NAS nepasiekiamas per VPN: adresas, grįžimo kelias ar paslauga?
Privačiam tuneliui reikia maršruto iki NAS, atsakymo kelio ir leidžiamos paslaugos. Nuspręskite, kuri iš trijų nepavyko, prieš keisdami prisijungimo duomenis.
Tuneliai pakyla, klientai gauna adresą, o NAS visiškai neatsako. Šis vienas simptomas apima tris nesusijusius gedimus, o jų tikrinimo tvarka lemia, kiek truks remontas. Adresavimas eina pirmas, nes persidengiantis potinklis gali nusiųsti užklausą svetimam įrenginiui. Grįžimo kelias eina antras, nes užklausa, atkeliavusi be atsakymo, atrodo lygiai taip pat kaip uždaryta paslauga. Paslauga ir leidimas eina paskutiniai, ir tik po to, kai įrodyti pirmieji du.
Trys gedimai, kurie visi skaitomi kaip nepasiekiama
Adreso pasirinkimas, grįžimo maršrutizavimas ir paslaugos autorizavimas sukuria tą patį matomą pranešimą: nieko nevyksta. Jie turi skirtingus įrodymus, skirtingus atsakinguosius ir skirtingus pataisymus, todėl jų atskyrimas ir yra visas darbas. Nepavykęs ping pats savaime mažai įrodo, o sėkmingas TCP atmetimas iš tikrųjų yra gera žinia.
| Observation | Most likely conclusion |
|---|---|
| Route to the NAS address leaves the wrong interface | Overlapping or missing private route |
| Request visible on the server, no reply seen | Return path, gateway forwarding or translation |
| TCP connection refused rather than dropped | Reachable host, service not listening or filtered |
| TCP works, login or file access fails | Share permission, account or protocol version |
Skaitykite lentelę kaip testų tvarką, o ne kaip priežasčių sąrašą. Kiekviena eilutė apriboja kitą, nes atmetimas jau įrodo, kad adresavimas ir grįžimo kelias veikia. Praleisti dvidešimt minučių ugniasienės taisyklėse prieš patikrinant, kurį sąsają pasirinko maršrutas, yra dažniausias būdas prarasti popietę. Dirbkite iš viršaus į apačią ir sustokite ties pirmąja tinkančia eilute.
Pirma sąlyga: ar tas adresas yra tinkamas įrenginys?
Užsirašykite NAS potinklį ir diapazoną, kurį VPN skiria klientams, ir palyginkite abu su tinklu, kuriame dabar yra jūsų nešiojamasis kompiuteris. Šioje apžvalgoje NAS yra 10.40.7.25, o VPN telkinys yra 10.40.9.0/24, du atskiri privatūs diapazonai viename vietos plane; namų ūkis, kuris naudoja 192.168.0.0/24 arba 10.0.0.0/24, turi daug didesnę galimybę susidurti su vienu iš jų.
Kai vietinis tinklas ir NAS tinklas persidengia, klientas siunčia tą srautą į savo šliuzą ir gali pasiekti nesusijusį įrenginį, kuris atsitiktinai turi tą patį adresą. Patikrinkite kelią prieš įvesdami prisijungimo duomenis į bet ką, kas atsako.
ip -4 route get 10.40.7.25
traceroute -n -m 5 10.40.7.25Pirmoji komanda nurodo sąsają ir šliuzą, kuriuos naudotų branduolys, o antroji parodo pirmuosius šuolius, kurie tikrai atsako. Jei abu nesutampa, tikėkite paieška, nes tai kelias, kuriuo eis paketas. Šuolių sąrašas, sustojantis vienu šuoliu prieš NAS, taip pat yra radinys, o ne nesėkmė. Paieška, kuri išsprendžiama į fizinį adapterį, o ne į tunelį, baigia tyrimą šioje vietoje.
Antra sąlyga: ar atsakymas grįžta?
Klientui reikia maršruto iki NAS, o NAS tinklui reikia grįžimo kelio iki VPN telkinio. Šliuzo persiuntimas, ugniasienės taisyklės ir sąmoningas adresų vertimas kiekvienas veikia tą porą. strongSwan pastabos apie persiuntimą aprašo grįžimo maršruto ir vertimo pasirinkimus privačiam potinkliui už šliuzo.
Kai užklausa atkeliauja, o atsakymas išeina kitu šliuzu, joks DNS pakeitimas nepataiso asimetrijos. Įrašas abiejose pusėse tai išsprendžia vienu bandymu ir parodo, ar vertimas perrašė šaltinį, kuriam NAS atsakė. Administratorius atsako už šią ribą: leiskite tik reikalingas paslaugas ir VPN klientų diapazoną, ir užrašykite, ar pasirinktas maršrutizavimas, ar vertimas.
Trečia sąlyga: ar paslauga yra ir ar leidžiama?
Valdymo puslapis ir failų bendrinimo paslauga yra skirtingi to paties kompiuterio galiniai taškai, ir vienas gali priimti ryšius, kol kitą blokuoja pagrindinio kompiuterio ugniasienė, paslaugos konfigūracija ar bendrinimo leidimas. Įrenginys, atsakęs atmetimu, jau įrodė pirmąsias dvi sąlygas, o tai gerokai susiaurina trečiąją.
Testuokite su paskyra, kuriai failų tikrai reikia, o ne su administratoriaus paskyra iš diegimo, nes administratoriaus teisės negali pataisyti trūkstamo maršruto, o maršrutas negali suteikti bendrinimo leidimo. Vardai taip pat čia priklauso: namuose aptiktas NAS vardas dažnai priklauso nuo vietinio multicast, kurio maršrutizuotas tunelis neperduoda, todėl pabandykite gamintojo dokumentuotą privatų prieglobos vardą arba patį adresą, kad atskirtumėte pavadinimą nuo prieigos.
Testuokite išorėje NAS tinklo, tada plėskite lėtai
Tas pačiame LAN atliktas testas paslepia kiekvieną nepilną nuotolinio kelio dalį, todėl pirmas sėkmingas nuotolinis bandymas nusipelno įrašo pakeitimų žurnale. Atlikite patikras iš kliento, kuris NAS pasiekia tik per tunelį, ir išsaugokite kiekvieno bandymo pradinį klaidos tekstą.
nc -vz 10.40.7.25 445
smbclient -L 10.40.7.25 -U guestKai kelias veikia, perkelkite nekenksmingą failą ir patvirtinkite tą skaitymo ar rašymo elgseną, kurios jums tikrai reikia. Jei dideli perdavimai sustoja, o maži pavyksta, likusi problema yra paketo dydžio tvarkymas arba ryšio stabilumas, o ne adresavimas.
Neskelbkite failų bendrinimo ar administravimo prievadų internete, kad apeitumėte nepaaiškintą gedimą. Pataisykite privatų kelią, palaikykite NAS programinę įrangą palaikomą ir patikrinkite visko, ką per jį atsarginėte, atkūrimą, prieš pasikliaudami ta atsargine kopija.