен интернетке чыгат, бул кардар тараптан брандмауэрдин ыргытуусуна так окшош.

Жазууларыңызда бөлүшүү эсебин VPN кирүүсүнөн өзүнчө кармаңыз, анткени ийгиликтүү туннель файл укуктары жөнүндө эч нерсе айтпайт. Жетишпеген эрежени айланып өтүү үчүн SMB’ти интернетке чыгаруу чечим эмес.