فشل مصافحة OpenVPN على Synology؟ تحقّق من تمرير LAN

يُبلّغ حاسوبك المحمول بأن مصافحة TLS فشلت، فيُغريك ذلك بإعادة بناء الشهادات. قبل ذلك اسأل سؤالًا أقل ذكاءً: على أي منفذ Ethernet يستمع Synology فعليًا؟ يملك NAS بمنفذي LAN عنوانين، وتربط حزمة VPN Server في DSM مستمع OpenVPN بأحدهما. عندما يمرّر الموجّه 1194 إلى العنوان الآخر، لا تصل أي حزمة إلى الخدمة أبدًا، ولا يجد العميل ما يتفاوض عليه.

نص الخطأ مضلّل لأنه يصف آخر ما جرّبه العميل لا أول ما اختلّ. دقيقتان لمقارنة صفحة الحزمة بقاعدة الموجّه تحسم الأمر.

اعثر على العنوان الذي يرتبط به المستمع

يسمّي DSM منفذيه LAN 1 وLAN 2، ولكل منهما عنوان وشبكة فرعية منفصلان. افتح VPN Server، واقرأ الواجهة المذكورة في تبويب OpenVPN، ثم افتح لوحة التحكم ودوّن عنوان IPv4 الذي يملكه DSM على الواجهة نفسها. هاتان القيمتان، لا اسم مضيف NAS، هما ما يجب أن تسمّيه قاعدة التمرير.

كبل ثانٍ موصول لا ينشئ مستمعًا ثانيًا. قد يظهر الرابطان كمتصلين بينما يقبل عنوان واحد فقط حركة المرور، وعندما تقع الواجهتان في الشبكة الفرعية نفسها يختلف العنوانان برقم لا يعيد أحد قراءته قبل حفظ قاعدة.

انظر إلى المقبس نفسه عبر SSH، لأن هذا هو المكان الوحيد الذي يُظهر ما ارتبط به البرنامج الخفي فعلًا لا ما تقصده صفحة الإعدادات.

sudo netstat -anp | grep 1194

عدّل التمرير القائم بدل إضافة تمرير آخر

قاعدتان لمنفذ خارجي واحد تتركان للموجّه حرية الاختيار، وقد يتغيّر اختياره بعد تحديث للبرنامج الثابت أو إعادة تشغيل. افتح القاعدة الموجودة، وغيّر عنوانها الداخلي، واحفظ، ثم أعد فتحها واقرأ القيمة. تسمية القاعدة باسم الخدمة تساعد، لأن قائمة من خمس قواعد متطابقة هي كيف تنجو القاعدة الخاطئة.

external 1194/udp  ->  192.0.2.20:1194/udp

أبقِ المنفذ الداخلي مساويًا لمنفذ الاستماع، وأبقِ البروتوكول متسقًا. UDP 1194 هو المستمع الافتراضي، بينما يحتاج ملف تعريف TCP إلى مستمع خاص به على جانب الحزمة وإلى تمرير مطابق على الموجّه. تمرير TCP إلى خدمة تستمع إلى UDP فقط ينتج صمتًا لا خطأ.

إذا كان عنوان NAS يأتي من DHCP، فاحجزه قبل حفظ القاعدة. انتهاء الإيجار يعيد تعيين العنوان، ويبقى التمرير مشيرًا إلى القيمة القديمة، وتبدأ المصافحة بالفشل في يوم لم يلمس فيه أحد NAS. الإعداد الثابت على جانب NAS يحل المشكلة نفسها، بشرط أن يقع العنوان خارج نطاق DHCP الخاص بالموجّه.

أثبت ما إذا كانت الحزم تصل أصلًا

ابدأ التقاطًا على NAS أولًا، ثم اتصل من العميل، واقرأ عنوان المصدر في الخرج. التقاط يبدأ بعد الفشل لا يُظهر شيئًا ولا يثبت شيئًا.

sudo tcpdump -i any -n udp port 1194

الصمت يعني أن الحركة ماتت قبل الخدمة: عنوان داخلي خاطئ، أو منفذ مغلق في جدار حماية DSM، أو واجهة معطّلة إداريًا. الحزم في الخرج تعني أن التمرير يعمل، وأن العطل المتبقي يقع فوق طبقة الشبكة، وهي مساحة بحث أصغر بكثير.

يسمّي الالتقاط أيضًا الواجهة التي وصلت عليها الحزمة، وهذه التفصيلة الواحدة تفصل قاعدة موجّهة إلى المنفذ الخاطئ عن قاعدة موجّهة إلى منفذ غير قائم. راقب عدّاد الموجّه نفسه خلال المحاولة ذاتها إن كان يعرضه. العدّاد الذي لا يتحرك بينما يبقى الالتقاط فارغًا يشير إلى الموجّه، والعدّاد الذي يتحرك مع التقاط فارغ يشير إلى المسار بين الجهازين.

عندما تصل الحزم، توقّف عن لوم التمرير

ملف التعريف هو المشتبه التالي، والسبب المعتاد هو القدم. ملف .ovpn مُصدَّر يحتوي على الجهة والمواد من لحظة التصدير، فحزمة استُبدلت شهادتها لاحقًا سترفض عميلًا ما زال يحمل النسخة القديمة.

النقل هو الاختلاف الآخر الجدير بالفحص صراحةً، لأن ملف التعريف والحزمة يُعدَّلان في مكانين مختلفين. تغيير ملف تعريف من UDP إلى TCP دون تبديل الحزمة يترك العميل ينتظر مستمعًا غير موجود، ويُبلغ العميل نص المصافحة العام نفسه الذي يبلغه عن كل شيء آخر. اقرأ سطر proto في الملف، ثم انظر إلى البروتوكول المختار في صفحة الخادم، وعندئذ فقط استنتج أنهما متطابقان. قراءة قواعد جدار حماية DSM هي الفحص الثالث: القاعدة التي تسمح بالمنفذ من الشبكة المحلية لا من الإنترنت يسهل نسيانها بعد الاختبار، وهي تنتج اتصالًا يعمل من المطبخ ويفشل من كل مكان آخر.

اختبر المسار الذي يسلكه المستخدم البعيد فعلًا

العميل داخل الشبكة المحلية نفسها يمكنه الوصول إلى NAS دون أن يمس التمرير أبدًا، فلا يثبت شيئًا عن الوصول البعيد. استخدم هاتفًا معطّل الواي فاي، أو اسأل شخصًا خارج الشبكة، وراقب عدّاد الموجّه خلال تلك المحاولة. إذا فشلت المحاولة البعيدة بينما نجحت المحلية، فالتمرير أو جدار الحماية ما زال في الصورة.

سجّل الحالة العاملة وهي تعمل: المنفذ الخارجي، والعنوان الداخلي، والبروتوكول، وواجهة الحزمة، واسم ملف التعريف وتاريخ التصدير. عندما تفشل المصافحة مجددًا، يكون الفرق بين تلك الملاحظة والإعداد الحالي هو العطل، ولا يضطر أحد إلى إعادة اكتشاف أي المنفذين تستخدمه الخدمة.