NAS oåtkomlig över VPN: adress, returväg eller tjänst?
En privat tunnel behöver en väg till NAS:en, en svarsväg och en tillåten tjänst. Avgör vilken av de tre som misslyckades innan du ändrar inloggningsuppgifter.
Tunnlar kommer upp, klienter får en adress och NAS:en svarar inte alls. Det enda symptomet täcker tre oberoende fel, och i vilken ordning du testar dem avgör hur lång reparationen blir. Adresseringen kommer först, eftersom ett överlappande subnät kan skicka din begäran till en främmande enhet. Returvägen kommer tvåa, eftersom en begäran som anländer utan svar ser identisk ut med en stängd tjänst. Tjänst och behörighet kommer sist, och först efter att de två första är bevisade.
Tre fel som alla läses som oåtkomligt
Adressval, returrouting och tjänstauktorisering ger samma synliga meddelande: ingenting händer. De har olika bevis, olika ägare och olika åtgärder, så att skilja dem åt är hela uppgiften. En ping som misslyckas bevisar lite i sig, och en lyckad TCP-avvisning är faktiskt goda nyheter.
| Observation | Most likely conclusion |
|---|---|
| Route to the NAS address leaves the wrong interface | Overlapping or missing private route |
| Request visible on the server, no reply seen | Return path, gateway forwarding or translation |
| TCP connection refused rather than dropped | Reachable host, service not listening or filtered |
| TCP works, login or file access fails | Share permission, account or protocol version |
Läs tabellen som en ordning för tester snarare än en lista över orsaker. Varje rad begränsar nästa, eftersom en avvisning redan bevisar att adressering och returväg fungerar. Att lägga tjugo minuter i brandväggsregler innan du kontrollerar vilket gränssnitt vägen valde är det vanligaste sättet att förlora en eftermiddag. Arbeta uppifrån och ned och stanna vid första raden som stämmer.
Villkor ett: är den adressen rätt enhet?
Skriv ned NAS:ens subnät och det intervall VPN:en delar ut till klienter, och jämför båda med nätverket som din laptop är på just nu. I den här genomgången sitter NAS:en på 10.40.7.25 och VPN-poolen är 10.40.9.0/24, två separata privata intervall inom en och samma platsplan; ett hushåll som använder 192.168.0.0/24 eller 10.0.0.0/24 har mycket större chans att kollidera med ett av dem.
När det lokala nätverket och NAS-nätverket överlappar skickar klienten den trafiken till sin egen gateway och kan nå en orelaterad enhet som råkar ha samma adress. Verifiera vägen innan du skriver in inloggningsuppgifter i vad som än svarar.
ip -4 route get 10.40.7.25
traceroute -n -m 5 10.40.7.25Det första kommandot anger gränssnittet och gatewayen som kärnan skulle använda, och det andra visar de första hopp som faktiskt svarar. Om de två inte stämmer, tro på uppslaget, för det är den väg paketet kommer att ta. En hopplista som stannar ett hopp före NAS:en är också ett fynd och inte ett misslyckande. Ett uppslag som löses ut mot det fysiska nätverkskortet i stället för tunneln avslutar undersökningen här.
Villkor två: kommer svaret tillbaka?
Klienten behöver en väg mot NAS:en, och NAS-nätverket behöver en returväg mot VPN-poolen. Gateway-vidarebefordran, brandväggsregler och medveten översättning påverkar var och en det paret. strongSwans anteckningar om vidarebefordran beskriver valen för returväg och översättning för ett privat subnät bakom en gateway.
När begäran anländer och svaret går ut via en annan gateway reparerar ingen DNS-ändring asymmetrin. En avlyssning på båda sidor avgör det i ett försök, och den visar också om översättningen skrev om källan som NAS:en svarade till. Administratören äger den gränsen: tillåt bara de tjänster som behövs och VPN-klientintervallet, och skriv ned om routing eller översättning valdes.
Villkor tre: finns tjänsten där och är den tillåten?
En administrationssida och en fildelningstjänst är olika slutpunkter på samma maskin, och den ena kan ta emot anslutningar medan den andra blockeras av värdens brandvägg, tjänstekonfigurationen eller en delningsbehörighet. En enhet som svarar med en avvisning har redan bevisat de två första villkoren, vilket begränsar det tredje avsevärt.
Testa med det konto som faktiskt behöver filerna, inte administratörskontot från installationen, eftersom administratörsrättigheter inte kan reparera en saknad väg och en väg inte kan ge en delningsbehörighet. Namn hör också hit: ett NAS-namn som hittas hemma beror ofta på lokal multicast, som en routad tunnel inte bär, så prova leverantörens dokumenterade privata värdnamn eller adressen själv för att skilja namngivning från åtkomst.
Testa utanför NAS-nätverket och bredda sedan långsamt
Ett test på samma LAN döljer varje ofullständig del av fjärrvägen, och därför förtjänar det första lyckade fjärrförsöket en anteckning i ändringsloggen. Kör kontrollerna från en klient som bara når NAS:en via tunneln, och spara den ursprungliga feltexten från varje försök.
nc -vz 10.40.7.25 445
smbclient -L 10.40.7.25 -U guestNär vägen fungerar överför du en ofarlig fil och bekräftar det läs- eller skrivbeteende du faktiskt behöver. Om stora överföringar stannar medan små lyckas är det kvarvarande problemet paketstorlekshantering eller anslutningsstabilitet och inte adressering.
Publicera inte fildelnings- eller administrationsportar på internet för att kringgå ett oförklarat fel. Reparera den privata vägen, håll NAS-programvaran supporterad och testa återställningen av allt du säkerhetskopierar över den innan du litar på säkerhetskopian.