Pripojené k OpenVPN, ale žiadny ping ani SMB zdieľanie? Skontrolujte tri brány

Tunel sa zdvihne, klient dostane adresu a nič na vzdialenej LAN neodpovedá. Ping zlyháva, zdieľanie sa neotvorí a protokol VPN vyzerá čisto, pretože z jeho pohľadu je relácia zdravá. Medzi touto reláciou a súborom na serveri stoja tri nezávislé brány: politika preposielania, porty, ktoré služba potrebuje, a meno, ktoré ste napísali namiesto adresy.

Každá brána zlyháva s iným príznakom a iba prvá je na serveri VPN.

Preposielanie je politika na reťazci FORWARD

Prijatie listenera OpenVPN prebieha na INPUT, preto sa tunel môže pripojiť, aj keď sa každý paket smerujúci do LAN zahodí. Prevádzka, ktorá prichádza na tun0 a odchádza cez rozhranie LAN, prechádza cez FORWARD, a hostiteľ s predvolenou politikou DROP ju tam ticho zahodí. Predtým, než sa dotknete čohokoľvek iného, skontrolujte sysctl aj reťazec: sysctl net.ipv4.ip_forward a iptables -L FORWARD -v -n.

Povoľte smer, ktorý chcete, a odpovede, ktoré k nemu patria, napríklad pravidlo accept z rozhrania tunela do rozhrania LAN plus pravidlo stateful pre prevádzku established a related. Ak LAN stojí za iným smerovačom, ten smerovač potrebuje cestu späť do poolu klientov alebo source NAT na serveri VPN. Potvrďte tú cestu jediným pingom, než pridáte ďalšie pravidlá, pretože pravidlo, ku ktorému sa nedá dostať, sa nikdy neobjaví v počítadle.

SMB potrebuje viac ako jeden port

Zdieľanie súborov nie je jediná konverzácia na TCP 445. Zisťovanie používa UDP 137 a 138, staršie relácie NetBIOS používajú TCP 139 a moderné relácie SMB používajú TCP 445. Pravidlo, ktoré otvorí iba 445, vytvára nepríjemný prípad, keď mapovaná jednotka funguje a prehliadanie siete nie, alebo naopak.

Veľké prenosy cez tunel narážajú aj na problémy s MSS, ktoré vyzerajú ako pokazené zdieľanie. SYN, ktorý ohlasuje plnú veľkosť segmentu LAN, sa zahodí kvôli menšiemu MTU tunela a spojenie po handshaku visí. Obmedzenie MSS na ceste preposielania, iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu, odstraňuje tento typ zaseknutia. Overte to kópiou niekoľkých megabajtov namiesto výpisu adresára, pretože malé odpovede prejdú, aj keď veľké prenosy nie.

Adaptér tunela prichádza ako nový sieťový profil

Windows zaraďuje každý adaptér do sieťového profilu a nový adaptér tunela zvyčajne skončí v Public, kde sú pravidlá pre zdieľanie súborov a tlačiarní zablokované. To je rozhodnutie hostiteľského firewallu na súborovom serveri, nie problém smerovania na serveri VPN. Zmeňte kategóriu zámerne pomocou Set-NetConnectionProfile -InterfaceAlias "Ethernet 3" -NetworkCategory Private po potvrdení, že to politika dovoľuje, pretože kategória mení aj to, ktoré prichádzajúce pravidlá platia.

Ten istý profil vysvetľuje ping, ktorý zlyháva, zatiaľ čo TCP 445 prechádza: echo požiadavky sa v profile Public predvolene zahadzujú.

Mená samy cez smerovaný tunel neprejdú

Preklad mien NetBIOS a miestne zisťovanie sa spoliehajú na vysielania, ktoré smerovaný tunel neprenáša. Preto napísanie krátkeho mena servera zlyháva, zatiaľ čo jeho adresa funguje, a zdieľanie vyzerá pokazené, keď je pokazené iba vyhľadávanie. Pridajte DNS záznam pre server do resolvera, ktorý tunel prideľuje, alebo použite adresu v skratke.

Ak nasadenie stále závisí od WINS, nakonfigurujte ho na klientovi, namiesto toho, aby ste dúfali, že sa objaví vysielacia prevádzka. Testujte najprv adresou, aby sa zlyhanie mena nezamenilo so zlyhaním firewallu.

Testujte po jednej vrstve a čítajte prvé zlyhanie

Postupujte zdola nahor: pingnite bránu tunela, pingnite hostiteľa v LAN podľa adresy, potom otvorte port služby pomocou Test-NetConnection -ComputerName 10.8.0.5 -Port 445, a až potom sa autentifikujte na zdieľaní. Prvý krok, ktorý zlyhá, je vrstva na opravu, a každý ďalší krok je šum, kým ten predchádzajúci neprejde. Ping, ktorý odpovedá, zatiaľ čo port zostáva zatvorený, ukazuje na vlastný firewall súborového servera, zatiaľ čo port, ktorý sa otvorí napriek tichým pingom, ukazuje na filtrovanie ICMP. Zapíšte prvý zlyhávajúci krok, než čokoľvek zmeníte, pretože druhý zásah skryje výsledok prvého.

Ak server VPN nie je smerovačom LAN, potvrďte spätnú cestu na tom smerovači než na server pridáte ďalšie pravidlá. Bez nej požiadavky dosiahnu hostiteľa a odpovede odídu predvolenou cestou k internetu, čo zo strany klienta vyzerá presne ako zahodenie firewallom.

Uchovávajte účet pre zdieľanie oddelene od prihlásenia VPN vo svojich poznámkach, pretože úspešný tunel nič nehovorí o oprávneniach k súborom. Vystavovať SMB internetu, aby ste obišli chýbajúce pravidlo, nie je riešenie.