Preslikani pogon prek VPN med lokacijama: DNS, SMB in pot UNC
Odkrivanje v omrežju ne prestopi usmerjene povezave, poimenovana pot UNC pa jo. Usmerite DNS na strežnik, odprite SMB v obe smeri in nato preslikajte pogon.
Stran Omrežje v Raziskovalcu prikazuje naprave, ki so se oglasile v lokalnem segmentu, in usmerjen predor ne prenaša nobene od teh objav. Zato je strežnik lahko popolnoma dosegljiv, medtem ko okno pred uporabnikom ostane prazno. Poimenovana pot UNC sploh ni odvisna od odkrivanja, in rešitev je doseči, da se ime razreši in vrata odgovorijo. Prazno okno je simptom napačne plasti, ne pokvarjene skupne rabe.
Odkrivanje ni isto kot dosegljivost
Windows najde bližnje računalnike s protokoli, zasnovanimi za oddajno domeno, in nato najdeno predstavi kot seznam za udobje. Nič s tega seznama ni potrebno za dostop do datotek prek SMB. Odjemalec, ki pozna ime strežnika in doseže TCP 445, bo skupno rabo odprl, ne glede na to, ali se računalnik kdaj pojavi v Omrežju.
Plasti odpovedujeta neodvisno, zato si "tega ne vidim" in "tega ne morem odpreti" zaslužita različna preizkusa. Pogled na seznam pove o odkrivanju; odpiranje poti pove o storitvi.
Poimenujte strežnik, preden preslikate skupno rabo
Objavite datotečni strežnik v DNS z naslovom, ki ga ima na oddaljeni strani, in usmerite lokacijo odjemalca na razreševalnik, ki zna odgovoriti za to območje. Polno kvalificirano ime se izogne odvisnosti od lokalnega seznama pripon za iskanje, kar je običajen razlog, da kratko ime na eni lokaciji deluje, na drugi pa ne.
Če okolje uporablja Active Directory, je razreševanje imen tudi del preverjanja pristnosti: odjemalec mora doseči krmilnik domene za Kerberos, in ura, ki preveč odstopa, povzroči neuspeh izmenjave vstopnic. To je druga težava kot dosegljivost SMB in je videti kot napaka poverilnic. Preizkusite krmilnik domene, preden znova vnesete geslo.
| Layer | What it needs | Symptom when missing |
|---|---|---|
| Name resolution | A DNS answer for the server name | Path cannot be found, ping by IP still works |
| Transport | TCP 445 open in both directions | Connection times out or is refused |
| Authentication | A reachable domain controller and correct clock | Access is denied after the port connects |
| Authorization | Share permission and filesystem permission | The share opens but the folder is inaccessible |
Usmerjajte in filtrirajte v obe smeri
Predor med lokacijama potrebuje oddaljeno predpono v lokalni usmerjevalni tabeli in lokalno predpono v oddaljeni, požarni zid na vsaki strani pa mora dovoliti promet, ki prihaja. Enostranska konfiguracija ustvari povezavo, ki se odpre in nikoli ne odgovori, kar uporabniki opisujejo kot počasno skupno rabo. Najprej preverite lastne števce predora. Če paketi odidejo in se nič ne vrne, poiščite povratno pot ali oddaljeni filter.
Pri WireGuardu se morajo dovoljeni naslovi IP sogovornika in poti operacijskega sistema ujemati s to zasnovo. Predor prenaša pakete; ne zagotavlja zapisov DNS ali dovoljenj za skupno rabo na nobeni od strani.
Pravilo požarnega zidu zgradite na dejanskem izvornem omrežju, ki se bo povezalo, in izjemo zapišite. Če zasnova nekje na poti prevaja naslove, mora pravilo uporabiti prevedeni izvor, prvotni naslov odjemalca pa v dnevniku ni več viden.
Preverite pristnost, nato preslikajte pogon
Plasti prehodite z ukazi, ne z oknom Raziskovalca:
Resolve-DnsName -Name files.corp.example -Type A
Test-NetConnection -ComputerName files.corp.example -Port 445
net use Z: \\files.corp.example\Projects /persistent:noDrugi ukaz dokazuje pot TCP, ne pravice do branja česar koli. Tretji je kraj, kjer se uveljavljata preverjanje pristnosti in avtorizacija, in neuspeh tam bi vas moral poslati k dovoljenjem skupne rabe in datotečnega sistema, ne pa nazaj k usmerjevalniku.
Ohranite podpisovanje SMB in obstoječo politiko preverjanja pristnosti nespremenjeno. Ponovno omogočanje SMB1 ali posredovanje oddajnega odkrivanja skozi predor ni potrebno za izrecno pot, TCP 445 pa naj ostane na zasebni poti, ne na posredovanju v internet. Uporabnikom dajte upravljano bližnjico ali preslikan pogon do odobrenega imena in prazna stran Omrežja ne bo več pomembna.