NAS nav sasniedzams caur VPN: adrese, atgriešanās ceļš vai pakalpojums?
Privātam tunelim vajadzīgs maršruts uz NAS, atbildes ceļš un atļauts pakalpojums. Izlemiet, kura no trim neizdevās, pirms maināt pieteikšanās datus.
Tuneļi paceļas, klienti saņem adresi, un NAS neatbild absolūti neko. Šis viens simptoms nosedz trīs nesaistītus bojājumus, un to pārbaudes secība nosaka, cik ilgi remonts prasīs. Adresācija ir pirmā, jo pārklājoša apakštīkla var nosūtīt jūsu pieprasījumu uz svešu ierīci. Atgriešanās ceļš ir otrais, jo pieprasījums, kas pienāk bez atbildes, izskatās tieši tāpat kā slēgts pakalpojums. Pakalpojums un atļauja ir pēdējie, un tikai pēc tam, kad pirmie divi ir pierādīti.
Trīs bojājumi, kas visi tiek lasīti kā nesasniedzams
Adreses izvēle, atgriešanās maršrutēšana un pakalpojuma autorizācija rada vienu un to pašu redzamo ziņojumu: nekas nenotiek. Tiem ir atšķirīgi pierādījumi, atšķirīgi atbildīgie un atšķirīgi labojumi, tāpēc to atdalīšana ir viss uzdevums. Ping, kas neizdodas, pats par sevi pierāda maz, un veiksmīgs TCP noraidījums patiesībā ir laba ziņa.
| Observation | Most likely conclusion |
|---|---|
| Route to the NAS address leaves the wrong interface | Overlapping or missing private route |
| Request visible on the server, no reply seen | Return path, gateway forwarding or translation |
| TCP connection refused rather than dropped | Reachable host, service not listening or filtered |
| TCP works, login or file access fails | Share permission, account or protocol version |
Lasiet tabulu kā pārbaužu secību, nevis kā cēloņu sarakstu. Katra rinda ierobežo nākamo, jo noraidījums jau pierāda, ka adresācija un atgriešanās ceļš strādā. Pavadīt divdesmit minūtes ugunsmūra noteikumos, pirms pārbaudāt, kuru saskarni maršruts izvēlējās, ir visizplatītākais veids, kā pazaudēt pēcpusdienu. Strādājiet no augšas uz leju un apstājieties pie pirmās atbilstošās rindas.
Pirmais nosacījums: vai šī adrese ir pareizā ierīce?
Pierakstiet NAS apakštīklu un diapazonu, ko VPN piešķir klientiem, un salīdziniet abus ar tīklu, kurā portatīvais dators atrodas tagad. Šajā apskatā NAS atrodas uz 10.40.7.25, un VPN pūls ir 10.40.9.0/24, divi atsevišķi privāti diapazoni vienā vietnes plānā; mājsaimniecībai, kas izmanto 192.168.0.0/24 vai 10.0.0.0/24, ir daudz lielāka iespēja sadurties ar vienu no tiem.
Kad vietējais tīkls un NAS tīkls pārklājas, klients sūta šo trafiku uz savu vārteju un var sasniegt nesaistītu ierīci, kurai nejauši ir tā pati adrese. Pārbaudiet ceļu, pirms ievadāt pieteikšanās datus jebkurā, kas atbild.
ip -4 route get 10.40.7.25
traceroute -n -m 5 10.40.7.25Pirmā komanda nosauc saskarni un vārteju, ko izmantotu kodols, un otrā parāda pirmos lēcienus, kas tiešām atbild. Ja abi nesakrīt, ticiet meklējumam, jo tas ir ceļš, pa kuru ies pakete. Lēcienu saraksts, kas apstājas vienu lēcienu pirms NAS, arī ir atradums, nevis neveiksme. Meklējums, kas atrisinās uz fizisko adapteri, nevis tuneli, pabeidz izmeklēšanu šajā vietā.
Otrais nosacījums: vai atbilde atgriežas?
Klientam vajag maršrutu uz NAS, un NAS tīklam vajag atgriešanās ceļu uz VPN pūlu. Vārtejas pāradresācija, ugunsmūra noteikumi un apzināta adrešu tulkošana katrs ietekmē šo pāri. strongSwan piezīmes par pāradresāciju apraksta atgriešanās maršruta un tulkošanas izvēles privātai apakštīklai aiz vārtejas.
Kad pieprasījums pienāk, bet atbilde iziet pa citu vārteju, nekādas DNS izmaiņas nelabo asimetriju. Ieraksts abās pusēs to atrisina vienā mēģinājumā, un tas arī parāda, vai tulkošana pārrakstīja avotu, uz kuru NAS atbildēja. Administrators ir atbildīgs par šo robežu: atļaujiet tikai vajadzīgos pakalpojumus un VPN klientu diapazonu, un pierakstiet, vai izvēlēta maršrutēšana vai tulkošana.
Trešais nosacījums: vai pakalpojums ir un vai tas ir atļauts?
Pārvaldības lapa un failu koplietošanas pakalpojums ir dažādi vienas mašīnas galapunkti, un viens var pieņemt savienojumus, kamēr otru bloķē resursdatora ugunsmūris, pakalpojuma konfigurācija vai koplietošanas atļauja. Ierīce, kas atbild ar noraidījumu, jau ir pierādījusi pirmos divus nosacījumus, kas ievērojami sašaurina trešo.
Testējiet ar kontu, kuram faili patiešām vajadzīgi, nevis ar administratora kontu no instalācijas, jo administratora tiesības nevar salabot trūkstošu maršrutu, un maršruts nevar piešķirt koplietošanas atļauju. Arī nosaukumi šeit iederas: mājās atklāts NAS nosaukums bieži ir atkarīgs no vietējā multicast, ko maršrutēts tunelis nepārraida, tāpēc izmēģiniet ražotāja dokumentēto privāto resursdatora nosaukumu vai pašu adresi, lai atdalītu nosaukuma lietošanu no piekļuves.
Testējiet ārpus NAS tīkla, pēc tam lēnām paplašiniet
Tajā pašā LAN veikts tests paslēpj katru nepilnīgo attālā ceļa daļu, tāpēc pirmais veiksmīgais attālais mēģinājums ir pelnījis piezīmi izmaiņu žurnālā. Veiciet pārbaudes no klienta, kas NAS sasniedz tikai caur tuneli, un saglabājiet katra mēģinājuma sākotnējo kļūdas tekstu.
nc -vz 10.40.7.25 445
smbclient -L 10.40.7.25 -U guestKad ceļš strādā, pārsūtiet nekaitīgu failu un apstipriniet tieši to lasīšanas vai rakstīšanas uzvedību, kas jums vajadzīga. Ja lieli pārsūtījumi apstājas, kamēr mazie izdodas, atlikušā problēma ir paketes izmēra apstrāde vai savienojuma stabilitāte, nevis adresācija.
Nepublicējiet failu koplietošanas vai administrēšanas portus internetā, lai apietu neizskaidrotu bojājumu. Salabojiet privāto ceļu, uzturiet NAS programmatūru atbalstītu un pārbaudiet visu, ko caur to dublējat, atjaunošanu, pirms paļaujaties uz šo dublējumu.