NAS недостапен преку VPN: адреса, повратен пат или услуга?

Тунелите се креваат, клиентите добиваат адреса, а NAS не одговара воопшто. Овој единствен симптом покрива три неповрзани дефекти, а редоследот по кој ги проверувате одлучува колку ќе трае поправката. Адресирањето е прво, бидејќи преклопена подмрежа може да го испрати барањето до туѓ уред. Повратниот пат е втор, бидејќи барање што пристигнува без одговор изгледа исто како затворена услуга. Услугата и дозволата се последни, и тоа само откако првите две се докажани.

Три дефекти што сите се читаат како недостапно

Изборот на адреса, повратното рутирање и авторизацијата на услугата даваат иста видлива порака: ништо не се случува. Тие имаат различни докази, различни одговорни и различни поправки, па нивното разделување е целата задача. Ping што не поминува сам по себе докажува малку, а успешен TCP одбив е всушност добра вест.

Читајте ја табелата како редослед на проверки, а не како список на причини. Секој ред го ограничува следниот, бидејќи одбивот веќе докажува дека адресирањето и повратниот пат работат. Да потрошите дваесет минути во правилата на огнениот ѕид пред да проверите кој интерфејс го избрал патот е најчестиот начин да изгубите попладне. Работете од горе надолу и застанете на првиот ред што се совпаѓа.

Услов еден: дали таа адреса е вистинскиот уред?

Запишете ја подмрежата на NAS и опсегот што VPN им го дава на клиентите, па споредете ги двете со мрежата во која е вашиот лаптоп во моментов. Во оваа прошетка NAS стои на 10.40.7.25, а базенот на VPN е 10.40.9.0/24, два одделни приватни опсези во еден план на локацијата; домаќинство што користи 192.168.0.0/24 или 10.0.0.0/24 има многу поголема шанса да се судри со еден од нив.

Кога локалната мрежа и мрежата на NAS се преклопуваат, клиентот го испраќа тој сообраќај до својот сопствен портал и може да стигне до неповрзан уред што случајно ја има истата адреса. Проверете го патот пред да внесете акредитиви во што и да одговори.

ip -4 route get 10.40.7.25
traceroute -n -m 5 10.40.7.25

Првата команда го именува интерфејсот и порталот што јадрото би ги користело, а втората ги покажува првите скокови што навистина одговараат. Ако двете не се совпаѓаат, верувајте на пребарувањето, бидејќи тоа е патот што пакетот ќе го земе. Список на скокови што запира еден скок пред NAS е исто така наод, а не неуспех. Пребарување што се решава кон физичкиот адаптер наместо кон тунелот ја завршува истрагата во оваа точка.

Услов два: дали одговорот се враќа?

На клиентот му треба рута кон NAS, а на мрежата на NAS ѝ треба повратен пат кон базенот на VPN. Препраќањето на порталот, правилата на огнениот ѕид и намерната транслација на адреси секое влијае на тој пар. Белешките на strongSwan за препраќањето ги опишуваат изборите за повратна рута и транслација за приватна подмрежа зад портал.

Кога барањето пристигнува, а одговорот излегува преку друг портал, никаква промена на DNS не ја поправа асиметријата. Снимка од двете страни го решава тоа со еден обид и покажува дали транслацијата го препишала изворот на кој NAS одговорил. Администраторот ја поседува таа граница: дозволете само потребните услуги и опсегот на VPN клиенти и запишете дали е избрано рутирање или транслација.

Услов три: дали услугата е таму и е дозволена?

Страница за управување и услуга за споделување датотеки се различни крајни точки на истата машина, и едната може да прифаќа врски додека другата е блокирана од огнениот ѕид на домаќинот, конфигурацијата на услугата или дозвола за споделување. Уред што одговара со одбив веќе ги докажал првите две услови, што третото значително го стеснува.

Тестирајте со сметката на која навистина ѝ требаат датотеките, а не со администраторската сметка од инсталацијата, бидејќи администраторските права не можат да поправат рута што недостига, а рута не може да даде дозвола за споделување. И имињата имаат место овде: име на NAS откриено дома често зависи од локален multicast, што рутиран тунел не го носи, затоа пробајте го документираното приватно име на домаќин од производителот или самата адреса за да го одделите именувањето од пристапот.

Тестирајте однадвор од мрежата на NAS, потоа проширете полека

Тест направен во истата локална мрежа го крие секој нецелосен дел од оддалечениот пат, и затоа првиот успешен оддалечен обид заслужува белешка во дневникот на промени. Вршете ги проверките од клиент што стигнува до NAS само преку тунелот и чувајте го оригиналниот текст на грешката од секој обид.

nc -vz 10.40.7.25 445
smbclient -L 10.40.7.25 -U guest

Откако патот ќе проработи, пренесете безопасна датотека и потврдете го однесувањето при читање или пишување што навистина ви треба. Ако големите преноси застануваат, а малите поминуваат, преостанатиот проблем е ракувањето со големината на пакетот или стабилноста на врската, а не адресирањето.

Не објавувајте порти за споделување датотеки или администрација на интернет за да заобиколите необјаснет дефект. Поправете го приватниот пат, држете го софтверот на NAS поддржан и тестирајте го враќањето на сѐ што копирате преку него пред да се потпрете на таа резервна копија.