Konness ma’ OpenVPN imma l-ebda ping jew kondiviżjoni SMB? Iċċekkja tliet bibien

It-tunnel jitla’, il-klijent jikseb indirizz, u xejn fuq il-LAN fil-bogħod ma jwieġeb. Il-ping ifalli, il-kondiviżjoni ma tinfetaħx, u l-log tal-VPN jidher nadif għax mill-perspettiva tiegħu s-sessjoni hija sana. Bejn dik is-sessjoni u fajl fuq server hemm tliet bibien indipendenti: il-politika tat-trażmissjoni, il-portijiet li s-servizz jeħtieġ u l-isem li ttajpjajt minflok indirizz.

Kull bieb ifalli b’sintomu differenti, u biss l-ewwel wieħed jinsab fuq is-server VPN.

It-trażmissjoni hija politika fuq il-katina FORWARD

L-aċċettazzjoni tas-semmiegħa OpenVPN isseħħ fuq INPUT, għalhekk it-tunnel jista’ jikkonnettja waqt li kull pakkett lejn il-LAN jintrema. Traffic li jasal fuq tun0 u joħroġ mill-interface tal-LAN jgħaddi minn FORWARD, u host b’politika DROP awtomatika hemmhekk jarmih bil-kwiet. Iċċekkja kemm is-sysctl kif ukoll il-katina qabel ma tmiss xejn ieħor: sysctl net.ipv4.ip_forward u iptables -L FORWARD -v -n.

Ippermetti d-direzzjoni li trid u t-tweġibiet li jappartjenu lilha, pereżempju regola accept mill-interface tat-tunnel għall-interface tal-LAN flimkien ma’ regola stateful għat-traffiku established u related. Jekk il-LAN tinsab wara router ieħor, dak ir-router jeħtieġ rotta lura lejn il-pool tal-klijenti jew source NAT fuq is-server VPN. Ikkonferma dik it-triq b’ping wieħed qabel ma żżid aktar regoli, għax regola li ma tistax tintlaħaq qatt ma tidher f’xi counter.

SMB jeħtieġ aktar minn port wieħed

Il-kondiviżjoni tal-fajls mhijiex konverżazzjoni waħda TCP 445. L-iskoperta tuża UDP 137 u 138, is-sessjonijiet NetBIOS eqdem jużaw TCP 139, u s-sessjonijiet SMB moderni jużaw TCP 445. Regola li tiftaħ biss 445 toħloq il-każ tedjanti fejn drive immappjat jaħdem u l-ibbrawżjar tan-netwerk le, jew bil-kontra.

Trasferimenti kbar minn tunnel jaħbtu wkoll ma’ problemi MSS li jidhru bħal kondiviżjoni miksura. SYN li jħabbar id-daqs sħiħ tas-segment tal-LAN jintrema mill-MTU iżgħar tat-tunnel, u l-konnessjoni tibqa’ mdendla wara l-handshake. L-irbit tal-MSS fuq it-triq tat-trażmissjoni, iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu, ineħħi dik il-klassi ta’ waqfien. Ivverifika b’kopja ta’ ftit megabajts minflok lista ta’ direttorju, għax tweġibiet żgħar jgħaddu anki meta trasferimenti kbar ma jgħaddux.

L-adapter tat-tunnel jasal bħala profil tan-netwerk ġdid

Windows jikklassifika kull adapter fi profil tan-netwerk, u adapter tat-tunnel ġdid normalment jinżel f’Public, fejn ir-regoli tal-kondiviżjoni tal-fajls u l-printers huma mblukkati. Dik hija deċiżjoni tal-firewall tal-host fuq is-server tal-fajls, mhux problema ta’ routing fuq is-server VPN. Ibdel il-kategorija deliberatament bl-użu ta’ Set-NetConnectionProfile -InterfaceAlias "Ethernet 3" -NetworkCategory Private wara li tikkonferma li l-politika tippermettiha, għax il-kategorija tibdel ukoll liema regoli tad-dħul japplikaw.

L-istess profil jispjega ping li jfalli waqt li TCP 445 jirnexxi: talbiet echo jintremew f’Public b’mod awtomatiku.

L-ismijiet ma jaqsmu lil hinn minn tunnel bir-routing waħedhom

Is-soluzzjoni tal-ismijiet NetBIOS u l-iskoperta lokali jiddependu fuq xandiriet li tunnel bir-routing ma jġorrx. Għalhekk it-tajpjar tal-isem qasir tas-server ifalli waqt li l-indirizz tiegħu jaħdem, u l-kondiviżjoni tidher miksura meta tkun miksura biss it-tfittxija. Żid rekord DNS għas-server fis-solver li jagħti t-tunnel, jew uża l-indirizz fis-shortcut.

Jekk l-iskjerament għadu jiddependi fuq WINS, ikkonfigurahh fuq il-klijent minflok tittama li jidher traffiku tax-xandir. Ipprova l-ewwel bl-indirizz sabiex falliment ta’ isem ma jitħallitx ma’ falliment ta’ firewall.

Ipprova saff wieħed kull darba u aqra l-ewwel falliment

Mur ’il fuq: ping il-gateway tat-tunnel, ping host tal-LAN bl-indirizz, imbagħad iftaħ il-port tas-servizz b’Test-NetConnection -ComputerName 10.8.0.5 -Port 445, u biss wara awtentika ruħek mal-kondiviżjoni. L-ewwel pass li jfalli huwa s-saff li għandu jiġi msewwi, u kull pass wara huwa storbju sakemm dak jgħaddi. Ping li jwieġeb waqt li l-port jibqa’ magħluq jindika l-firewall tas-server tal-fajls stess, filwaqt li port li jinfetaħ minkejja pingijiet siekta jindika filtrazzjoni ICMP. Ikteb l-ewwel pass li jfalli qabel ma tbiddel xejn, għax it-tieni bidla taħbi r-riżultat tal-ewwel.

Jekk is-server VPN mhuwiex ir-router tal-LAN, ikkonferma r-rotta lura fuq dak ir-router qabel ma żżid aktar regoli mas-server. Mingħajrha t-talbiet jaslu għand il-host u t-tweġibiet joħorġu bir-rotta awtomatika lejn l-internet, li mill-ġenb tal-klijent tidher eżatt bħal twaħħil mill-firewall.

Żomm il-kont tal-kondiviżjoni separat mill-login tal-VPN fin-noti tiegħek, għax tunnel li jirnexxi ma jgħid xejn dwar il-permessi tal-fajls. L-espożizzjoni tal-SMB għall-internet biex tevita regola nieqsa mhijiex soluzzjoni.