Mapirani pogon preko VPN-a između lokacija: DNS, SMB i putanja UNC
Otkrivanje u mreži ne prelazi usmjereni link, ali imenovana putanja UNC prelazi. Usmjerite DNS na poslužitelj, otvorite SMB u oba smjera i zatim mapirajte pogon.
Stranica Mreža u Exploreru prikazuje uređaje koji su se oglasili u lokalnom segmentu, a usmjereni tunel ne prenosi nijednu od tih objava. Zato poslužitelj može biti potpuno dostupan dok prozor pred korisnikom ostaje prazan. Imenovana putanja UNC uopće ne ovisi o otkrivanju, a rješenje je postići da se naziv razriješi i da vrata odgovore. Prazan prozor simptom je pogrešnog sloja, a ne pokvarenog dijeljenja.
Otkrivanje nije isto što i dostupnost
Windows pronalazi obližnja računala protokolima osmišljenima za broadcast domenu, a zatim pronađeno prikazuje kao popis za udobnost. Ništa s tog popisa nije potrebno za pristup datotekama preko SMB-a. Klijent koji zna naziv poslužitelja i može dohvatiti TCP 445 otvorit će dijeljenje, bez obzira na to hoće li se računalo ikada pojaviti pod Mreža.
Dva sloja zatajuju neovisno, i zato "ne vidim to" i "ne mogu to otvoriti" zaslužuju različite testove. Pogled na popis govori o otkrivanju; otvaranje putanje govori o usluzi.
Imenujte poslužitelj prije nego mapirate dijeljenje
Objavite datotečni poslužitelj u DNS-u s adresom koju ima na drugoj strani i usmjerite lokaciju klijenta na resolver koji zna odgovoriti za tu zonu. Potpuno kvalificirani naziv izbjegava ovisnost o lokalnom popisu sufiksa za pretraživanje, što je uobičajen razlog zašto kratki naziv radi na jednoj lokaciji, a na drugoj zataji.
Ako okruženje koristi Active Directory, razrješavanje naziva također je dio autentikacije: klijent mora dohvatiti kontroler domene zbog Kerberosa, a sat koji previše odstupa uzrokovat će neuspjeh razmjene karata. To je drugi problem od dostupnosti SMB-a i izgleda kao pogreška vjerodajnica. Testirajte kontroler domene prije nego ponovno upišete zaporku.
| Layer | What it needs | Symptom when missing |
|---|---|---|
| Name resolution | A DNS answer for the server name | Path cannot be found, ping by IP still works |
| Transport | TCP 445 open in both directions | Connection times out or is refused |
| Authentication | A reachable domain controller and correct clock | Access is denied after the port connects |
| Authorization | Share permission and filesystem permission | The share opens but the folder is inaccessible |
Usmjeravajte i filtrirajte u oba smjera
Tunel između lokacija treba udaljeni prefiks u lokalnoj tablici usmjeravanja i lokalni prefiks u udaljenoj, a vatrozid na svakoj strani mora dopustiti promet koji pristiže. Jednosmjerna konfiguracija stvara vezu koja se otvori i nikada ne odgovori, što korisnici opisuju kao sporo dijeljenje. Najprije provjerite vlastite brojače tunela. Ako paketi odlaze i ništa se ne vraća, tražite povratnu rutu ili udaljeni filtar.
Kod WireGuarda se dopuštene IP adrese druge strane i rute operacijskog sustava moraju slagati s tim nacrtom. Tunel prenosi pakete; ne osigurava DNS zapise ni dopuštenja za dijeljenje na nijednoj od strana.
Postavite pravilo vatrozida na stvarnu izvornu mrežu koja će se povezivati i zapišite iznimku. Ako nacrt negdje na putu prevodi adrese, pravilo mora koristiti prevedeni izvor, a izvorna adresa klijenta više nije vidljiva u zapisima.
Autentificirajte se, zatim mapirajte pogon
Prolazite slojeve naredbama, a ne prozorom Explorera:
Resolve-DnsName -Name files.corp.example -Type A
Test-NetConnection -ComputerName files.corp.example -Port 445
net use Z: \\files.corp.example\Projects /persistent:noDruga naredba dokazuje putanju TCP, ne pravo na čitanje bilo čega. Treća je mjesto gdje se primjenjuju autentikacija i autorizacija, a neuspjeh ondje trebao bi vas poslati na dopuštenja dijeljenja i datotečnog sustava, a ne natrag na usmjerivač.
Zadržite potpisivanje SMB-a i postojeću politiku autentikacije netaknutima. Ponovno omogućavanje SMB1 ili prosljeđivanje broadcasta otkrivanja kroz tunel nije potrebno za izričitu putanju, a TCP 445 treba ostati na privatnom putu, a ne na prosljeđivanju prema internetu. Dajte korisnicima upravljanu prečicu ili mapirani pogon do odobrenog naziva i prazna stranica Mreže prestaje biti važna.