Мережеві ресурси не видно через VPN? Виявлення зупиняється

Ресурс відкривається, коли ви вводите його шлях, а мережевий браузер не показує нічого. Таке поєднання звичайне для тунелю і зазвичай не є несправністю. Виявлення запитує локальний сегмент; доступність запитує один хост. Маршрутизований тунель несе друге, а не перше.

Виявлення й доступність відокремлені

Список перегляду створюють протоколи, які оголошують служби локальному сегменту й слухають ці оголошення. Відкрити ресурс за іменем — це пряме підключення до одного хоста. Першому потрібен домен широкомовлення або багатоадресної розсилки; другому потрібен маршрут і порт.

Через тунель друге може працювати бездоганно, поки перше повертає порожнє вікно. Якщо вважати порожнє вікно несправністю, ви вирушите шукати зламаний тунель, який виконує свою роботу.

Чому список перегляду лишається порожнім

Windows скасувала службу Computer Browser і типово вимкнула SMB версії 1, що прибрало механізм, який стояв за старою «Мережею». Замінники на кшталт WS-Discovery, SSDP і багатоадресного DNS адресують групи широкомовлення або багатоадресної розсилки, які існують лише в локальному каналі. Тунель «точка-точка» не має такого каналу, і маршрутизатори типово не передають ці групи. Кожен хост може бути доступним, а список може залишатися порожнім.

Деякі програми додають власного помічника виявлення. Коли цей помічник працює, це функція програми, а не властивість тунелю.

Використовуйте явні імена, потім підтвердьте доступ

Шлях UNC, підключений диск або підключення Finder до адреси SMB працює через тунель, щойно ім’я розв’язується і порт відкритий. Розв’язання може прийти з DNS, із суфікса пошуку, який надає VPN, або із централізовано керованого запису hosts. У домені запит до каталогу може перелічити об’єкти комп’ютерів, і цей список зазвичай найближча заміна поданню перегляду в маршрутизованій мережі. Сканування портів відомих префіксів припустиме лише в мережах, якими ви керуєте або які вам явно дозволено тестувати.

Хост, який відповідає, не обіцяє, що ресурс відкриється. У NAS може бути список дозволів, обмежений власною підмережею, який відкидає адреси пулу VPN. Правило брандмауера файлового сервера може називати лише локальну підмережу. Обліковий запис, який ви надаєте для ресурсу, може бути локальним записом, що ніколи не створювався на цьому сервері, і підключення через VPN його не створює.

Деякі корпоративні програми навмисно блокують локальний трафік і трафік віртуальних машин, поки тунель активний. Цей відсутній доступ — політика, і виправлення належить адміністратору, а не таблиці маршрутизації програми.

Порядок діагностики, який варто повторити

Проходьте рівні по черзі: досягніть адреси, розв’яжіть ім’я, відкрийте порт 445, пройдіть автентифікацію, потім прочитайте дозволи ресурсу. Кожна відповідь окрема, і забігання наперед дає впевнений хибний висновок. Лише після того, як усі пройдуть, виявлення варто досліджувати.

nslookup fileserver.example.com
nc -vz fileserver.example.com 445
smbclient -L //fileserver.example.com -U EXAMPLE/jdoe

Залиште нотатку з іменем сервера, шляхом ресурсу, адресою, на яку він розв’язався, та обліковим записом, який спрацював. Якщо список перегляду згодом заповниться після перезапуску служби, вважайте це особливістю виявлення, а не доказом того, що попередній маршрут був хибним. Саме нотатка дає змогу наступній людині пропустити порожнє вікно.