Synology-də OpenVPN əl sıxması alınmır? LAN yönləndirməsini yoxlayın

Noutbukunuz TLS əl sıxmasının uğursuz olduğunu bildirir, buna görə sertifikatları yenidən qurmaq istəyi yaranır. Bundan əvvəl daha sadə bir sual verin: Synology əslində hansı Ethernet portunda dinləyir? İki LAN portu olan NAS-ın iki ünvanı var və DSM-in VPN Server paketi OpenVPN dinləyicisini onlardan birinə bağlayır. Router 1194-ü digər ünvana yönləndirdikdə heç bir paket xidmətə çatmır və müştərinin danışıq aparacaq heç nəyi olmur.

Xəta mətni çaşdırır, çünki o, ilk pozulan şeyi deyil, müştərinin sınadığı son şeyi təsvir edir. Paket səhifəsini router qaydası ilə müqayisə etmək üçün iki dəqiqə kifayət edir.

Dinləyicinin bağlandığı ünvanı tapın

DSM portlarını LAN 1 və LAN 2 adlandırır və hər birinin ayrı ünvanı və alt şəbəkəsi var. VPN Server-i açın, OpenVPN sekmesinde adı çəkilən interfeysi oxuyun, sonra Nəzarət Paneli-ni açın və DSM-in həmin interfeysdəki IPv4 ünvanını qeyd edin. Yönləndirmənin adlandırmalı olduğu dəyərlər NAS host adı deyil, bu iki dəyərdir.

İkinci kabelin qoşulması ikinci dinləyici yaratmır. Hər iki keçid qoşulmuş görünə bilər, halbuki trafiki yalnız bir ünvan qəbul edir və hər iki interfeys eyni alt şəbəkədə olduqda iki ünvan qayda saxlanmadan əvvəl heç kimin yenidən oxumadığı bir rəqəmlə fərqlənir.

SSH üzərindən soketin özünə baxın, çünki daemonun həqiqətən nəyə bağlandığını, parametrlər səhifəsinin nə nəzərdə tutduğunu deyil, yalnız burası göstərir.

sudo netstat -anp | grep 1194

Yenisini əlavə etmək yerinə mövcud yönləndirməni redaktə edin

Bir xarici port üçün iki qayda routeri seçimdə sərbəst qoyur və hansını seçdiyi proqram təminatı yenilənməsindən və ya yenidən başlatmadan sonra dəyişə bilər. Artıq mövcud olan qaydanı açın, daxili ünvanını dəyişin, saxlayın, sonra yenidən açıb dəyəri oxuyun. Qaydaya xidmətin adını vermək kömək edir, çünki beş eyni yönləndirmədən ibarət siyahı səhv olanın necə sağ qaldığını göstərir.

external 1194/udp  ->  192.0.2.20:1194/udp

Daxili portu dinləmə portuna bərabər saxlayın və protokolu uyğun saxlayın. UDP 1194 standart dinləyicidir, TCP profili isə paket tərəfində öz dinləyicisini və routerdə uyğun yönləndirməni tələb edir. Yalnız UDP dinləyən xidmətə TCP yönləndirmək xəta deyil, sükut yaradır.

NAS ünvanı DHCP-dən gəlirsə, qayda saxlanmadan əvvəl onu rezerv edin. İcarə müddəti bitəndə ünvan yenidən təyin olunur, yönləndirmə köhnə dəyərə işarə etməyə davam edir və əl sıxma heç kimin NAS-a toxunmadığı bir gündə uğursuz olmağa başlayır. NAS tərəfində statik konfiqurasiya eyni problemi həll edir, bir şərtlə ki, ünvan routerin DHCP diapazonundan kənarda olsun.

Paketlərin ümumiyyətlə gəlib çatdığını sübut edin

Əvvəlcə NAS-da tutmağa başlayın, sonra müştəridən qoşulun və çıxışda mənbə ünvanını oxuyun. Uğursuzluqdan sonra başladılan tutma heç nə göstərmir və heç nəyi sübut etmir.

sudo tcpdump -i any -n udp port 1194

Sükut trafikin xidmətə çatmadan öldüyünü bildirir: səhv daxili ünvan, DSM firewallunda bağlı port və ya inzibati olaraq söndürülmüş interfeys. Çıxışdakı paketlər yönləndirmənin işlədiyini bildirir və qalan nasazlıq şəbəkə qatının üstündədir, bu isə daha kiçik bir axtarış sahəsidir.

Tutma həmçinin paketin hansı interfeysdən gəldiyini göstərir və bu tək detal səhv porta yönəlmiş qaydanı işlək olmayan porta yönəlmiş qaydadan ayırır. Eyni cəhd zamanı routerin öz sayğacını da izləyin, əgər onu göstərirsə. Tutma boş qalarkən tərpənməyən sayğac routerə işarə edir, boş tutma ilə tərpənən sayğac isə iki cihaz arasındakı yola işarə edir.

Paketlər gələndə yönləndirməni günahlandırmağı dayandırın

Profil növbəti şübhəlidir və adi səbəb köhnəlikdir. İxrac edilmiş .ovpn faylı ixrac anındakı səlahiyyəti və materialı saxlayır, buna görə sertifikatı sonradan dəyişdirilmiş paket köhnə nüsxəni daşıyan müştərini rədd edəcək.

Nəqliyyat ayrıca yoxlanmalı olan digər uyğunsuzluqdur, çünki profil və paket müxtəlif yerlərdə redaktə olunur. Profili UDP-dən TCP-yə keçirmək paketi dəyişmədən müştərini mövcud olmayan dinləyicidə gözləməyə qoyur və müştəri hər şey üçün verdiyi eyni ümumi əl sıxma mətnini verir. Faylda proto sətrini oxuyun, sonra server səhifəsində seçilmiş protokola baxın və yalnız bundan sonra onların uyğun olduğu qənaətinə gəlin. DSM firewall qaydalarını oxumaq üçüncü yoxlamadır: portu yerli alt şəbəkədən açan, internetdən açmayan qaydanı sınaqdan sonra unutmaq asandır və o, mətbəxdən işləyib hər yerdən uğursuz olan bağlantı yaradır.

Uzaq istifadəçinin həqiqətən keçdiyi yolu sınayın

Eyni LAN daxilindəki müştəri yönləndirməyə heç toxunmadan NAS-a çata bilər, buna görə bu, uzaq giriş haqqında heç nə sübut etmir. Wi-Fi söndürülmüş telefon istifadə edin və ya şəbəkədən kənarda olan birindən xahiş edin və həmin cəhd zamanı router sayğacını izləyin. Uzaq cəhd uğursuz olub yerli cəhd uğurlu olarsa, yönləndirmə və ya firewall hələ də işin içindədir.

İşləyən vəziyyəti işləyərkən qeyd edin: xarici port, daxili ünvan, protokol, paket interfeysi, profil adı və ixrac tarixi. Əl sıxma yenidən uğursuz olduqda, həmin qeydlə cari konfiqurasiya arasındakı fərq nasazlıqdır və heç kim xidmətin iki portdan hansını istifadə etdiyini yenidən kəşf etmək məcburiyyətində qalmır.