OpenVPN ga ulangansiz, lekin ping yoki SMB almashinuvi yo‘qmi? Uch darvozani tekshiring

Tunnel ko‘tariladi, mijoz manzil oladi, lekin uzoqdagi LANda hech narsa javob bermaydi. Ping ishlamaydi, almashinuv ochilmaydi, VPN jurnali esa toza ko‘rinadi, chunki uning nuqtai nazaridan sessiya sog‘lom. O‘sha sessiya bilan serverdagi fayl o‘rtasida uchta mustaqil darvoza bor: yo‘naltirish siyosati, xizmatga kerak bo‘lgan portlar va manzil o‘rniga siz tergan nom.

Har bir darvoza boshqa alomat bilan ishlamaydi, faqat birinchisi VPN serverida.

Yo‘naltirish — FORWARD zanjiridagi siyosat

OpenVPN tinglovchisini qabul qilish INPUTda sodir bo‘ladi, shuning uchun LANga qaratilgan har bir paket tashlab yuborilsa ham tunnel ulanishi mumkin. tun0 dan kelib, LAN interfeysi orqali chiqadigan trafik FORWARDdan o‘tadi, u yerda esa standart DROP siyosati bo‘lgan xost uni jimgina tashlab yuboradi. Boshqa narsaga tegishdan oldin sysctl va zanjirni ham tekshiring: sysctl net.ipv4.ip_forward va iptables -L FORWARD -v -n.

O‘zingiz istagan yo‘nalishga va unga tegishli javoblarga ruxsat bering, masalan tunnel interfeysidan LAN interfeysiga accept qoidasi va established hamda related trafik uchun stateful qoida. Agar LAN boshqa router orqasida bo‘lsa, o‘sha routerga mijozlar hovuziga qaytish yo‘li yoki VPN serverida source NAT kerak. Yangi qoidalar qo‘shishdan oldin bu yo‘lni bitta ping bilan tasdiqlang, chunki yetib bo‘lmaydigan qoida hech qachon hisoblagichda ko‘rinmaydi.

SMB ga bir nechta port kerak

Fayl almashinuvi bitta TCP 445 suhbati emas. Aniqlash UDP 137 va 138 dan foydalanadi, eski NetBIOS sessiyalari TCP 139, zamonaviy SMB sessiyalari esa TCP 445 dan foydalanadi. Faqat 445 ni ochadigan qoida xaritaga olingan disk ishlab, tarmoqni ko‘rib chiqish ishlamaydigan yoki aksincha bo‘ladigan asabiy holatni keltirib chiqaradi.

Tunnel orqali katta uzatmalar ham buzilgan almashinuvga o‘xshab ko‘rinadigan MSS muammolariga duch keladi. LANning to‘liq segment o‘lchamini e’lon qiladigan SYN tunnelning kichikroq MTUsi tufayli tashlanadi va ulanish qo‘l berib ko‘rishishdan keyin osilib qoladi. Yo‘naltirish yo‘lida MSSni cheklash, iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu, shu turdagi to‘xtashni yo‘q qiladi. Katalog ro‘yxati o‘rniga bir necha megabaytlik nusxa bilan tekshiring, chunki katta uzatmalar o‘tmasa ham kichik javoblar o‘tadi.

Tunnel adapteri yangi tarmoq profili sifatida keladi

Windows har bir adapterni tarmoq profiliga tasniflaydi, yangi tunnel adapteri odatda Public ga tushadi, u yerda fayl va printer almashinuvi qoidalari bloklangan. Bu fayl serveridagi xost xavfsizlik devorining qarori, VPN serveridagi marshrutlash muammosi emas. Siyosat ruxsat berishiga ishonch hosil qilgandan keyin ataylab toifani o‘zgartiring Set-NetConnectionProfile -InterfaceAlias "Ethernet 3" -NetworkCategory Private yordamida, chunki toifa qaysi kiruvchi qoidalar amal qilishini ham o‘zgartiradi.

Xuddi shu profil TCP 445 muvaffaqiyatli bo‘lganda ping nega ishlamasligini tushuntiradi: Public da aks-sado so‘rovlari sukut bo‘yicha tashlanadi.

Nomlar marshrutlangan tunneldan o‘z-o‘zidan o‘tmaydi

NetBIOS nom hal qilish va mahalliy aniqlash marshrutlangan tunnel ko‘tarmaydigan translyatsiyalarga tayanadi. Shuning uchun serverning qisqa nomini terish muvaffaqiyatsiz bo‘ladi, manzili esa ishlaydi, faqat qidiruv buzilganda ham almashinuv buzilgandek ko‘rinadi. Tunnel beradigan hal qilgichga server uchun DNS yozuvi qo‘shing yoki yorliqda manzildan foydalaning.

Agar joriy etish hali ham WINS ga bog‘liq bo‘lsa, translyatsiya trafigi paydo bo‘lishini kutmasdan uni mijozda sozlang. Avval manzil bilan sinab ko‘ring, nom xatosi xavfsizlik devori xatosi bilan aralashtirilmasin.

Bir vaqtda bitta qatlamni sinab ko‘ring va birinchi xatoni o‘qing

Pastdan yuqoriga yuring: tunnel shlyuziga ping yuboring, manzil bo‘yicha LAN xostiga ping yuboring, keyin Test-NetConnection -ComputerName 10.8.0.5 -Port 445 orqali xizmat portini oching va shundan keyingina almashinuvda autentifikatsiyadan o‘ting. Birinchi muvaffaqiyatsiz qadam tuzatilishi kerak bo‘lgan qatlam, keyingi har bir qadam esa u o‘tmaguncha shovqin. Port yopiq turganda javob beradigan ping fayl serverining o‘z xavfsizlik devoriga ishora qiladi, jim pinglarga qaramay ochiladigan port esa ICMP filtrlashiga ishora qiladi. Biror narsani o‘zgartirishdan oldin birinchi muvaffaqiyatsiz qadamni yozib qo‘ying, chunki ikkinchi o‘zgarish birinchisining natijasini yashiradi.

Agar VPN server LANning routeri bo‘lmasa, o‘sha routerda qaytish yo‘lini tasdiqlang serverga ko‘proq qoidalar qo‘shishdan oldin. Usiz so‘rovlar xostga yetib boradi va javoblar standart yo‘l bo‘ylab internetga chiqadi, bu mijoz tomondan xuddi xavfsizlik devori tashlagandek ko‘rinadi.

Yozuvlaringizda almashinuv hisobini VPN kirishidan alohida saqlang, chunki muvaffaqiyatli tunnel fayl ruxsatlari haqida hech narsa demaydi. Yetishmayotgan qoidani chetlab o‘tish uchun SMB ni internetga ochish yechim emas.