Umeunganishwa na OpenVPN lakini hakuna ping au ushirikiano wa SMB? Angalia malango matatu

Tuneli inakuja juu, mteja anapata anwani, na hakuna kitu kwenye LAN ya mbali kinachojibu. Ping inashindikana, ushirikiano haufunguki, na kumbukumbu ya VPN inaonekana safi kwa sababu kwa mtazamo wake kikao ni kizuri. Kati ya kikao hicho na faili kwenye seva kuna malango matatu huru: sera ya uelekezaji, bandari zinazohitajika na huduma, na jina ulilochapa badala ya anwani.

Kila lango linashindikana kwa dalili tofauti, na ni la kwanza pekee lililo kwenye seva ya VPN.

Uelekezaji ni sera kwenye mnyororo wa FORWARD

Kukubali kwa msikilizaji wa OpenVPN hufanyika kwenye INPUT, ndiyo sababu tuneli inaweza kuunganishwa wakati kila pakiti inayoelekea LAN inatupwa. Trafiki inayofika kwenye tun0 na kutoka kupitia kiolesura cha LAN hupitia FORWARD, na mwenyeji mwenye sera chaguo-msingi ya DROP hapo anaitupa kimyakimya. Kabla ya kugusa kitu kingine chochote, angalia sysctl na mnyororo wote wawili: sysctl net.ipv4.ip_forward na iptables -L FORWARD -v -n.

Ruhusu mwelekeo unaokusudia na majibu yanayohusiana nayo, kwa mfano sheria ya accept kutoka kiolesura cha tuneli hadi kiolesura cha LAN pamoja na sheria ya stateful kwa trafiki ya established na related. Ikiwa LAN iko nyuma ya kipanga-njia kingine, kipanga-njia hicho kinahitaji njia ya kurudi kwenye dimbwi la wateja au source NAT kwenye seva ya VPN. Thibitisha njia hiyo kwa ping moja kabla ya kuongeza sheria zaidi, kwa sababu sheria isiyoweza kufikiwa haionekani kamwe kwenye kihesabu.

SMB inahitaji bandari zaidi ya moja

Ushirikiano wa faili si mazungumzo moja ya TCP 445. Ugunduzi hutumia UDP 137 na 138, vikao vya zamani vya NetBIOS hutumia TCP 139, na vikao vya kisasa vya SMB hutumia TCP 445. Sheria inayofungua 445 pekee huunda hali ya kuchukiza ambapo kiendeshi kilichopangwa hufanya kazi na uvinjari wa mtandao haufanyi, au kinyume chake.

Uhamishaji mkubwa kupitia tuneli pia hukutana na matatizo ya MSS yanayofanana na ushirikiano uliovunjika. SYN inayotangaza ukubwa kamili wa sehemu ya LAN hutupwa na MTU ndogo ya tuneli, na muunganisho huning’inia baada ya kupeana mkono. Kufunga MSS kwenye njia ya uelekezaji, iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu, huondoa aina hiyo ya kukwama. Thibitisha kwa nakala ya megabaiti chache badala ya orodha ya saraka, kwa sababu majibu madogo hupita hata wakati uhamishaji mkubwa haupiti.

Adapta ya tuneli huja kama wasifu mpya wa mtandao

Windows huainisha kila adapta katika wasifu wa mtandao, na adapta mpya ya tuneli kawaida hutua katika Public, ambako sheria za ushirikiano wa faili na printa zimezuiwa. Hiyo ni uamuzi wa firewall ya mwenyeji kwenye seva ya faili, si tatizo la uelekezaji kwenye seva ya VPN. Badilisha kategoria kwa makusudi ukitumia Set-NetConnectionProfile -InterfaceAlias "Ethernet 3" -NetworkCategory Private baada ya kuthibitisha kwamba sera inaruhusu, kwa sababu kategoria pia hubadilisha sheria zipi za kuingia zinatumika.

Wasifu huo huo unaeleza ping inayoshindikana wakati TCP 445 inafanikiwa: maombi ya mwangwi hutupwa katika Public kwa chaguo-msingi.

Majina hayavuki tuneli iliyoelekezwa yenyewe

Utatuzi wa majina wa NetBIOS na ugunduzi wa ndani hutegemea matangazo ambayo tuneli iliyoelekezwa haibebi. Ndiyo sababu kuandika jina fupi la seva kunashindikana wakati anwani yake inafanya kazi, na ushirikiano unaonekana umevunjika wakati utafutaji pekee umevunjika. Ongeza rekodi ya DNS kwa seva kwenye kitatuzi ambacho tuneli hutoa, au tumia anwani kwenye njia ya mkato.

Ikiwa usambazaji bado unategemea WINS, uisanidi kwenye mteja badala ya kutumaini kwamba trafiki ya matangazo itaonekana. Jaribu kwa anwani kwanza ili kushindikana kwa jina kusichukuliwe kama kushindikana kwa firewall.

Jaribu tabaka moja kwa wakati na usome kushindikana kwa kwanza

Panda juu: ping lango la tuneli, ping mwenyeji wa LAN kwa anwani, kisha fungua bandari ya huduma ukitumia Test-NetConnection -ComputerName 10.8.0.5 -Port 445, na hapo ndipo uthibitishe utambulisho kwenye ushirikiano. Hatua ya kwanza inayoshindikana ndiyo tabaka la kurekebisha, na kila hatua inayofuata ni kelele hadi hiyo ipite. Ping inayojibu wakati bandari inabaki imefungwa inaonyesha firewall ya seva ya faili yenyewe, ilhali bandari inayofunguka licha ya ping za kimya inaonyesha uchujaji wa ICMP. Andika hatua ya kwanza inayoshindikana kabla ya kubadilisha chochote, kwa sababu badiliko la pili huficha matokeo ya la kwanza.

Ikiwa seva ya VPN si kipanga-njia cha LAN, thibitisha njia ya kurudi kwenye kipanga-njia hicho kabla ya kuongeza sheria zaidi kwenye seva. Bila hiyo maombi hufika kwa mwenyeji na majibu hutoka kwa njia chaguo-msingi kuelekea intaneti, jambo ambalo kwa upande wa mteja linaonekana kama kutupwa na firewall.

Weka akaunti ya ushirikiano mbali na kuingia kwa VPN kwenye maelezo yako, kwa sababu tuneli iliyofanikiwa haisemi chochote kuhusu ruhusa za faili. Kuweka SMB kwenye intaneti ili kuepuka sheria inayokosekana si suluhisho.