Доступ к SMB-ресурсам через VPN

Доступ к SMB-ресурсам через VPN, UniFi Network

paulbrainard

Guest

28.03.2021 17:11:00

Привет, возникли проблемы с доступом к samba-шарам на сервере CentOS с Windows 10 клиентов через site-to-site VPN. Сервер находится по адресу 192.16.0.1, подсеть VPN клиента — 192.168.1.x. Это site-to-site auto (vti) VPN, между сайтами нет фаервола.

Мы можем пинговать и заходить на сервер по ssh, но при попытке открыть \\192.168.0.1 в проводнике происходит зависание и в итоге тайм-аут. Логи Samba на сервере показывают, что соединение разрешено и принято, происходит согласование протокола, выбирается NT LM, затем receive_smb_raw_talloc падает с ошибкой NT_STATUS_CONNECTION_RESET, и сервер завершается (не удалось получить SMB запрос).

Та же Windows машина без проблем получает доступ к шаре на других Windows-компьютерах через VPN. Другие Windows ПК в подсети сервера могут получить доступ к samba-шаре на сервере и по IP, и по имени.

Таким образом, очевидно, что с серверной стороны что-то обрабатывается иначе в отношении SMB-соединений, приходящих из другой подсети через VPN. Либо проблема на стороне Windows клиента, связанная с конкретной версией SMB, которая запущена на сервере? Может, сам VPN не маршрутизирует что-то правильно?

Мы проверили разрешённые диапазоны и права пользователей на SMB сервере (используем отображаемого пользователя для анонимного доступа), отключили локальный фаервол и всё равно проблема осталась.

Буду благодарен за любые идеи.

Dubz

Guest

10.09.2021 13:50:00

Хочу добавить, что мы пробовали использовать как hostname, так и прямой IP. К тому же проблем не было до установки UDMP. Их прежние шлюзы с S2S VPN отлично работали. Хотелось бы разобраться с этим, пока у них не осталось негативного впечатления от использования UI и они не ушли от него.

mikesg Guest	#3 22.09.2021 15:20:00 Временно отключите брандмауэры Windows и посмотрите, изменится ли что-то. Лучше создать отдельную тему.

guillemn

Guest

22.09.2021 15:02:00

У меня такая же проблема. У меня есть 2 UDMP с site to site VPN. Всё работает отлично, кроме общих папок. (ну и то, что IP-адреса не могут быть динамическими именами хостов...) Я даже могу подключаться к серверу через удалённый рабочий стол, но всё равно не могу подключиться к общей папке по IP.

Dubz

Guest

15.09.2021 16:22:00

Я выложил новый пост здесь, чтобы прикрепить файлы, которые команда @UI-Team могла бы посмотреть и, возможно, найти какие-то проблемы. В логах я ничего конкретного не заметил, но и точно не знаю, на какие сообщения стоит обращать внимание при проверке.

mikesg Guest	#6 15.09.2021 14:47:00 Можешь посмотреть несколько лог-файлов? Я часто пользуюсь VPN сайта и считаю эту функцию надёжной. Подключись по SSH и покажи лог VPN. Также есть информация в /var/log/messages.

Dubz

Guest

15.09.2021 14:28:00

@UI-Team, есть какая-то информация по этому поводу? Это известная проблема, которую *возможно* уже изучают? У нас есть клиент, который хочет установить UniFi на нескольких площадках и не только для сети. Но эта базовая функция, которая не должна вызывать проблем, оставляет у них плохое впечатление от UniFi. Они уже начинают сомневаться во всей продуктовой линейке.

Сейчас я перевожу их на удалённый VPN для пользователей, чтобы хотя бы временно дать им работать. Изначально им продавали, что UniFi может делать S2S VPN без дополнительных выделенных устройств, как было раньше.

Dubz

Guest

15.09.2021 13:28:00

Это стандартный ручной IPSec S2S VPN. Вчера я настроил тестовый S2S VPN, и по какой-то причине он запускался довольно долго. Тесты прошли нормально, я ушёл к концу рабочего дня. Сегодня утром вернулся — VPN снова не работает. Никаких объяснений, никаких изменений в настройках — просто отключился и не восстанавливается. Я пытался перезапустить ipsec, а также выключал и включал VPN-сети с обеих сторон. Но соединение так и не восстановилось. Оба сайта работают в продуктиве, поэтому перезагружать UDMP сейчас нельзя. Помню, у меня были похожие проблемы со стабильностью между личным UDMP и USGP, но не настолько серьёзные. Обычно достаточно было быстро перезапустить ipsec, и проблемы исчезали на некоторое время. Есть ли у этого типа VPN какие-то ограничения, о которых я не знаю? Вот две конфигурации, как и просили:

mikesg Guest	#9 11.09.2021 03:03:00 Это ручные site-to-site IPSec VPN с использованием UDMP в качестве конечных точек или порты перенаправлены на что-то внутреннее? Возможно, покажете скриншоты настроек VPN.

Dubz Guest	#10 10.09.2021 22:48:00 Отрицательно, не работает.

mikesg Guest	#11 10.09.2021 15:00:00 Временно отключите брандмауэр на сервере и попробуйте снова.

Dubz Guest	#12 10.09.2021 13:10:00 У меня тоже проблемы с доступом к общим папкам через S2S VPN между двумя UDMP. Мы можем пинговать устройства в разных сетях, но доступ к файловым шарингам отсутствует. Не уверен, связано ли это с IPS или чем-то другим, что блокирует доступ, либо это проблема самого VPN.

Читают тему (гостей: 1)