Synology NAS з двума портамі LAN: чаму рукапацісканне VPN не ўдаецца

Наўтбук паведамляе пра збой рукапаціскання TLS, што гучыць як праблема з сертыфікатам і звычайна ёю не з'яўляецца. На NAS з двума портамі Ethernet найчасцейшая прычына — перанакіраванне на маршрутызатары, накіраванае на адрас, на якім пакет не слухае, і паведамленне кліента ў абодвух выпадках аднолькавае. Пакет не адказвае на другім порце толькі таму, што абодва кабелі ўключаны. Перш чым хтосьці перазапусціць сертыфікат, дакажыце, што пакет увогуле даходзіць да NAS.

Што паведамляе кліент і што насамрэч адбылося

Збой рукапаціскання ад кліента OpenVPN — гэта агульная фармулёўка. Яна ахоплівае неадпаведнасць сертыфіката, неадпаведнасць транспарту, слухача на іншым порце і перанакіраванне, якое нічога не даставіла. Таму паведамленне бескарыснае як адпраўная кропка і карыснае толькі як пацверджанне. Успрымайце яго як сцвярджэнне, што сеанс не ўсталяваўся, і нічога больш канкрэтнага.

Порт і прывязаны адрас — гэта два факты, якія вырашаюць, ці даходзіць пакет увогуле.

Запішыце абодва, перш чым нешта змяняць, бо праўдападобнае выпраўленне, ужытае не да таго ўзроўню, — гэта шлях, якім пятнаццаціхвілінная праблема становіцца цэлым паўднём. Адзначце інтэрфейс, адрас на ім, порт і транспарт. Гэтыя чатыры значэнні — увесь уваходны шлях, і наступны раздзел тлумачыць, дзе жыве кожнае з іх.

Знайдзіце адрас, на якім слухае пакет

DSM нумаруе парты Ethernet, і кожны з іх мае свой адрас. Старонка VPN Server паказвае інтэрфейс, які выкарыстоўвае служба OpenVPN, а сеткавая панэль паказвае адрас, наладжаны на гэтым інтэрфейсе. Чытайце іх у гэтым парадку, ад службы вонкі, каб апісваць тое, што слухае, а не тое, што вы меркавана павінна выкарыстоўваць.

Служба прывязваецца да аднаго адраса. То, што абодва парты злучаны і ўключаны, не прымушае службу адказваць на другім. Статычны адрас на адным інтэрфейсе побач з адрасам DHCP на другім дае вам два падобныя значэнні, якія лёгка пераблытаць з першага позірку, асабліва калі яны адрозніваюцца толькі апошнім актэтам. Капіруйце адрас з панэлі, а не ўводзьце яго па памяці. Затым пацвердзіце на NAS, што насамрэч прывязана да порта.

sudo ss -lunp | grep 1194

Калі гэты вывад называе адрас, якога вы не чакалі, перанакіраванне накіравана на не той інтэрфейс, і ўсё астатняе тут — толькі справаздачнасць. Выпраўце правіла, перш чым чытаць далей, інакш скокнецеся на сертыфікат праз пакет, які так і не пакінуў маршрутызатар.

Выпраўце перанакіраванне, затым сачыце за лічыльнікам

Рэдагуйце існуючае правіла перанакіравання, а не дадавайце другое для таго ж вонкавага порта. Два правілы могуць суіснаваць у табліцы маршрутызатара, але перамагае заўсёды толькі адно, што ператварае сеанс адладкі ў спрэчку пра тое, якое з іх сапраўднае. Накіруйце ўнутраны адрас на значэнне, якое вы прачыталі з NAS, і пакіньце ўнутраны порт такім, каб ён адпавядаў таму, што слухае служба.

Калі DSM атрымлівае гэты адрас праз DHCP, спачатку стварыце рэзерваванне. Змена арэнды маўкліва ламае перанакіраванне, якое працавала ўчора.

sudo tcpdump -i any -n udp port 1194

Пачніце захоп да таго, як кліент паспрабуе падключыцца, і чытайце адрас крыніцы ў тым, што з'явіцца. Поўная адсутнасць азначае, што нешта па дарозе яго адкінула: перанакіраванне, міжсеткавы экран DSM або інтэрфейс, на які яно было накіравана, і сертыфікаты не могуць быць прычынай, пакуль гэта так. Нешта, што прыходзіць з публічнага адраса кліента без адказу, азначае, што NAS атрымаў запыт і вырашыў не адказваць. Гэта розныя высновы, і толькі другая вяртае вас да ўласных налад пакета.

Толькі тады глядзіце на сертыфікаты і транспарт

Пасля прыбыцця пакетаў паўторна экспартуйце профіль пасля любой змены сертыфіката, бо стары файл усё яшчэ нясе цэнтр сертыфікацыі, з якім ён быў створаны. Профіль, адрэдагаваны ўручную для іншага транспарту, пакідае кліента ў чаканні слухача, якога не існуе, і паведамляе пра такі ж агульны збой, як і ўсё астатняе. Параўнайце транспарт унутры профілю з тым, які пакет наладжаны абслугоўваць. Два профілі для двух транспартаў — гэта законны дызайн, а адзін профіль, адрэдагаваны для абодвух, — не.

Тэстуйце з-за межаў уласнай сеткі як апошні крок, бо злучэнне знутры LAN можа прайсці па шляху, які зусім не закранае перанакіраванне.

Трымайце экспартаваны профіль, адрас інтэрфейса і правіла перанакіравання разам у адной нататцы. Калі адрас змяняецца, гэтая нататка — розніца паміж выпраўленнем і паўторам спектакля. Нішто на гэтым шляху не патрабавала пераўсталёўкі пакета, і гэта варта памятаць, перш чым вінаваціць наступны перазапуск.