NAS tidak dapat dicapai melalui VPN: alamat, laluan balik atau perkhidmatan?
Terowong peribadi memerlukan laluan ke NAS, laluan balasan dan perkhidmatan yang dibenarkan. Tentukan yang mana satu daripada tiga gagal sebelum menukar kelayakan.
Terowong naik, klien mendapat alamat, dan NAS tidak menjawab apa-apa. Satu gejala ini meliputi tiga kegagalan yang tidak berkaitan, dan urutan anda mengujinya menentukan berapa lama pembaikan mengambil masa. Pengalamatan didahulukan kerana subnet yang bertindih boleh menghantar permintaan anda ke peranti asing. Laluan balik menyusul kerana permintaan yang tiba tanpa balasan kelihatan sama seperti perkhidmatan tertutup. Perkhidmatan dan kebenaran diuji terakhir, dan hanya selepas dua yang pertama terbukti.
Tiga kegagalan yang semuanya dibaca sebagai tidak dapat dicapai
Pemilihan alamat, penghalaan balik dan kebenaran perkhidmatan menghasilkan mesej yang sama kelihatan: tiada apa berlaku. Ketiganya mempunyai bukti, pemilik dan pembaikan yang berbeza, jadi memisahkannya ialah keseluruhan tugas. Ping yang gagal membuktikan sedikit sahaja, dan penolakan TCP yang berjaya sebenarnya berita baik.
| Observation | Most likely conclusion |
|---|---|
| Route to the NAS address leaves the wrong interface | Overlapping or missing private route |
| Request visible on the server, no reply seen | Return path, gateway forwarding or translation |
| TCP connection refused rather than dropped | Reachable host, service not listening or filtered |
| TCP works, login or file access fails | Share permission, account or protocol version |
Baca jadual sebagai urutan ujian, bukan senarai punca. Setiap baris mengehadkan baris seterusnya, kerana penolakan sudah membuktikan pengalamatan dan laluan balik berfungsi. Menghabiskan dua puluh minit dalam peraturan tembok api sebelum menyemak antara muka mana yang dipilih laluan ialah cara paling biasa kehilangan sebelah petang. Bekerja dari atas ke bawah dan berhenti pada baris pertama yang sepadan.
Syarat pertama: adakah alamat itu peranti yang betul?
Catat subnet NAS dan julat yang diberikan VPN kepada klien, kemudian bandingkan kedua-duanya dengan rangkaian tempat komputer riba anda sekarang. Dalam panduan ini NAS berada di 10.40.7.25 dan kumpulan VPN ialah 10.40.9.0/24, dua julat peribadi berasingan dalam satu pelan tapak; isi rumah yang menggunakan 192.168.0.0/24 atau 10.0.0.0/24 jauh lebih berpeluang berlanggar dengan salah satunya.
Apabila rangkaian tempatan dan rangkaian NAS bertindih, klien menghantar trafik itu ke get laluan sendiri dan mungkin sampai ke peranti tidak berkaitan yang kebetulan mempunyai alamat sama. Sahkan laluan sebelum menaip kelayakan ke dalam apa sahaja yang menjawab.
ip -4 route get 10.40.7.25
traceroute -n -m 5 10.40.7.25Perintah pertama menamakan antara muka dan get laluan yang akan digunakan kernel, dan yang kedua menunjukkan hop pertama yang benar-benar menjawab. Jika kedua-duanya tidak sepadan, percayai carian itu kerana itulah laluan yang akan diambil paket. Senarai hop yang berhenti satu hop sebelum NAS juga satu penemuan, bukan kegagalan. Carian yang menyelesaikan ke penyesuai fizikal dan bukan terowong menamatkan siasatan pada ketika ini.
Syarat kedua: adakah balasan kembali?
Klien memerlukan laluan menuju NAS, dan rangkaian NAS memerlukan laluan balik menuju kumpulan VPN. Pemajuan get laluan, peraturan tembok api dan terjemahan alamat yang disengajakan masing-masing mempengaruhi pasangan itu. Nota strongSwan tentang pemajuan menerangkan pilihan laluan balik dan terjemahan untuk subnet peribadi di belakang get laluan.
Apabila permintaan tiba dan balasan keluar melalui get laluan lain, tiada perubahan DNS membaiki asimetri itu. Tangkapan di kedua-dua belah menyelesaikannya dalam satu percubaan, dan ia juga menunjukkan sama ada terjemahan menulis semula sumber yang dibalas oleh NAS. Pentadbir bertanggungjawab atas sempadan itu: benarkan hanya perkhidmatan yang diperlukan dan julat klien VPN, dan catat sama ada penghalaan atau terjemahan dipilih.
Syarat ketiga: adakah perkhidmatan itu ada dan dibenarkan?
Halaman pengurusan dan perkhidmatan perkongsian fail ialah titik akhir berbeza pada mesin yang sama, dan satu boleh menerima sambungan sementara yang lain disekat oleh tembok api hos, konfigurasi perkhidmatan atau kebenaran perkongsian. Peranti yang menjawab dengan penolakan sudah membuktikan dua syarat pertama, yang menyempitkan syarat ketiga dengan banyak.
Uji dengan akaun yang benar-benar memerlukan fail itu, bukan akaun pentadbir daripada pemasangan, kerana hak pentadbiran tidak boleh membaiki laluan yang hilang dan laluan tidak boleh memberi kebenaran perkongsian. Nama juga termasuk di sini: nama NAS yang ditemui di rumah sering bergantung pada multicast tempatan yang tidak dibawa terowong berpenghalaan, jadi cuba nama hos peribadi yang didokumenkan oleh vendor atau alamat itu sendiri untuk memisahkan penamaan daripada akses.
Uji dari luar rangkaian NAS, kemudian perluas perlahan-lahan
Ujian yang dibuat pada LAN yang sama menyembunyikan setiap bahagian laluan jauh yang belum lengkap, kerana itu percubaan jauh pertama yang berjaya wajar dicatat dalam log perubahan. Jalankan semakan dari klien yang hanya sampai ke NAS melalui terowong, dan simpan teks ralat asal setiap percubaan.
nc -vz 10.40.7.25 445
smbclient -L 10.40.7.25 -U guestSetelah laluan berfungsi, pindahkan fail tidak berbahaya dan sahkan tingkah laku baca atau tulis yang benar-benar anda perlukan. Jika pemindahan besar tersekat sementara yang kecil berjaya, masalah yang tinggal ialah pengendalian saiz paket atau kestabilan sambungan, bukan pengalamatan.
Jangan terbitkan port perkongsian fail atau pentadbiran ke internet untuk mengelak gangguan yang tidak dijelaskan. Baiki laluan peribadi itu, kekalkan perisian NAS dalam sokongan, dan uji pemulihan semua yang anda sandarkan melaluinya sebelum bergantung pada sandaran itu.