Мапирана единица преку VPN меѓу локации: DNS, SMB и патеката UNC
Откривањето во мрежата не преминува рутирана врска, но именуваната патека UNC преминува. Насочете DNS кон серверот, отворете SMB во двете насоки и потоа мапирајте ја единицата.
Страницата Мрежа во Explorer ги прикажува уредите што се објавиле во локалниот сегмент, а рутираниот тунел не пренесува ниту едно од тие објави. Затоа серверот може да биде сосема достапен додека прозорецот пред корисникот останува празен. Именуваната патека UNC воопшто не зависи од откривањето, а решението е да се постигне името да се разреши и портата да одговори. Празниот прозорец е симптом на погрешен слој, а не на расипано споделување.
Откривањето не е исто што и достапност
Windows ги наоѓа блиските машини преку протоколи наменети за broadcast домен, а потоа најденото го прикажува како список за удобност. Ништо од тој список не е потребно за пристап до датотеки преку SMB. Клиент што го знае името на серверот и може да стигне до TCP 445 ќе го отвори споделувањето, без разлика дали машината некогаш ќе се појави под Мрежа.
Двата слоја откажуваат независно, и затоа "не го гледам" и "не можам да го отворам" заслужуваат различни тестови. Погледот на списокот кажува за откривањето; отворањето на патеката кажува за услугата.
Именувајте го серверот пред да го мапирате споделувањето
Објавете го серверот за датотеки во DNS со адресата што ја има на другата страна и насочете ја локацијата на клиентот кон resolver што може да одговори за таа зона. Целосно квалификуваното име избегнува зависност од локален список на суфикси за пребарување, што е вообичаената причина зошто краткото име работи на една локација, а на друга откажува.
Ако околината користи Active Directory, разрешувањето имиња е исто така дел од автентикацијата: клиентот мора да стигне до контролерот на доменот за Kerberos, а часовник што премногу отстапува ќе предизвика неуспех на размената на билети. Тоа е друг проблем од достапноста на SMB и изгледа како грешка со акредитиви. Тестирајте го контролерот на доменот пред повторно да ја внесете лозинката.
| Layer | What it needs | Symptom when missing |
|---|---|---|
| Name resolution | A DNS answer for the server name | Path cannot be found, ping by IP still works |
| Transport | TCP 445 open in both directions | Connection times out or is refused |
| Authentication | A reachable domain controller and correct clock | Access is denied after the port connects |
| Authorization | Share permission and filesystem permission | The share opens but the folder is inaccessible |
Рутирајте и филтрирајте во двете насоки
Тунелот меѓу локации бара далечински префикс во локалната табела за рутирање и локален префикс во далечинската, а огнениот ѕид на секоја страна мора да го дозволи сообраќајот што пристигнува. Еднонасочната конфигурација создава врска што се отвора и никогаш не одговара, што корисниците го опишуваат како бавно споделување. Најпрво проверете ги сопствените бројачи на тунелот. Ако пакетите заминуваат и ништо не се враќа, побарајте ја повратната рута или далечинскиот филтер.
Кај WireGuard, дозволените IP адреси на партнерот и рутите на оперативниот систем мора да се совпаѓаат со тој проект. Тунелот пренесува пакети; тој не обезбедува DNS записи ни дозволи за споделување на ниту една од страните.
Поставете го правилото на огнениот ѕид врз вистинската изворна мрежа што ќе се поврзува и запишете го исклучокот. Ако проектот некаде на патот преведува адреси, правилото мора да го користи преведениот извор, а изворната адреса на клиентот повеќе не е видлива во записите.
Автентицирајте се, потоа мапирајте ја единицата
Поминете низ слоевите со наредби, а не со прозорецот на Explorer:
Resolve-DnsName -Name files.corp.example -Type A
Test-NetConnection -ComputerName files.corp.example -Port 445
net use Z: \\files.corp.example\Projects /persistent:noВтората наредба ја докажува патеката TCP, не правото да се чита нешто. Третата е местото каде се применуваат автентикацијата и авторизацијата, а неуспехот таму треба да ве упати кон дозволите за споделување и датотечниот систем, а не назад кон рутерот.
Задржете го потпишувањето на SMB и постојната политика за автентикација непроменети. Повторното овозможување на SMB1 или препраќањето на broadcast за откривање низ тунелот не е потребно за изречна патека, а TCP 445 треба да остане на приватниот пат, а не на препраќање кон интернет. Дајте им на корисниците управувана кратенка или мапирана единица до одобреното име и празната страница Мрежа престанува да биде важна.