Mat OpenVPN verbonnen awer kee Ping an och net eng SMB-Fräigab? Dräi Paarten iwwerpréiwen

Den Tunnel kënnt erop, de Client kritt eng Adress, an et äntwert näischt op der wäiter LAN. De Ping feelt, d’Fräigab geet net op, an de VPN-Log gesäit propper aus, well aus senger Siicht ass d’Sessioun gesond. Tëscht där Sessioun an enger Datei op engem Server stinn dräi onofhängeg Paarten: d’Weiderleedungspolitik, d’Porten déi de Service brauch, an den Numm deen s du amplaz vun enger Adress agetippt hues.

All Paart feelt mat engem aneren Symptom, an nëmmen déi éischt ass um VPN-Server.

Weiderleedung ass eng Politik op der FORWARD-Kette

D’Uname vum OpenVPN-Listener geschitt op INPUT, dofir kann den Tunnel sech verbannen, während all Pak dat op d’LAN geet verworf gëtt. Den Trafick deen op tun0 ukënnt an iwwer d’LAN-Interface erausgeet, geet duerch FORWARD, an en Host mat enger Standard-DROP-Politik do verwërft en stëll. Iwwerpréif souwuel de sysctl wéi och d’Kette ier s du eppes anescht uschléis: sysctl net.ipv4.ip_forward an iptables -L FORWARD -v -n.

Erlaab déi Richtung déi s du wëlls an d’Äntwerten déi dozou gehéieren, zum Beispill eng accept-Reegel vum Tunnel-Interface op d’LAN-Interface plus eng stateful-Reegel fir established an related Trafick. Wann d’LAN hannert engem aneren Router steet, brauch dee Router eng Route zréck op de Client-Pool oder source NAT um VPN-Server. Bestäteg dee Wee mat engem eenzegen Ping ier s du méi Reegelen derbäisetz, well eng Reegel déi een net erreeche kann ni an engem Zähler erschéngt.

SMB brauch méi wéi eng Port

Dateifräigab ass net eng eenzeg TCP 445-Konversatioun. D’Entdeckung benotzt UDP 137 an 138, méi al NetBIOS-Sessiounen benotzen TCP 139, an modern SMB-Sessiounen benotzen TCP 445. Eng Reegel déi nëmmen 445 opmécht erzeugt dee frustréierende Fall wou eng gemappte Drive funktionnéiert an d’Duerchsiche vum Netz net, oder ëmgedréit.

Grouss Iwwerdroungen duerch en Tunnel triede och op MSS-Problemer déi wéi eng futti Fräigab ausgesinn. En SYN deen déi voll Segmentgréisst vun der LAN ugeet gëtt vun der méi klenger MTU vum Tunnel verworf, an d’Verbindung hänkt nom Handshake. MSS-Begrenzung um Weiderleedungswee, iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu, hëlleft dës Zort vum Stoe stoppen. Iwwerpréif mat enger Kopie vu e puer Megabyte amplaz enger Verzeechneslëscht, well kleng Äntwerten duerchkommen och wann grouss Iwwerdroungen et net maachen.

Den Tunneladapter kënnt als en neien Netzwierkprofil

Windows klassifizéiert all Adapter an engem Netzwierkprofil, an en neien Tunneladapter landt meeschtens an Public, wou d’Reegelen fir Datei- a Printerfräigab blockéiert sinn. Dat ass eng Entscheedung vun der Host-Firewall um Dateiserver, keen Routingproblem um VPN-Server. Änner d’Kategorie bewosst mat Set-NetConnectionProfile -InterfaceAlias "Ethernet 3" -NetworkCategory Private nodeems s du bestätegt hues datt d’Politik et erlaabt, well d’Kategorie och ännert wéi eng Inbound-Reegelen zielen.

Deem selwechte Profil erkläert e Ping deen feelt während TCP 445 geléngt: Echo-Ufroe ginn an Public standardméisseg verworfen.

Nimm iwwerqueren en gerouteten Tunnel net vu selwer

NetBIOS-Nummopléisung an lokal Entdeckung baséieren op Broadcasten déi en gerouteten Tunnel net dréit. Dofir feelt et beim Tippe vum kuerzen Numm vum Server während seng Adress funktionnéiert, an d’Fräigab gesäit futti aus wéi nëmmen d’Ufro futti ass. Setz en DNS-Record fir de Server beim Resolver derbäi deen den Tunnel gëtt, oder benotz d’Adress am Shortcut.

Wann d’Deployement nach ëmmer op WINS setzt, konfiguréier et um Client amplaz ze hoffen datt Broadcast-Trafick erschéngt. Test éischt mat Adress sou datt e Nummfeeler net mat engem Firewallfeeler verwiesselt gëtt.

Test eng Schicht op eemol a lies den éischte Feeler

Schaff dech no uewen: ping de Tunnel-Gateway, ping en LAN-Host mat Adress, da maach de Service-Port op mat Test-NetConnection -ComputerName 10.8.0.5 -Port 445, an eréischt dunn authentifizéier dech op der Fräigab. Den éischte Schrëtt dee feelt ass d’Schicht déi muss gefléckt ginn, an all weideren Schrëtt ass Kaméidi bis dee virun duerchgeet. E Ping deen äntwert während de Port zou bleift weist op d’Firewall vum Dateiserver selwer, während e Port deen opgeet trotz stille Pings op ICMP-Filterung weist. Schreib den éischte feelende Schrëtt op ier s du eppes änderst, well eng zweet Ännerung d’Resultat vun der éischter verstoppt.

Wann de VPN-Server net de Router vun der LAN ass, bestäteg d’Zeréckroute op deem Router ier s du dem Server méi Reegelen derbäisetz. Ouni si erreechen d’Ufroe den Host an d’Äntwerten verloossen iwwer d’Standardroute Richtung Internet, wat vun der Client-Säit genee wéi en Firewall-Drop ausgesäit.

Hal d’Fräigabskonto an dengen Notizen getrennt vum VPN-Login, well en erfollegräichen Tunnel näischt iwwer Dateirechter seet. SMB op den Internet exportéieren fir eng feelend Reegel z’ëmgoen ass keng Léisung.