Pemacu dipetakan melalui VPN tapak: DNS, SMB dan laluan UNC

Halaman Rangkaian dalam Explorer memaparkan peranti yang mengumumkan diri pada segmen setempat, dan terowong berpenghala tidak membawa satu pun pengumuman itu. Itulah sebabnya pelayan boleh dicapai sepenuhnya sementara tetingkap di hadapan pengguna kekal kosong. Laluan UNC bernama tidak bergantung pada penemuan sama sekali, dan penyelesaiannya ialah memastikan nama diselesaikan dan port menjawab. Tetingkap kosong ialah gejala lapisan yang salah, bukan kongsi yang rosak.

Penemuan bukan sama dengan kebolehcapaian

Windows menemui mesin berhampiran melalui protokol yang direka untuk domain siaran, kemudian memaparkan apa yang ditemui sebagai senarai kemudahan. Tiada apa-apa dalam senarai itu diperlukan untuk akses fail SMB. Klien yang tahu nama pelayan dan boleh mencapai TCP 445 akan membuka kongsi itu, sama ada mesin itu pernah muncul dalam Rangkaian atau tidak.

Kedua-dua lapisan gagal secara berasingan, sebab itulah "saya tidak nampak" dan "saya tidak boleh membukanya" wajar diuji secara berbeza. Melihat senarai memberitahu tentang penemuan; membuka laluan memberitahu tentang perkhidmatan.

Namakan pelayan sebelum memetakan kongsi

Terbitkan pelayan fail dalam DNS dengan alamat yang dimilikinya di sebelah jauh, dan halakan tapak klien ke resolver yang boleh menjawab untuk zon itu. Nama yang layak sepenuhnya mengelakkan pergantungan pada senarai carian akhiran setempat, yang biasanya menjadi sebab nama pendek berfungsi di satu tapak dan gagal di tapak lain.

Jika persekitaran menggunakan Active Directory, penyelesaian nama juga sebahagian daripada pengesahan: klien perlu mencapai pengawal domain untuk Kerberos, dan jam yang terlalu jauh terpesong akan menyebabkan pertukaran tiket gagal. Ini masalah berbeza daripada kebolehcapaian SMB dan kelihatan seperti ralat kelayakan. Uji pengawal domain sebelum menaip semula kata laluan.

Penghalaan dan penapisan dalam kedua-dua arah

Terowong tapak-ke-tapak memerlukan awalan jauh dalam jadual penghalaan setempat dan awalan setempat dalam jadual jauh, dan tembok api di setiap sisi mesti membenarkan trafik yang tiba. Konfigurasi sehala menghasilkan sambungan yang terbuka dan tidak pernah menjawab, yang digambarkan pengguna sebagai kongsi yang lambat. Periksa dahulu pembilang terowong itu sendiri. Jika paket keluar dan tiada apa kembali, cari laluan balik atau penapis jauh.

Dalam WireGuard, IP yang dibenarkan milik rakan dan laluan sistem pengendalian mesti selaras dengan reka bentuk itu. Terowong membawa paket; ia tidak menyediakan rekod DNS atau kebenaran kongsi di mana-mana sisi.

Asaskan peraturan tembok api pada rangkaian sumber sebenar yang akan bersambung, dan catatkan pengecualiannya. Jika reka bentuk menterjemah alamat di suatu tempat dalam laluan, peraturan mesti menggunakan sumber yang diterjemah, dan alamat klien asal tidak lagi kelihatan dalam log.

Sahkan, kemudian petakan pemacu

Turuni lapisan dengan arahan dan bukan dengan tetingkap Explorer:

Resolve-DnsName -Name files.corp.example -Type A
Test-NetConnection -ComputerName files.corp.example -Port 445
net use Z: \\files.corp.example\Projects /persistent:no

Arahan kedua membuktikan laluan TCP, bukan hak untuk membaca apa-apa. Yang ketiga ialah tempat pengesahan dan kebenaran dilaksanakan, dan kegagalan di situ sepatutnya menghantar anda kepada kebenaran kongsi dan sistem fail, bukan kembali kepada penghala.

Kekalkan tandatangan SMB dan dasar pengesahan sedia ada tanpa perubahan. Mengaktifkan semula SMB1 atau meneruskan siaran penemuan melalui terowong tidak diperlukan untuk laluan eksplisit, dan TCP 445 wajar kekal pada laluan peribadi, bukan pada penghantaran yang menghadap internet. Beri pengguna pintasan terurus atau pemacu dipetakan kepada nama yang diluluskan, dan halaman Rangkaian kosong tidak lagi penting.