NAS nedostupný cez VPN: adresa, spätná cesta alebo služba?
Privátny tunel potrebuje trasu k NAS, spätnú cestu a povolenú službu. Určte, ktorá z tých troch zlyhala, skôr než zmeníte prihlasovacie údaje.
Tunely sa zdvihnú, klienti dostanú adresu a NAS neodpovedá vôbec nič. Tento jediný príznak pokrýva tri nesúvisiace poruchy a poradie, v ktorom ich testujete, rozhoduje o tom, ako dlho oprava potrvá. Adresovanie ide prvé, pretože prekrývajúca sa podsielová môže váš dopyt poslať do cudzieho zariadenia. Spätná cesta ide druhá, pretože dopyt, ktorý dorazí bez odpovede, vyzerá rovnako ako zatvorená služba. Služba a oprávnenie idú na koniec, a až po preukázaní prvých dvoch.
Tri poruchy, ktoré sa všetky čítajú ako nedostupné
Voľba adresy, spätný routing a autorizácia služby vytvárajú rovnakú viditeľnú správu: nič sa nedeje. Majú rôzne dôkazy, rôznych zodpovedných a rôzne opravy, takže ich oddelenie je celá úloha. Ping, ktorý zlyhá, sám o sebe dokazuje málo a úspešné odmietnutie TCP je vlastne dobrá správa.
| Observation | Most likely conclusion |
|---|---|
| Route to the NAS address leaves the wrong interface | Overlapping or missing private route |
| Request visible on the server, no reply seen | Return path, gateway forwarding or translation |
| TCP connection refused rather than dropped | Reachable host, service not listening or filtered |
| TCP works, login or file access fails | Share permission, account or protocol version |
Čítajte tabuľku ako poradie testov, nie ako zoznam príčin. Každý riadok obmedzuje ten nasledujúci, pretože odmietnutie už dokazuje, že adresovanie a spätná cesta fungujú. Stráviť dvadsať minút v pravidlách firewallu pred tým, než skontrolujete, ktoré rozhranie trasa zvolila, je najčastejší spôsob, ako stratiť popoludnie. Pracujte zhora nadol a zastavte sa pri prvom riadku, ktorý sedí.
Podmienka jedna: je tá adresa správne zariadenie?
Zapíšte podsielovú NAS a rozsah, ktorý VPN prideľuje klientom, a obe porovnajte so sieťou, v ktorej je váš notebook práve teraz. V tomto postupe je NAS na 10.40.7.25 a fond VPN je 10.40.9.0/24, dva oddelené privátne rozsahy v rámci jedného plánu lokality; domácnosť, ktorá používa 192.168.0.0/24 alebo 10.0.0.0/24, má oveľa väčšiu šancu naraziť na jeden z nich.
Keď sa miestna sieť a sieť NAS prekrývajú, klient pošle túto prevádzku na svoju vlastnú bránu a môže sa dostať k nesúvisiacemu zariadeniu, ktoré má náhodou rovnakú adresu. Overte cestu, skôr než zadáte prihlasovacie údaje do čohokoľvek, čo odpovedá.
ip -4 route get 10.40.7.25
traceroute -n -m 5 10.40.7.25Prvý príkaz pomenuje rozhranie a bránu, ktoré by jadro použilo, a druhý ukáže prvé skoky, ktoré skutočne odpovedajú. Ak sa oba nezhodujú, verte vyhľadaniu, pretože to je cesta, ktorou paket pôjde. Zoznam skokov, ktorý sa zastaví jeden skok pred NAS, je tiež zistenie, nie zlyhanie. Vyhľadanie, ktoré sa preloží na fyzický adaptér namiesto tunela, vyšetrovanie v tomto bode ukončí.
Podmienka dva: vracia sa odpoveď?
Klient potrebuje trasu k NAS a sieť NAS potrebuje spätnú cestu k fondu VPN. Presmerovanie na bráne, pravidlá firewallu a zámerný preklad adries každé ovplyvňuje túto dvojicu. Poznámky strongSwan k preposielaniu opisujú voľby spätnej trasy a prekladu pre privátnu podsielovú za bránou.
Keď dopyt dorazí a odpoveď odíde inou bránou, žiadna zmena DNS asymetriu nenapraví. Zachytenie na oboch stranách to vyrieši na jeden pokus a ukáže aj to, či preklad prepísal zdroj, ktorému NAS odpovedal. Správca vlastní túto hranicu: povoľte len potrebné služby a rozsah klientov VPN a zapíšte, či bolo zvolené smerovanie alebo preklad.
Podmienka tri: je služba na mieste a je povolená?
Správcovská stránka a služba zdieľania súborov sú rôzne koncové body na tom istom stroji a jedna môže prijímať spojenia, kým druhú blokuje firewall hostiteľa, konfigurácia služby alebo oprávnenie na zdieľanie. Zariadenie, ktoré odpovie odmietnutím, už prvé dve podmienky preukázalo, čo tretiu výrazne zužuje.
Testujte s účtom, ktorý súbory skutočne potrebuje, nie s účtom správcu z inštalácie, pretože správcovské práva nemôžu opraviť chýbajúcu trasu a trasa nemôže udeliť oprávnenie na zdieľanie. Aj mená sem patria: meno NAS objavené doma často závisí od miestneho multicastu, ktorý smerovaný tunel neprenáša, takže skúste dokumentované privátne meno hostiteľa od výrobcu alebo samotnú adresu, aby ste oddelili pomenovanie od prístupu.
Testujte zvonku siete NAS a potom pomaly rozširujte
Test vykonaný v tej istej LAN skryje každú neúplnú časť vzdialenej cesty, a preto si prvý úspešný vzdialený pokus zaslúži poznámku v zázname zmien. Vykonávajte kontroly z klienta, ktorý sa k NAS dostane len tunelom, a uchovajte pôvodný text chyby z každého pokusu.
nc -vz 10.40.7.25 445
smbclient -L 10.40.7.25 -U guestKeď cesta funguje, preneste neškodný súbor a potvrďte správanie čítania alebo zápisu, ktoré skutočne potrebujete. Ak sa veľké prenosy zaseknú, kým malé prejdú, zostávajúcim problémom je spracovanie veľkosti paketov alebo stabilita spojenia, nie adresovanie.
Nezverejňujte porty na zdieľanie súborov ani správu na internete, aby ste obišli nevysvetlenú poruchu. Opravte privátnu cestu, udržujte softvér NAS podporovaný a otestujte obnovu všetkého, čo cez neho zálohujete, skôr než sa na tú zálohu spoľahnete.