Pievienots OpenVPN, bet nav ping vai SMB koplietošanas? Pārbaudiet trīs vārtus

Tunelis paceļas, klients iegūst adresi, un attālajā LAN nekas neatbild. Ping neizdodas, koplietošana neatveras, un VPN žurnāls izskatās tīrs, jo tā skatījumā sesija ir vesela. Starp šo sesiju un failu serverī stāv trīs neatkarīgi vārti: pāradresēšanas politika, pakalpojumam nepieciešamie porti un vārds, ko ierakstījāt adreses vietā.

Katri vārti neizdodas ar citu simptomu, un tikai pirmie ir VPN serverī.

Pāradresēšana ir politika FORWARD ķēdē

OpenVPN klausītāja pieņemšana notiek INPUT ķēdē, tāpēc tunelis var pieslēgties, lai gan katrs uz LAN vērstais pakets tiek nomests. tun0 ienākošā un pa LAN saskarni izejošā plūsma šķērso FORWARD, un tur esošais resursdators ar noklusējuma DROP politiku to klusi izmet. Pirms kaut ko citu aiztikt, pārbaudiet gan sysctl, gan ķēdi: sysctl net.ipv4.ip_forward un iptables -L FORWARD -v -n.

Atļaujiet vajadzīgo virzienu un tam piederošās atbildes, piemēram, accept noteikumu no tuneļa saskarnes uz LAN saskarni un stateful noteikumu established un related plūsmai. Ja LAN atrodas aiz cita maršrutētāja, tam maršrutētājam vajag atgriešanās maršrutu uz klientu kopu vai source NAT VPN serverī. Apstipriniet šo ceļu ar vienu ping pirms jaunu noteikumu pievienošanas, jo noteikums, kuru nevar sasniegt, nekad neparādās skaitītājā.

SMB vajag vairāk nekā vienu portu

Failu koplietošana nav viena TCP 445 saruna. Atklāšana izmanto UDP 137 un 138, vecākas NetBIOS sesijas izmanto TCP 139, un mūsdienu SMB sesijas izmanto TCP 445. Noteikums, kas atver tikai 445, rada kaitinošo gadījumu, kad kartētais disks strādā, bet tīkla pārlūkošana ne, vai otrādi.

Lieli pārsūtījumi pa tuneli saskaras arī ar MSS problēmām, kas izskatās kā salauzta koplietošana. SYN, kas paziņo pilnu LAN segmenta izmēru, tiek nomests tuneļa mazākā MTU dēļ, un savienojums pēc rokasspiediena iesprūst. MSS ierobežošana pāradresēšanas ceļā, iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu, novērš šo aizķeršanās veidu. Pārbaudiet ar dažu megabaitu kopiju, nevis direktorijas sarakstu, jo mazas atbildes iziet arī tad, kad lieli pārsūtījumi neiziet.

Tuneļa adapteris parādās kā jauns tīkla profils

Windows klasificē katru adapteri tīkla profilā, un jauns tuneļa adapteris parasti nonāk Public, kur failu un printeru koplietošanas noteikumi ir bloķēti. Tas ir failu servera resursdatora ugunsmūra lēmums, nevis VPN servera maršrutēšanas problēma. Apzināti nomainiet kategoriju ar Set-NetConnectionProfile -InterfaceAlias "Ethernet 3" -NetworkCategory Private pēc tam, kad esat pārliecinājies, ka politika to atļauj, jo kategorija maina arī to, kuri ienākošie noteikumi ir spēkā.

Tas pats profils izskaidro ping, kas neizdodas, lai gan TCP 445 izdodas: atbalss pieprasījumi Public tiek nomesti pēc noklusējuma.

Vārdi paši nešķērso maršrutētu tuneli

NetBIOS vārdu izšķiršana un vietējā atklāšana balstās uz apraidēm, ko maršrutēts tunelis nepārnēsā. Tāpēc servera īsā vārda ievadīšana neizdodas, lai gan tā adrese strādā, un koplietošana izskatās salauzta, kad salauzta ir tikai meklēšana. Pievienojiet serverim DNS ierakstu tajā atrisinātājā, ko dod tunelis, vai izmantojiet adresi saīsnē.

Ja ieviešana joprojām balstās uz WINS, konfigurējiet to klientā, nevis ceriet, ka parādīsies apraides plūsma. Vispirms pārbaudiet ar adresi, lai vārda kļūme netiktu sajaukta ar ugunsmūra kļūmi.

Pārbaudiet pa vienam slānim un lasiet pirmo kļūmi

Virzieties uz augšu: ping tuneļa vārtejai, ping LAN resursdatoram ar adresi, tad atveriet pakalpojuma portu ar Test-NetConnection -ComputerName 10.8.0.5 -Port 445, un tikai pēc tam autentificējieties koplietošanā. Pirmais neizdevušais solis ir slānis, kas jālabo, un katrs nākamais solis ir troksnis, līdz tas iziet. Ping, kas atbild, kamēr ports paliek aizvērts, norāda uz paša failu servera ugunsmūri, bet ports, kas atveras, neraugoties uz klusiem ping, norāda uz ICMP filtrēšanu. Pierakstiet pirmo neizdevušos soli pirms kaut ko mainīt, jo otra izmaiņa paslēpj pirmās rezultātu.

Ja VPN serveris nav LAN maršrutētājs, apstipriniet atgriešanās maršrutu šajā maršrutētājā pirms pievienojat serverim vairāk noteikumu. Bez tā pieprasījumi sasniedz resursdatoru, un atbildes iziet pa noklusējuma maršrutu uz internetu, kas no klienta puses izskatās tieši kā ugunsmūra nomešana.

Glabājiet koplietošanas kontu savos pierakstos atsevišķi no VPN pieteikšanās, jo veiksmīgs tunelis neko nepasaka par failu atļaujām. SMB atvēršana internetam, lai apietu trūkstošu noteikumu, nav risinājums.