NAS VPN orqali yetib bo'lmaydi: manzil, qaytish yo'li yoki xizmat?
Xususiy tunnel NAS tomon yo'nalish, javob yo'li va ruxsat etilgan xizmatni talab qiladi. Kirish ma'lumotlarini o'zgartirishdan oldin uchtadan qaysi biri ishlamay qolganini aniqlang.
Tunnellar ko'tariladi, mijozlar manzil oladi, NAS esa umuman javob bermaydi. Bu bitta alomat uchta bog'lanmagan nosozlikni qamrab oladi va ularni tekshirish tartibi ta'mirlash qancha davom etishini belgilaydi. Manzillash birinchi keladi, chunki bir-biriga tushib qolgan quyi tarmoq so'rovingizni begona qurilmaga yuborishi mumkin. Qaytish yo'li ikkinchi keladi, chunki javobsiz kelgan so'rov yopiq xizmatga aynan o'xshaydi. Xizmat va ruxsat oxirida keladi va faqat birinchi ikkitasi isbotlangandan keyin.
Barchasi yetib bo'lmaydi deb o'qiladigan uchta nosozlik
Manzil tanlash, qaytish marshrutlash va xizmat avtorizatsiyasi bir xil ko'rinadigan xabar beradi: hech narsa sodir bo'lmaydi. Ularning dalillari, mas'ullari va tuzatishlari har xil, shuning uchun ularni ajratish butun ishdir. Muvaffaqiyatsiz ping o'zi oz narsani isbotlaydi, muvaffaqiyatli TCP rad esa aslida yaxshi xabar.
| Observation | Most likely conclusion |
|---|---|
| Route to the NAS address leaves the wrong interface | Overlapping or missing private route |
| Request visible on the server, no reply seen | Return path, gateway forwarding or translation |
| TCP connection refused rather than dropped | Reachable host, service not listening or filtered |
| TCP works, login or file access fails | Share permission, account or protocol version |
Jadvalni sabablar ro'yxati emas, tekshiruvlar tartibi sifatida o'qing. Har bir qator keyingisini cheklaydi, chunki rad javob manzillash va qaytish yo'li ishlayotganini allaqachon isbotlaydi. Marshrut qaysi interfeysni tanlaganini tekshirishdan oldin xavfsizlik devori qoidalari ichida yigirma daqiqa o'tkazish tushdan keyin vaqtni yo'qotishning eng keng tarqalgan usulidir. Yuqoridan pastga ishlang va mos keladigan birinchi qatorda to'xtang.
Birinchi shart: o'sha manzil to'g'ri qurilmami?
NAS quyi tarmog'i va VPN mijozlarga beradigan diapazonni yozib oling, so'ng ikkalasini noutbuingiz hozir turgan tarmoq bilan solishtiring. Bu ko'rib chiqishda NAS 10.40.7.25 manzilida, VPN hovuzi esa 10.40.9.0/24, bitta sayt rejasi ichidagi ikki alohida xususiy diapazon; 192.168.0.0/24 yoki 10.0.0.0/24 ishlatadigan uy xo'jaligining ulardan biri bilan to'qnashish ehtimoli ancha yuqori.
Mahalliy tarmoq va NAS tarmog'i bir-biriga tushib qolganda, mijoz bu trafikni o'z shlyuziga yuboradi va tasodifan bir xil manzilga ega aloqasiz qurilmaga yetib borishi mumkin. Javob beradigan har qanday narsaga kirish ma'lumotlarini kiritishdan oldin yo'lni tekshiring.
ip -4 route get 10.40.7.25
traceroute -n -m 5 10.40.7.25Birinchi buyruq yadro ishlatadigan interfeys va shlyuzni nomlaydi, ikkinchisi esa haqiqatan javob beradigan birinchi sakrashlarni ko'rsatadi. Agar ikkalasi mos kelmasa, qidiruvga ishoning, chunki paket shu yo'ldan boradi. NASdan bir sakrash oldin to'xtaydigan sakrashlar ro'yxati ham nosozlik emas, topilma. Tunnelga emas, jismoniy adapterga hal bo'ladigan qidiruv tekshiruvni shu nuqtada tugatadi.
Ikkinchi shart: javob qaytadimi?
Mijozga NAS tomon yo'nalish, NAS tarmog'iga esa VPN hovuzi tomon qaytish yo'li kerak. Shlyuz uzatishi, xavfsizlik devori qoidalari va qasddan manzil tarjimasi bu juftlikning har biriga ta'sir qiladi. strongSwan'ning uzatish haqidagi eslatmalari shlyuz orqasidagi xususiy quyi tarmoq uchun qaytish marshruti va tarjima tanlovlarini tasvirlaydi.
So'rov yetib kelganda va javob boshqa shlyuzdan chiqqanda, hech qanday DNS o'zgarishi assimetriyani tuzatmaydi. Ikki tomondagi yozib olish buni bitta urinishda hal qiladi va tarjima NAS javob bergan manbani qayta yozgan-yozmaganini ham ko'rsatadi. Administrator bu chegaraga javobgar: faqat kerakli xizmatlarga va VPN mijoz diapazoniga ruxsat bering va marshrutlash yoki tarjima tanlanganini yozib qo'ying.
Uchinchi shart: xizmat bormi va ruxsat etilganmi?
Boshqaruv sahifasi va fayl almashish xizmati bir mashinadagi turli so'nggi nuqtalardir va biri ulanishlarni qabul qilishi mumkin, ikkinchisi esa xostning xavfsizlik devori, xizmat konfiguratsiyasi yoki almashish ruxsati bilan bloklanadi. Rad bilan javob bergan qurilma birinchi ikki shartni allaqachon isbotlagan, bu uchinchisini sezilarli darajada toraytiradi.
Fayllar haqiqatan kerak bo'lgan hisob bilan sinab ko'ring, o'rnatish paytida ishlatilgan administrator hisobi bilan emas, chunki administrator huquqlari yo'qolgan marshrutni tuzata olmaydi va marshrut almashish ruxsatini bera olmaydi. Nomlar ham shu yerga tegishli: uyda topilgan NAS nomi ko'pincha mahalliy multicastga bog'liq bo'ladi, marshrutlangan tunnel uni tashimaydi, shuning uchun nomlashni kirishdan ajratish uchun ishlab chiqaruvchining hujjatlashtirilgan xususiy xost nomini yoki manzilning o'zini sinab ko'ring.
NAS tarmog'idan tashqarida sinang, so'ng asta-sekin kengaytiring
Xuddi shu LAN ichida o'tkazilgan sinov masofaviy yo'lning har bir to'liq bo'lmagan qismini yashiradi, shuning uchun birinchi muvaffaqiyatli masofaviy urinish o'zgarishlar jurnalida yozuvga loyiq. Tekshiruvlarni NASga faqat tunnel orqali yetadigan mijozdan bajaring va har bir urinishning asl xato matnini saqlang.
nc -vz 10.40.7.25 445
smbclient -L 10.40.7.25 -U guestYo'l ishlagandan so'ng zararsiz faylni uzating va sizga haqiqatan kerak bo'lgan o'qish yoki yozish xatti-harakatini tasdiqlang. Katta uzatishlar to'xtab, kichiklari o'taversa, qolgan muammo paket o'lchamini qayta ishlash yoki ulanish barqarorligi, manzillash emas.
Tushuntirilmagan nosozlikni chetlab o'tish uchun fayl almashish yoki boshqaruv portlarini internetga ochmang. Xususiy yo'lni tuzating, NAS dasturiy ta'minotini qo'llab-quvvatlanadigan holda saqlang va u orqali zaxiralaydigan barcha narsaning tiklanishini o'sha zaxiraga tayanishdan oldin sinab ko'ring.