Подключённый диск через VPN между площадками: DNS, SMB и путь UNC

Страница «Сеть» в Проводнике показывает устройства, объявившие о себе в локальном сегменте, а маршрутизируемый туннель не передаёт ни одного из таких объявлений. Поэтому сервер может быть полностью доступен, пока окно перед пользователем остаётся пустым. Именованный путь UNC вообще не зависит от обнаружения, и решение состоит в том, чтобы имя разрешалось, а порт отвечал. Пустое окно — симптом неверного уровня, а не сломанной общей папки.

Обнаружение — не то же самое, что доступность

Windows находит соседние машины через протоколы, рассчитанные на широковещательный домен, и затем показывает найденное как список для удобства. Ничего из этого списка не требуется для доступа к файлам по SMB. Клиент, который знает имя сервера и может достучаться до TCP 445, откроет общую папку независимо от того, появится ли машина когда-нибудь в разделе «Сеть».

Два уровня отказывают независимо, поэтому «я его не вижу» и «я не могу его открыть» заслуживают разных проверок. Взгляд на список говорит об обнаружении; открытие пути говорит о службе.

Назовите сервер, прежде чем подключать общую папку

Опубликуйте файловый сервер в DNS с адресом, который он имеет на дальней стороне, и направьте площадку клиента на резолвер, способный отвечать за эту зону. Полное доменное имя избавляет от зависимости от локального списка суффиксов поиска — обычной причины, по которой короткое имя работает на одной площадке и не работает на другой.

Если среда использует Active Directory, разрешение имён также входит в аутентификацию: клиент должен достучаться до контроллера домена для Kerberos, а часы, слишком далеко ушедшие, приведут к сбою обмена билетами. Это другая проблема, чем доступность SMB, и выглядит она как ошибка учётных данных. Проверьте контроллер домена, прежде чем вводить пароль заново.

Маршрутизация и фильтрация в обе стороны

Туннелю между площадками нужен удалённый префикс в локальной таблице маршрутизации и локальный префикс в удалённой, а межсетевой экран с каждой стороны должен пропускать приходящий трафик. Односторонняя настройка даёт соединение, которое открывается и никогда не отвечает, что пользователи описывают как медленную общую папку. Сначала проверьте собственные счётчики туннеля. Если пакеты уходят и ничего не возвращается, ищите обратный маршрут или удалённый фильтр.

В WireGuard разрешённые IP-адреса партнёра и маршруты операционной системы должны согласовываться с этим проектом. Туннель переносит пакеты; он не создаёт записи DNS и не выдаёт разрешения на общую папку ни с одной из сторон.

Стройте правило межсетевого экрана по реальной исходной сети, которая будет подключаться, и запишите исключение. Если проект где-то на пути транслирует адреса, правило должно использовать транслированный источник, а исходный адрес клиента больше не виден в журналах.

Аутентифицируйтесь, затем подключите диск

Проходите уровни командами, а не окном Проводника:

Resolve-DnsName -Name files.corp.example -Type A
Test-NetConnection -ComputerName files.corp.example -Port 445
net use Z: \\files.corp.example\Projects /persistent:no

Вторая команда доказывает путь TCP, а не право что-либо читать. Третья — там, где применяются аутентификация и авторизация, и сбой там должен отправлять вас к разрешениям общей папки и файловой системы, а не обратно к маршрутизатору.

Сохраняйте подписывание SMB и существующую политику аутентификации неизменными. Повторно включать SMB1 или пересылать широковещательные объявления обнаружения через туннель для явного пути не нужно, а TCP 445 должен оставаться на частном пути, а не на переадресации в интернет. Дайте пользователям управляемый ярлык или подключённый диск к утверждённому имени, и пустая страница «Сеть» перестанет иметь значение.