İki LAN portu olan Synology NAS: VPN əl sıxması niyə uğursuz olur

Noutbuk TLS əl sıxma xətası bildirir; bu sertifikat problemi kimi səslənir və adətən belə deyil. İki Ethernet portu olan NAS-da ən çox rast gəlinən səbəb paketin dinləmədiyi ünvana yönəldilmiş router yönləndirməsidir və müştərinin mesajı hər iki halda eynidir. Paket yalnız hər iki kabel qoşulduğu üçün ikinci portda cavab vermir. Kimsə sertifikatı yenidən verməmişdən əvvəl, paketin ümumiyyətlə NAS-a çatdığını sübut edin.

Müştəri nə bildirir və əslində nə baş verdi

OpenVPN müştərisindən gələn əl sıxma xətası hər şeyi əhatə edən bir mesajdır. O, sertifikat uyğunsuzluğunu, nəqliyyat uyğunsuzluğunu, başqa portdakı dinləyicini və heç nə çatdırmayan yönləndirməni əhatə edir. Buna görə mesaj başlanğıc nöqtəsi kimi faydasızdır və yalnız təsdiq kimi faydalıdır. Onu sessiyanın qurulmadığı barədə bir bəyanat kimi qəbul edin, daha konkret heç nə kimi deyil.

Port və bağlanmış ünvan paketin ümumiyyətlə gəlib-gəlməyəcəyini həll edən iki faktdır.

Hər şeyi dəyişməzdən əvvəl ikisini də yazın, çünki düzgün görünən düzəlişin yanlış qata tətbiqi on beş dəqiqəlik problemi bütün bir axşama çevirir. İnterfeysi, onun üzərindəki ünvanı, portu və nəqliyyatı qeyd edin. Bu dörd dəyər bütün daxil olan yoldur və növbəti bölmə hər birinin harada yaşadığını izah edir.

Paketin dinlədiyi ünvanı tapın

DSM Ethernet portlarını nömrələyir və hər biri öz ünvanını daşıyır. VPN Server səhifəsi OpenVPN xidmətinin istifadə etdiyi interfeysi göstərir, şəbəkə paneli isə həmin interfeysdə konfiqurasiya edilmiş ünvanı göstərir. Onları bu sıra ilə, xidmətdən bayıra doğru oxuyun ki, istifadə etməli olduğunu güman etdiyinizi deyil, dinləyən şeyi təsvir edəsiniz.

Xidmət bir ünvana bağlanır. Hər iki portun qoşulmuş və işlək olması xidmətin ikincisində cavab verməsinə səbəb olmur. Bir interfeysdə statik ünvan, digərində DHCP ünvanı sizə bir baxışda asanlıqla dəyişdirilə bilən iki oxşar dəyər verir, xüsusən də yalnız son oktetdə fərqləndikdə. Ünvanı yaddaşdan yazmaq əvəzinə paneldən kopyalayın. Sonra NAS-da portun həqiqətən nəyə bağlandığını təsdiqləyin.

sudo ss -lunp | grep 1194

Əgər bu çıxış gözləmədiyiniz bir ünvan göstərirsə, yönləndirmə yanlış interfeysə tuşlanıb və buradakı qalan hər şey mühasibatdır. Daha uzağa oxumazdan əvvəl qaydanı düzəldin, əks halda routerdən heç vaxt çıxmayan bir paketə görə sertifikat sazlayacaqsınız.

Yönləndirməni düzəldin, sonra sayğacı izləyin

Eyni xarici port üçün ikinci bir qayda əlavə etmək əvəzinə mövcud yönləndirmə qaydasını redaktə edin. Bir router cədvəlində iki qayda birgə mövcud ola bilər, halbuki yalnız biri həmişə qalib gəlir; bu da sazlama sessiyasını hansının həqiqi olduğu barədə mübahisəyə çevirir. Daxili ünvanı NAS-dan oxuduğunuz dəyərə yönəldin və daxili portu xidmətin dinlədiyi ilə uyğun saxlayın.

DSM həmin ünvanı DHCP ilə alırsa, əvvəlcə rezervasiya yaradın. İcarə dəyişikliyi dünən işləyən yönləndirməni səssizcə pozur.

sudo tcpdump -i any -n udp port 1194

Müştəri qoşulmağa cəhd etməzdən əvvəl tutmağa başlayın və görünən hər şeydə mənbə ünvanını oxuyun. Heç nə yoxdursa, yolda nəsə onu atıb: yönləndirmə, DSM firewall-u və ya hədəflənmiş interfeys; bu davam etdikcə sertifikatlar səbəb ola bilməz. Müştərinin ictimai ünvanından cavabsız nəsə gəlməsi NAS-ın sorğunu aldığını və cavab verməməyi seçdiyini bildirir. Bunlar fərqli nəticələrdir və yalnız ikincisi sizi paketin öz parametrlərinə qaytarır.

Yalnız bundan sonra sertifikatlara və nəqliyyata baxın

Paketlər gəldikdən sonra hər hansı sertifikat dəyişikliyindən sonra profili yenidən ixrac edin, çünki köhnə fayl hələ də yaradıldığı sertifikat orqanını daşıyır. Fərqli nəqliyyat istifadə etmək üçün əl ilə redaktə edilmiş profil müştərini mövcud olmayan dinləyicidə gözlədir və hər şey kimi eyni ümumi xətanı bildirir. Profilin içindəki nəqliyyatı paketin xidmət etmək üçün qurulduğu nəqliyyatla müqayisə edin. İki nəqliyyat üçün iki profil qanuni bir dizayndır, hər ikisi üçün redaktə edilmiş bir profil deyil.

Son addım olaraq öz şəbəkənizdən kənardan sınaqdan keçirin, çünki LAN daxilindən qoşulma yönləndirməyə heç toxunmayan yol üzərində uğur qazana bilər.

İxrac edilmiş profili, interfeys ünvanını və yönləndirmə qaydasını bir qeyddə birlikdə saxlayın. Ünvan dəyişdikdə həmin qeyd düzəlişlə təkrar tamaşa arasındakı fərqdir. Bu yolda heç nə paketin yenidən quraşdırılmasını tələb etmədi; növbəti yenidən başlatma günahlandırılmazdan əvvəl bunu xatırlamağa dəyər.