NAS недоступан преко VPN-а: адреса, повратни пут или услуга?
Приватни тунел захтева руту до NAS, повратни пут и дозвољену услугу. Одлучите која од три ставке је отказала пре него што промените акредитиве.
Тунели се подижу, клијенти добијају адресу, а NAS не одговара баш ништа. Тај један симптом покрива три неповезана квара, а редослед којим их проверавате одлучује колико ће поправка трајати. Адресирање је прво, јер преклопљена подмрежа може да пошаље захтев на туђи уређај. Повратни пут је други, јер захтев који стиже без одговора изгледа исто као затворена услуга. Услуга и дозвола су последње, и то само пошто су прва два доказана.
Три квара која се сва читају као недоступно
Избор адресе, повратно рутирање и ауторизација услуге дају исту видљиву поруку: ништа се не дешава. Они имају различите доказе, различите одговорне и различите поправке, па је њихово раздвајање цео задатак. Ping који не прође сам по себи доказује мало, а успешно TCP одбијање је заправо добра вест.
| Observation | Most likely conclusion |
|---|---|
| Route to the NAS address leaves the wrong interface | Overlapping or missing private route |
| Request visible on the server, no reply seen | Return path, gateway forwarding or translation |
| TCP connection refused rather than dropped | Reachable host, service not listening or filtered |
| TCP works, login or file access fails | Share permission, account or protocol version |
Читајте табелу као редослед провера, а не као списак узрока. Сваки ред ограничава следећи, јер одбијање већ доказује да адресирање и повратни пут раде. Провести двадесет минута у правилима заштитног зида пре него што проверите који је интерфејс изабрао руту најчешћи је начин да изгубите поподне. Радите одозго надоле и зауставите се на првом реду који се поклапа.
Услов један: је ли та адреса прави уређај?
Запишите подмрежу NAS-а и опсег који VPN даје клијентима, па упоредите оба са мрежом у којој је ваш лаптоп сада. У овом прегледу NAS стоји на 10.40.7.25, а базен VPN-а је 10.40.9.0/24, два одвојена приватна опсега унутар једног плана локације; домаћинство које користи 192.168.0.0/24 или 10.0.0.0/24 има много веће шансе да се сукоби са једним од њих.
Када се локална мрежа и мрежа NAS-а преклопе, клијент шаље тај саобраћај на сопствени мрежни пролаз и може да стигне до неповезаног уређаја који случајно има исту адресу. Проверите пут пре него што унесете акредитиве у било шта што одговори.
ip -4 route get 10.40.7.25
traceroute -n -m 5 10.40.7.25Прва команда именује интерфејс и пролаз које би користило језгро, а друга приказује прве скокове који заиста одговарају. Ако се две слике не слажу, верујте претрази, јер то је пут којим ће пакет ићи. Списак скокова који се зауставља један скок пре NAS-а је такође налаз, а не неуспех. Претрага која се разрешава на физички адаптер уместо на тунел завршава истрагу у том тренутку.
Услов два: враћа ли се одговор?
Клијенту је потребна рута ка NAS-у, а мрежи NAS-а повратни пут ка базену VPN-а. Прослеђивање на пролазу, правила заштитног зида и намерна транслација адреса свако утиче на тај пар. Белешке strongSwan о прослеђивању описују изборе повратне руте и транслације за приватну подмрежу иза пролаза.
Када захтев стигне, а одговор изађе кроз други пролаз, никаква промена DNS-а не поправља асиметрију. Снимак са обе стране решава то у једном покушају и показује да ли је транслација преписала извор на који је NAS одговорио. Администратор је одговоран за ту границу: дозволите само потребне услуге и опсег VPN клијената и запишите да ли је изабрано рутирање или транслација.
Услов три: постоји ли услуга и је ли дозвољена?
Страница за управљање и услуга дељења датотека различите су крајње тачке на истој машини, и једна може да прихвата везе док другу блокира заштитни зид домаћина, конфигурација услуге или дозвола за дељење. Уређај који одговори одбијањем већ је доказао прва два услова, што трећи знатно сужава.
Тестирајте налогом који заиста треба датотеке, а не администраторским налогом из инсталације, јер администраторска права не могу да поправе руту која недостаје, а рута не може да додели дозволу за дељење. И имена ту имају место: име NAS-а откривено код куће често зависи од локалног multicast-а, који рутирани тунел не преноси, зато пробајте документовано приватно име домаћина произвођача или саму адресу да бисте одвојили именовање од приступа.
Тестирајте изван мреже NAS-а, па полако проширујте
Тест у истој локалној мрежи крије сваки непотпуни део удаљеног пута, и зато први успешни удаљени покушај заслужује белешку у дневнику измена. Изводите провере са клијента који до NAS-а стиже само кроз тунел и чувајте оригинални текст грешке из сваког покушаја.
nc -vz 10.40.7.25 445
smbclient -L 10.40.7.25 -U guestКада пут проради, пренесите безазлену датотеку и потврдите понашање читања или писања које вам заиста треба. Ако се велики преноси заустављају, а мали пролазе, преостали проблем је руковање величином пакета или стабилност везе, а не адресирање.
Не објављујте портове за дељење датотека или администрацију на интернету да бисте заобишли необјашњен квар. Поправите приватни пут, држите софтвер NAS-а подржаним и тестирајте враћање свега што копирате преко њега пре него што се уздате у ту резервну копију.