NAS iwwer de VPN net erreechbar: Adress, Zréckwee oder Service?
En private Tunnel brauch eng Route zum NAS, en Äntwertwee an en erlaabten Service. Entscheet, wéi ee vun den dräi versot huet, ier Dir d'Zougangsdate ännert.
Tunnele kommen erop, d'Cliente kréien eng Adress, an den NAS äntwert iwwerhaapt net. Dat eenzegt Symptom deckt dräi onofhängeg Feeler of, an d'Reiefolleg, an där Dir se test, entscheet, wéi laang d'Reparatur dauert. D'Adresséierung kënnt als éischt, well en iwwerlappende Subnetz Är Ufro un en friemt Apparat schécke kann. Den Zréckwee kënnt als zweeten, well eng Ufro, déi ouni Äntwert ukommt, genee sou ausgesäit wéi e zouenen Service. De Service an d'Berechtegung kommen zu lescht, an eréischt nodeem déi zwéin éischt bewisen sinn.
Dräi Feeler, déi all als net erreechbar gelies ginn
Adresswahl, Zréck-Routing an d'Autorisatioun vum Service produzéieren déiselwecht sichtbar Matdeelung: et geschitt näischt. Si hunn ënnerschiddlech Beweiser, ënnerschiddlech Verantwortlech an ënnerschiddlech Korrekturen, dofir ass d'Trennung déi ganz Aufgab. En Ping, dee feelt, beweist fir sech widder wéineg, an eng gelungen TCP-Refus ass tatsächlech eng gutt Noriicht.
| Observation | Most likely conclusion |
|---|---|
| Route to the NAS address leaves the wrong interface | Overlapping or missing private route |
| Request visible on the server, no reply seen | Return path, gateway forwarding or translation |
| TCP connection refused rather than dropped | Reachable host, service not listening or filtered |
| TCP works, login or file access fails | Share permission, account or protocol version |
Liest d'Tabell als eng Reiefolleg vu Tester an net als eng Lëscht vun Ursaachen. All Zeil schränkt déi nächst an, well eng Refus schonn beweist, datt d'Adresséierung an den Zréckwee funktionéieren. Zwanzeg Minutten an Firewall-Reegele verbréngen, ier Dir kontrolléiert, wéi eng Interface d'Route gewielt huet, ass dee geleefegste Wee fir en Nomëtteg ze verléieren. Schafft vun uewen no ënnen a stoppt bei der éischter Zeil, déi passt.
Bedingung eng: ass déi Adress den richtegen Apparat?
Schreift den NAS-Subnetz op an de Beräich, deen de VPN de Cliente gëtt, a vergläicht béides mam Netzwierk, op deem Ären Laptop just elo ass. An dësem Duerchgang steet den NAS op 10.40.7.25 an de VPN-Pool ass 10.40.9.0/24, zwee getrennt privat Beräicher bannent engem Siteplang; en Haushalt, deen 192.168.0.0/24 oder 10.0.0.0/24 benotzt, huet eng vill méi grouss Chance, mat engem vun deene ze kollidéieren.
Wann dat lokal Netzwierk an den NAS-Netzwierk sech iwwerlappen, schéckt de Client deen Trafic op säin eegene Gateway a kann en onverbonnenen Apparat erreechen, deen zoufälleg déiselwecht Adress huet. Verifizéiert de Wee, ier Dir Zougangsdate an eppes tippt, wat äntwert.
ip -4 route get 10.40.7.25
traceroute -n -m 5 10.40.7.25Déi éischt Kommando nennt d'Interface an de Gateway, deen de Kernel géif benotzen, an déi zweet weist déi éischt Spréng, déi wierklech äntwerten. Wann déi zwou sech net eens sinn, gleeft der Upfro, well dat ass de Wee, deen de Paket huelen wäert. Eng Spronglëscht, déi ee Sprong virum NAS ophält, ass och eng Erkenntnis an net e Feeler. Eng Upfro, déi op den physeschen Adapter amplaz vum Tunnel opgeléist gëtt, mécht d'Enquête op dësem Punkt fäerdeg.
Bedingung zwee: kënnt d'Äntwert zréck?
De Client brauch eng Route Richtung NAS, an den NAS-Netzwierk brauch en Zréckwee Richtung VPN-Pool. Gateway-Weiderleedung, Firewall-Reegele an bewosst Iwwersetzung beaflossen all dee Paar. dem strongSwan seng Notizen zur Weiderleedung beschreiwen d'Wahlen fir Zréckroute an Iwwersetzung fir en private Subnetz hannert engem Gateway.
Wann d'Ufro ukommt an d'Äntwert iwwer en anere Gateway fortgeet, reparéiert keng DNS-Ännerung d'Asymmetrie. Eng Opnam op béide Säiten entscheet et an engem Versuch, an et weist och, ob d'Iwwersetzung d'Quell ëmgeschriwwen huet, op déi den NAS geäntwert huet. Den Administrateur ass Proprietär vun dëser Grenz: erlaabt nëmmen déi néideg Servicer an de VPN-Client-Beräich, a schreift op, ob Routing oder Iwwersetzung gewielt gouf.
Bedingung dräi: ass de Service do an erlaabt?
Eng Verwaltungssäit an e Fichierdeelungsservice sinn ënnerschiddlech Endpunkten op déiselwechter Këscht, an deen een kann Verbindungen unhuelen, während deen aneren duerch d'Host-Firewall, d'Servicekonfiguratioun oder eng Deelberechtegung blockéiert gëtt. En Apparat, dee mat enger Refus äntwert, huet déi zwou éischt Bedingunge scho bewisen, wat déi drëtt staark enk mécht.
Testt mam Kont, deen d'Fichiere wierklech brauch, net mam Administrateurkont aus der Installatioun, well Administrateursrechter keng fehlend Route kënnen reparéieren an eng Route keng Deelberechtegung ka ginn. Nimm gehéieren och hei: en NAS-Numm, deen doheem entdeckt gëtt, hänkt dacks vu lokalem Multicast of, deen en gerouteten Tunnel net dréit, also probéiert den dokumentéierte private Hostnumm vum Hiersteller oder d'Adress selwer, fir d'Nimmgebung vum Zougang ze trennen.
Testt vu baussen dem NAS-Netzwierk, a breet dann lues aus
En Test op der selwechter LAN verstoppt all onkompletten Deel vum entfernte Wee, an dofir verdéngt den éischten erfollegräichen entfernte Versuch eng Notiz am Ännerungsprotokoll. Féiert d'Kontrollen vun engem Client aus, deen den NAS nëmmen iwwer den Tunnel erreecht, a bewaart den ursprénglechen Feelertext vun all Versuch.
nc -vz 10.40.7.25 445
smbclient -L 10.40.7.25 -U guestSoubal de Wee funktionéiert, transferéiert eng harmlos Fichier a bestätegt d'Lies- oder Schreifverhalen, dat Dir wierklech braucht. Wann grouss Iwwerféierungen stocken, während kleng geléngen, ass de reschtleche Problem d'Behandlung vun der Paketgréisst oder d'Stabilitéit vun der Verbindung an net d'Adresséierung.
Publizéiert keng Fichierdeelungs- oder Verwaltungsporten um Internet, fir en onerklierte Feeler ze ëmgoen. Reparéiert de private Wee, haalt d'NAS-Software ënnerstëtzt, an testt d'Restauratioun vun allem, wat Dir driwwer séchert, ier Dir op dës Sécherung verloosst.