Sayt VPN orqali ulangan disk: DNS, SMB va UNC yo'li
Tarmoqni aniqlash marshrutlangan ulanishdan o'tmaydi, lekin nomlangan UNC yo'li o'tadi. DNSni serverga yo'naltiring, SMBni ikki tomonga oching va keyin diskni ulang.
Explorer'dagi Tarmoq sahifasi mahalliy segmentda o'zini e'lon qilgan qurilmalarni ko'rsatadi va marshrutlangan tunnel bu e'lonlarning birortasini ham tashimaydi. Shuning uchun server to'liq ochiq bo'lishi mumkin, foydalanuvchi oldidagi oyna esa bo'sh qoladi. Nomlangan UNC yo'li aniqlashga umuman bog'liq emas va yechim nomning hal bo'lishi hamda portning javob berishini ta'minlashdir. Bo'sh oyna buzilgan umumiy papkaning emas, noto'g'ri qatlamning belgisidir.
Aniqlash ochiqlik bilan bir xil narsa emas
Windows yaqin atrofdagi mashinalarni eshittirish domeni uchun mo'ljallangan protokollar orqali topadi va topilganlarini qulaylik ro'yxati sifatida taqdim etadi. Bu ro'yxatdan hech narsa SMB fayl kirishi uchun talab qilinmaydi. Server nomini biladigan va TCP 445ga yeta oladigan mijoz mashina Tarmoq ostida hech qachon ko'rinmasa ham umumiy papkani ochadi.
Ikki qatlam bir-biridan mustaqil ishdan chiqadi, shuning uchun "men uni ko'rmayapman" va "men uni ocha olmayapman" turli sinovlarga loyiq. Ro'yxatga qarash aniqlash haqida gapiradi; yo'lni ochish xizmat haqida gapiradi.
Umumiy papkani ulashdan oldin serverga nom bering
Fayl serverini DNSda uning narigi tomondagi manzili bilan e'lon qiling va mijoz saytini shu zona uchun javob bera oladigan hal qiluvchiga yo'naltiring. To'liq malakali nom qisqa nomning bir saytda ishlab, boshqasida ishlamasligining odatiy sababi bo'lgan mahalliy qo'shimcha qidiruv ro'yxatiga bog'liqlikdan qutqaradi.
Agar muhit Active Directory ishlatsa, nomlarni hal qilish autentifikatsiyaning ham qismidir: mijoz Kerberos uchun domen kontrolleriga yetishi kerak va juda chetga ketgan soat bilet almashinuvini ishdan chiqaradi. Bu SMB ochiqligidan boshqa muammo va hisob ma'lumotlari xatosiga o'xshaydi. Parolni qayta yozishdan oldin domen kontrollerini sinab ko'ring.
| Layer | What it needs | Symptom when missing |
|---|---|---|
| Name resolution | A DNS answer for the server name | Path cannot be found, ping by IP still works |
| Transport | TCP 445 open in both directions | Connection times out or is refused |
| Authentication | A reachable domain controller and correct clock | Access is denied after the port connects |
| Authorization | Share permission and filesystem permission | The share opens but the folder is inaccessible |
Ikki tomonga ham marshrutlash va filtrlash
Saytlar orasidagi tunnelga mahalliy marshrut jadvalida uzoq prefiks va uzoq jadvalda mahalliy prefiks kerak, har tomondagi xavfsizlik devori esa kelayotgan trafikni ruxsat berishi lozim. Bir tomonlama sozlama ochilib, hech qachon javob bermaydigan ulanish hosil qiladi, foydalanuvchilar buni umumiy pakpaning sekinligi deb ta'riflaydi. Avval tunnelning o'z hisoblagichlarini tekshiring. Paketlar chiqib, hech narsa qaytmasa, qaytish marshrutini yoki uzoq filtrni qidiring.
WireGuardda peerning ruxsat etilgan IPlari va operatsion tizim marshrutlari shu loyihaga mos kelishi kerak. Tunnel paketlarni tashiydi; u DNS yozuvlari yoki umumiy papka ruxsatlarini taqdim etmaydi ikkala tomonda ham.
Xavfsizlik devori qoidasini haqiqatda ulanadigan manba tarmoqqa asoslang va istisnoni yozib qo'ying. Agar loyiha yo'lning bir joyida manzillarni o'girsa, qoida o'girilgan manbadan foydalanishi kerak va asl mijoz manzili endi jurnallarda ko'rinmaydi.
Autentifikatsiyadan o'ting, keyin diskni ulang
Qatlamlardan Explorer oynasi bilan emas, buyruqlar bilan o'ting:
Resolve-DnsName -Name files.corp.example -Type A
Test-NetConnection -ComputerName files.corp.example -Port 445
net use Z: \\files.corp.example\Projects /persistent:noIkkinchi buyruq TCP yo'lini isbotlaydi, biror narsa o'qish huquqini emas. Uchinchisi autentifikatsiya va avtorizatsiya qo'llanadigan joy va u yerdagi muvaffaqiyatsizlik sizni marshrutizatorga emas, umumiy papka va fayl tizimi ruxsatlariga yuborishi kerak.
SMB imzolash va mavjud autentifikatsiya siyosatini o'zgarmas saqlang. Aniq yo'l uchun SMB1ni qayta yoqish yoki aniqlash eshittirishlarini tunnel orqali o'tkazish kerak emas va TCP 445 internetga qaragan yo'naltirishda emas, xususiy yo'lda qolishi kerak. Foydalanuvchilarga tasdiqlangan nomga boshqariladigan yorliq yoki ulangan disk bering va bo'sh Tarmoq sahifasi ahamiyatli bo'lmay qoladi.