NAS utilgjengeleg over VPN: adresse, returveg eller teneste?
Ein privat tunnel treng ei rute til NAS-en, ein svarveg og ei tillaten teneste. Avgjer kva av dei tre som svikta før du endrar påloggingsinformasjon.
Tunnelar kjem opp, klientar får ei adresse, og NAS-en svarar ikkje i det heile. Det eine symptomet dekkjer tre uavhengige feil, og rekkjefølgja du testar dei i avgjer kor lang reparasjonen blir. Adresseringa kjem først, fordi eit overlappande subnett kan sende førespurnaden din til ein framand eining. Returvegen kjem på andreplass, fordi ein førespurnad som kjem inn utan svar ser lik ut med ei stengd teneste. Teneste og løyve kjem til slutt, og først etter at dei to første er prova.
Tre feil som alle blir lesne som utilgjengeleg
Adresseval, returrutting og tenestegodkjenning gir same synlege melding: ingenting skjer. Dei har ulike prov, ulike eigarar og ulike rettingar, så å skilje dei er heile oppgåva. Ein ping som mislukkast provar lite i seg sjølv, og ei vellukka TCP-avvising er faktisk gode nyhende.
| Observation | Most likely conclusion |
|---|---|
| Route to the NAS address leaves the wrong interface | Overlapping or missing private route |
| Request visible on the server, no reply seen | Return path, gateway forwarding or translation |
| TCP connection refused rather than dropped | Reachable host, service not listening or filtered |
| TCP works, login or file access fails | Share permission, account or protocol version |
Les tabellen som ei rekkjefølgje av testar snarare enn ei liste over årsaker. Kvar rad avgrensar den neste, fordi ei avvising allereie provar at adressering og returveg verkar. Å bruke tjue minutt inne i brannmurreglar før du sjekkar kva grensesnitt ruta valde, er den vanlegaste måten å miste ein ettermiddag. Arbeid ovanfrå og ned, og stopp ved første rad som passar.
Vilkår éin: er den adressa rett eining?
Skriv ned NAS-subnettet og området VPN-en deler ut til klientar, og samanlikn begge med nettverket laptopen din er på akkurat no. I denne gjennomgangen ligg NAS-en på 10.40.7.25 og VPN-poolen er 10.40.9.0/24, to separate private område innanfor éin nettplan; ein husstand som brukar 192.168.0.0/24 eller 10.0.0.0/24 har mykje større sjanse for å kollidere med eitt av dei.
Når det lokale nettverket og NAS-nettverket overlappar, sender klienten den trafikken til sin eigen gateway og kan nå ei urelatert eining som tilfeldigvis har same adresse. Stadfest vegen før du skriv inn påloggingsinformasjon i det som måtte svare.
ip -4 route get 10.40.7.25
traceroute -n -m 5 10.40.7.25Den første kommandoen nemner grensesnittet og gatewayen kjernen ville bruke, og den andre viser dei første hoppa som faktisk svarar. Viss dei to er usamde, tru på oppslaget, fordi det er vegen pakken vil ta. Ei hoppliste som stoppar eitt hopp før NAS-en er også eit funn og ikkje ein feil. Eit oppslag som løyser til den fysiske adapteren i staden for tunnelen avsluttar undersøkinga på dette punktet.
Vilkår to: kjem svaret tilbake?
Klienten treng ei rute mot NAS-en, og NAS-nettverket treng ein returveg mot VPN-poolen. Gateway-vidaresending, brannmurreglar og medviten omsetjing påverkar kvar for seg det paret. strongSwan sine notat om vidaresending skildrar vala for returrute og omsetjing for eit privat subnett bak ein gateway.
Når førespurnaden kjem inn og svaret går ut via ein annan gateway, reparerer inga DNS-endring asymmetrien. Eit opptak på begge sider avgjer det i eitt forsøk, og det viser også om omsetjinga skreiv om kjelda NAS-en svara til. Administratoren eig den grensa: tillat berre tenestene som trengst og VPN-klientområdet, og skriv ned om rutting eller omsetjing vart vald.
Vilkår tre: finst tenesta og er ho tillaten?
Ei administrasjonsside og ei fildelingsteneste er ulike endepunkt på same boks, og den eine kan ta imot tilkoplingar medan den andre blir blokkert av brannmuren til verten, tenestekonfigurasjonen eller eit delingsløyve. Ei eining som svarar med ei avvising, har allereie prova dei to første vilkåra, noko som snevrar inn det tredje monaleg.
Test med kontoen som faktisk treng filene, ikkje administratorkontoen frå oppsettet, sidan administratorrettar ikkje kan reparere ei manglande rute, og ei rute kan ikkje gi eit delingsløyve. Namn høyrer også heime her: eit NAS-namn som blir oppdaga heime heng ofte saman med lokal multicast, som ein ruta tunnel ikkje ber, så prøv det dokumenterte private vertsnamnet til leverandøren eller sjølve adressa for å skilje namngiving frå tilgang.
Test utanfrå NAS-nettverket, og utvid så sakte
Ein test utført på same LAN skjuler kvar ufullstendig del av fjernvegen, og difor fortener det første vellukka fjernforsøket eit notat i endringsloggen. Køyr kontrollane frå ein klient som berre når NAS-en gjennom tunnelen, og ta vare på den opphavlege feilteksten frå kvart forsøk.
nc -vz 10.40.7.25 445
smbclient -L 10.40.7.25 -U guestNår vegen verkar, overfør ei uskuldig fil og stadfest lese- eller skriveåtferda du faktisk treng. Viss store overføringar stoppar medan små lukkast, er det gjenverande problemet handsaming av pakkestorleik eller sambandsstabilitet og ikkje adressering.
Ikkje publiser fildelings- eller administrasjonsportar til internett for å omgå ein uforklart feil. Reparer den private vegen, hald NAS-programvara støtta, og test gjenoppretting av alt du sikkerheitskopierer over han før du stolar på sikkerheitskopien.