NAS i paarritshëm përmes VPN: adresë, rrugë kthimi apo shërbim?

Tunelet ngrihen, klientët marrin një adresë, dhe NAS nuk përgjigjet fare. Ky simptom i vetëm mbulon tre dështime të palidhura, dhe radha në të cilën i testoni vendos sa zgjat riparimi. Adresimi vjen i pari, sepse një nënrrjet që mbivendoset mund ta dërgojë kërkesën tuaj te një pajisje e huaj. Rruga e kthimit vjen e dyta, sepse një kërkesë që mbërrin pa përgjigje duket njësoj si një shërbim i mbyllur. Shërbimi dhe leja vijnë të fundit, dhe vetëm pasi dy të parat janë provuar.

Tre dështime që të gjitha lexohen si e paarritshme

Zgjedhja e adresës, rrugëtimi i kthimit dhe autorizimi i shërbimit prodhojnë të njëjtin mesazh të dukshëm: nuk ndodh asgjë. Ata kanë prova, përgjegjës dhe rregullime të ndryshme, prandaj ndarja e tyre është e gjithë detyra. Një ping që dështon provon pak më vete, dhe një refuzim TCP i suksesshëm është në fakt lajm i mirë.

Lexojeni tabelën si një radhë testesh dhe jo si një listë shkaqesh. Çdo rresht kufizon tjetrin, sepse refuzimi tashmë provon se adresimi dhe rruga e kthimit funksionojnë. Të kalosh njëzet minuta brenda rregullave të firewall-it përpara se të kontrollosh cilin ndërfaqe zgjodhi rruga është mënyra më e zakonshme për të humbur një pasdite. Punoni nga lart poshtë dhe ndaloni në rreshtin e parë që përputhet.

Kushti një: a është ajo adresë pajisja e duhur?

Shkruani nënrrjetin e NAS dhe intervalin që VPN u jep klientëve, dhe krahasoni të dyja me rrjetin ku ndodhet laptopi juaj tani. Në këtë udhëzues NAS ndodhet në 10.40.7.25 dhe grupi i VPN është 10.40.9.0/24, dy intervale private të ndara brenda një plani vendndodhjeje; një familje që përdor 192.168.0.0/24 ose 10.0.0.0/24 ka shumë më tepër shanse të përplaset me njërin prej tyre.

Kur rrjeti lokal dhe rrjeti i NAS mbivendosen, klienti e dërgon atë trafik te porta e vet dhe mund të arrijë një pajisje të palidhur që rastësisht ka të njëjtën adresë. Verifikoni rrugën përpara se të shkruani kredencialet në çfarëdo që përgjigjet.

ip -4 route get 10.40.7.25
traceroute -n -m 5 10.40.7.25

Komanda e parë emërton ndërfaqen dhe portën që do të përdorte kerneli, dhe e dyta shfaq kërcimet e para që përgjigjen vërtet. Nëse të dyja nuk përputhen, besoni kërkimit, sepse ajo është rruga që do të marrë paketa. Një listë kërcimesh që ndalon një kërcim përpara NAS është gjithashtu një gjetje dhe jo një dështim. Një kërkim që zgjidhet te përshtatësi fizik në vend të tunelit e përfundon hetimin në këtë pikë.

Kushti dy: a kthehet përgjigja?

Klienti ka nevojë për një rrugë drejt NAS, dhe rrjeti i NAS ka nevojë për një rrugë kthimi drejt grupit të VPN. Përcjellja te porta, rregullat e firewall-it dhe përkthimi i qëllimshëm ndikojnë secili në atë çift. Shënimet e strongSwan për përcjelljen përshkruajnë zgjedhjet për rrugën e kthimit dhe përkthimin për një nënrrjet privat pas një porte.

Kur kërkesa mbërrin dhe përgjigja del nga një portë tjetër, asnjë ndryshim i DNS nuk e rregullon asimetrinë. Një kapje në të dyja anët e zgjidh me një provë, dhe tregon gjithashtu nëse përkthimi e rishkroi burimin të cilit NAS iu përgjigj. Administratori zotëron atë kufi: lejoni vetëm shërbimet e nevojshme dhe intervalin e klientëve të VPN, dhe shkruani nëse u zgjodh rrugëtimi apo përkthimi.

Kushti tre: a është shërbimi aty dhe i lejuar?

Një faqe administrimi dhe një shërbim ndarjeje skedarësh janë pika fundore të ndryshme në të njëjtën makinë, dhe njëri mund të pranojë lidhje ndërsa tjetri bllokohet nga firewall-i i hostit, konfigurimi i shërbimit ose një leje ndarjeje. Një pajisje që përgjigjet me refuzim i ka provuar tashmë dy kushtet e para, gjë që e ngushton ndjeshëm të tretin.

Testoni me llogarinë që i nevojiten vërtet skedarët, jo me llogarinë e administratorit nga instalimi, sepse të drejtat administrative nuk mund të rregullojnë një rrugë që mungon dhe një rrugë nuk mund të japë një leje ndarjeje. Edhe emrat kanë vendin e tyre këtu: një emër NAS i zbuluar në shtëpi shpesh varet nga multicast lokal, të cilin një tunel i rrugëtuar nuk e mbart, prandaj provoni emrin privat të hostit të dokumentuar nga prodhuesi ose vetë adresën për të ndarë emërtimin nga aksesi.

Testoni nga jashtë rrjetit të NAS, pastaj zgjeroni ngadalë

Një test i bërë në të njëjtin LAN fsheh çdo pjesë jo të plotë të rrugës së largët, dhe për këtë arsye përpjekja e parë e suksesshme e largët meriton një shënim në regjistrin e ndryshimeve. Kryeni kontrollet nga një klient që arrin NAS vetëm përmes tunelit, dhe ruani tekstin origjinal të gabimit të çdo përpjekjeje.

nc -vz 10.40.7.25 445
smbclient -L 10.40.7.25 -U guest

Pasi rruga funksionon, transferoni një skedar të padëmshëm dhe konfirmoni sjelljen e leximit ose shkrimit që ju nevojitet vërtet. Nëse transferimet e mëdha ngecin ndërsa të voglat kalojnë, problemi i mbetur është trajtimi i madhësisë së paketës ose qëndrueshmëria e lidhjes, jo adresimi.

Mos publikoni porta ndarjeje skedarësh ose administrimi në internet për të anashkaluar një defekt të pashpjeguar. Rregulloni rrugën private, mbani softuerin e NAS të mbështetur dhe testoni rikthimin e gjithçkaje që rezervoni përmes tij përpara se të mbështeteni te ai rezervim.