NAS nedosegljiv prek VPN-a: naslov, povratna pot ali storitev?
Zasebni tunel potrebuje pot do NAS-a, povratno pot in dovoljeno storitev. Ugotovite, katera od treh je odpovedala, preden spremenite poverilnice.
Tuneli se dvignejo, odjemalci dobijo naslov, NAS pa ne odgovori čisto nič. Ta en sam simptom pokriva tri nepovezane okvare, in vrstni red, v katerem jih preizkusite, odloča, kako dolgo bo trajalo popravilo. Naslavljanje je prvo, ker se prekrivajoča podomrežje lahko pošlje zahtevo na tujo napravo. Povratna pot je druga, ker je zahteva, ki prispe brez odgovora, videti enako kot zaprta storitev. Storitev in dovoljenje sta zadnja, in šele potem, ko sta prva dva dokazana.
Tri okvare, ki se vse berejo kot nedosegljivo
Izbira naslova, povratno usmerjanje in avtorizacija storitve dajo isto vidno sporočilo: nič se ne zgodi. Imajo različne dokaze, različne odgovorne in različne popravke, zato je njihovo ločevanje celotna naloga. Ping, ki ne uspe, sam po sebi dokaže malo, uspešna zavrnitev TCP pa je pravzaprav dobra novica.
| Observation | Most likely conclusion |
|---|---|
| Route to the NAS address leaves the wrong interface | Overlapping or missing private route |
| Request visible on the server, no reply seen | Return path, gateway forwarding or translation |
| TCP connection refused rather than dropped | Reachable host, service not listening or filtered |
| TCP works, login or file access fails | Share permission, account or protocol version |
Tabelo berite kot vrstni red preizkusov, ne kot seznam vzrokov. Vsaka vrstica omejuje naslednjo, ker zavrnitev že dokaže, da naslavljanje in povratna pot delujeta. Preživeti dvajset minut v pravilih požarnega zidu, preden preverite, kateri vmesnik je izbrala pot, je najpogostejši način, da izgubite popoldne. Delajte od zgoraj navzdol in se ustavite pri prvi vrstici, ki se ujema.
Pogoj ena: je ta naslov prava naprava?
Zapišite podomrežje NAS-a in obseg, ki ga VPN dodeli odjemalcem, ter oba primerjajte z omrežjem, v katerem je vaš prenosnik zdaj. V tem pregledu je NAS na 10.40.7.25, nabor VPN pa je 10.40.9.0/24, dva ločena zasebna obsega v enem načrtu lokacije; gospodinjstvo, ki uporablja 192.168.0.0/24 ali 10.0.0.0/24, ima veliko več možnosti, da trči ob enega od njiju.
Ko se lokalno omrežje in omrežje NAS-a prekrivata, odjemalec pošlje ta promet na lastna vrata in lahko doseže nepovezano napravo, ki ima po naključju enak naslov. Preverite pot, preden v kar koli, kar odgovori, vpišete poverilnice.
ip -4 route get 10.40.7.25
traceroute -n -m 5 10.40.7.25Prvi ukaz navede vmesnik in vrata, ki bi jih uporabilo jedro, drugi pa pokaže prve skoke, ki se res odzovejo. Če se sliki ne ujemata, verjemite poizvedbi, ker to je pot, ki jo bo paket ubral. Seznam skokov, ki se ustavi en skok pred NAS-om, je prav tako ugotovitev in ne neuspeh. Poizvedba, ki se razreši na fizični vmesnik namesto na tunel, preiskavo na tej točki konča.
Pogoj dva: se odgovor vrne?
Odjemalec potrebuje pot do NAS-a, omrežje NAS-a pa povratno pot do nabora VPN. Posredovanje na vratih, pravila požarnega zidu in namerno prevajanje naslovov vsako vpliva na ta par. Opombe strongSwan o posredovanju opisujejo izbiro povratne poti in prevajanja za zasebno podomrežje za vrati.
Ko zahteva prispe in odgovor odide skozi druga vrata, nobena sprememba DNS ne popravi asimetrije. Zajem na obeh straneh to razreši v enem poskusu in pokaže tudi, ali je prevajanje prepisalo izvor, na katerega je NAS odgovoril. Skrbnik je odgovoren za to mejo: dovolite le potrebne storitve in obseg odjemalcev VPN ter zapišite, ali je bilo izbrano usmerjanje ali prevajanje.
Pogoj tri: ali storitev obstaja in je dovoljena?
Upravljalna stran in storitev za souporabo datotek sta različni končni točki na istem računalniku, in ena lahko sprejema povezave, medtem ko drugo blokira požarni zid gostitelja, konfiguracija storitve ali dovoljenje za souporabo. Naprava, ki odgovori z zavrnitvijo, je prva dva pogoja že dokazala, kar tretjega precej zoži.
Preizkusite z računom, ki datoteke res potrebuje, ne z skrbniškim računom iz namestitve, ker skrbniške pravice ne morejo popraviti manjkajoče poti, pot pa ne more podeliti dovoljenja za souporabo. Tudi imena spadajo sem: ime NAS-a, odkrito doma, je pogosto odvisno od lokalnega multicast, ki ga usmerjen tunel ne prenaša, zato poskusite z dokumentiranim zasebnim imenom gostitelja proizvajalca ali s samim naslovom, da ločite poimenovanje od dostopa.
Preizkusite zunaj omrežja NAS-a, nato počasi širite
Preizkus v istem lokalnem omrežju skrije vsak nepopoln del oddaljene poti, zato si prvi uspešni oddaljeni poskus zasluži zapis v dnevniku sprememb. Izvajajte preverjanja z odjemalca, ki do NAS-a pride le skozi tunel, in shranite izvirno besedilo napake vsakega poskusa.
nc -vz 10.40.7.25 445
smbclient -L 10.40.7.25 -U guestKo pot deluje, prenesite neškodljivo datoteko in potrdite vedenje branja ali pisanja, ki ga res potrebujete. Če se veliki prenosi ustavijo, majhni pa uspejo, je preostala težava obravnava velikosti paketov ali stabilnost povezave, ne naslavljanje.
Ne objavljajte vrat za souporabo datotek ali upravljanje na internetu, da bi obšli nerazloženo okvaro. Popravite zasebno pot, ohranite programsko opremo NAS-a podprto in preizkusite obnovitev vsega, kar kopirate prek nje, preden se zanesete na to varnostno kopijo.