Ổ đĩa được ánh xạ qua VPN site: DNS, SMB và đường dẫn UNC

Trang Mạng trong Explorer hiển thị các thiết bị đã tự công bố trên phân đoạn cục bộ, và một đường hầm được định tuyến không mang theo bất kỳ công bố nào trong số đó. Vì vậy một máy chủ có thể hoàn toàn truy cập được trong khi cửa sổ trước mặt người dùng vẫn trống. Một đường dẫn UNC có tên không phụ thuộc vào việc dò tìm chút nào, và cách khắc phục là làm cho tên phân giải được và cổng trả lời. Cửa sổ trống là triệu chứng của sai tầng, không phải của thư mục chia sẻ hỏng.

Dò tìm không giống với khả năng tiếp cận

Windows tìm các máy gần đó qua những giao thức được thiết kế cho miền quảng bá, rồi trình bày kết quả tìm được dưới dạng danh sách tiện lợi. Không có gì trong danh sách đó là cần thiết cho việc truy cập tệp qua SMB. Một máy khách biết tên máy chủ và tới được TCP 445 sẽ mở thư mục chia sẻ, bất kể máy đó có bao giờ xuất hiện trong Mạng hay không.

Hai tầng hỏng độc lập với nhau, nên "tôi không thấy nó" và "tôi không mở được nó" đáng được kiểm tra khác nhau. Nhìn vào danh sách cho biết về việc dò tìm; mở đường dẫn cho biết về dịch vụ.

Đặt tên cho máy chủ trước khi ánh xạ thư mục chia sẻ

Công bố máy chủ tệp trong DNS với địa chỉ mà nó có ở phía bên kia, và trỏ site của máy khách tới một resolver có thể trả lời cho vùng đó. Một tên đầy đủ tránh phụ thuộc vào danh sách hậu tố tìm kiếm cục bộ, vốn là lý do thường gặp khiến tên ngắn hoạt động ở site này mà thất bại ở site khác.

Nếu môi trường dùng Active Directory, việc phân giải tên cũng là một phần của xác thực: máy khách phải tới được bộ điều khiển miền cho Kerberos, và một đồng hồ lệch quá nhiều sẽ làm trao đổi vé thất bại. Đó là vấn đề khác với khả năng tiếp cận SMB và trông giống lỗi thông tin đăng nhập. Hãy kiểm tra bộ điều khiển miền trước khi gõ lại mật khẩu.

Định tuyến và lọc theo cả hai chiều

Một đường hầm site-to-site cần tiền tố phía xa trong bảng định tuyến cục bộ và tiền tố cục bộ trong bảng phía xa, và tường lửa ở mỗi bên phải cho phép lưu lượng đi vào. Cấu hình một chiều tạo ra kết nối mở ra và không bao giờ trả lời, điều mà người dùng mô tả là thư mục chia sẻ chậm. Trước tiên hãy kiểm tra bộ đếm của chính đường hầm. Nếu gói đi ra mà không có gì quay lại, hãy tìm tuyến quay về hoặc bộ lọc phía xa.

Với WireGuard, các IP được phép của peer và tuyến của hệ điều hành phải khớp với thiết kế đó. Đường hầm mang gói tin; nó không cung cấp bản ghi DNS hay quyền chia sẻ ở bất kỳ bên nào.

Đặt quy tắc tường lửa dựa trên mạng nguồn thực tế sẽ kết nối, và ghi lại ngoại lệ. Nếu thiết kế có dịch địa chỉ ở đâu đó trên đường đi, quy tắc phải dùng nguồn đã dịch, và địa chỉ gốc của máy khách không còn hiển thị trong nhật ký.

Xác thực, rồi ánh xạ ổ đĩa

Đi qua các tầng bằng lệnh thay vì cửa sổ Explorer:

Resolve-DnsName -Name files.corp.example -Type A
Test-NetConnection -ComputerName files.corp.example -Port 445
net use Z: \\files.corp.example\Projects /persistent:no

Lệnh thứ hai chứng minh đường đi TCP, không phải quyền đọc bất cứ thứ gì. Lệnh thứ ba là nơi xác thực và phân quyền được thực thi, và thất bại ở đó nên đưa bạn tới quyền của thư mục chia sẻ và hệ thống tệp, không phải quay lại router.

Giữ nguyên chữ ký SMB và chính sách xác thực hiện có. Bật lại SMB1 hoặc chuyển tiếp quảng bá dò tìm qua đường hầm là không cần thiết cho một đường dẫn rõ ràng, và TCP 445 nên ở lại trên đường riêng chứ không phải trên một chuyển tiếp hướng ra internet. Cấp cho người dùng lối tắt được quản lý hoặc ổ đĩa được ánh xạ tới tên đã duyệt, và trang Mạng trống không còn quan trọng nữa.