Synology NAS с два LAN порта: защо VPN ръкостискането се проваля

Лаптопът съобщава за провал на TLS ръкостискането, което звучи като проблем със сертификат и обикновено не е. При NAS с два Ethernet порта най-честата причина е препращане на рутера, насочено към адреса, на който пакетът не слуша, а съобщението на клиента е идентично и в двата случая. Пакетът не отговаря на втория порт само защото и двата кабела са включени. Преди някой да издаде сертификата наново, докажете, че пакет изобщо достига до NAS.

Какво съобщава клиентът и какво всъщност се е случило

Провал на ръкостискането от OpenVPN клиент е общо понятие. То покрива несъответствие на сертификат, несъответствие на транспорт, слушател на друг порт и препращане, което не е доставило нищо. Затова съобщението е безполезно като отправна точка и полезно само като потвърждение. Приемайте го като твърдение, че сесията не е установена, и нищо по-конкретно.

Портът и обвързаният адрес са двата факта, които решават дали пакет изобщо ще пристигне.

Запишете и двете, преди да промените каквото и да е, защото правдоподобна поправка, приложена на грешния слой, е начинът проблем за петнадесет минути да стане цял следобед. Отбележете интерфейса, адреса върху него, порта и транспорта. Тези четири стойности са целият входящ път и следващият раздел обяснява къде живее всяка от тях.

Намерете адреса, на който слуша пакетът

DSM номерира Ethernet портовете и всеки носи свой адрес. Страницата VPN Server посочва интерфейса, който използва услугата OpenVPN, а мрежовият панел показва адреса, конфигуриран на този интерфейс. Четете ги в този ред, от услугата навън, за да описвате какво слуша, вместо какво предполагате, че трябва да използва.

Услугата се обвързва с един адрес. Това, че и двата порта са свързани и активни, не кара услугата да отговаря на втория. Статичен адрес на единия интерфейс до DHCP адрес на другия ви дава две подобни стойности, които лесно се разменят с един поглед, особено когато се различават само в последния октет. Копирайте адреса от панела, вместо да го въвеждате по памет. След това потвърдете на NAS какво всъщност е обвързано с порта.

sudo ss -lunp | grep 1194

Ако този изход посочва адрес, който не сте очаквали, препращането е насочено към грешния интерфейс и всичко останало тук е счетоводство. Поправете правилото, преди да четете нататък, иначе ще отстранявате проблем със сертификат заради пакет, който така и не е напуснал рутера.

Поправете препращането, след това наблюдавайте брояча

Редактирайте съществуващото правило за препращане, вместо да добавяте второ за същия външен порт. Две правила могат да съществуват едновременно в таблицата на рутера, но винаги печели само едно, което превръща сесията за отстраняване на проблеми в спор кое е истинското. Насочете вътрешния адрес към стойността, която прочетохте от NAS, и оставете вътрешния порт да съвпада с това, на което слуша услугата.

Ако DSM получава този адрес по DHCP, първо създайте резервация. Промяната на наема тихо чупи препращане, което е работело вчера.

sudo tcpdump -i any -n udp port 1194

Започнете прихващането, преди клиентът да опита връзка, и четете адреса на източника в каквото се появи. Пълната липса означава, че нещо по пътя го е изхвърлило: препращането, защитната стена на DSM или интерфейсът, към който е било насочено, и сертификатите не могат да са причина, докато това е така. Нещо, идващо от публичния адрес на клиента без отговор, означава, че NAS е получил заявката и е избрал да не отговаря. Това са различни находки и само втората ви връща в собствените настройки на пакета.

Едва тогава гледайте сертификатите и транспорта

Щом пакетите пристигат, експортирайте профила наново след всяка промяна на сертификат, защото старият файл все още носи сертификатния орган, с който е създаден. Профил, редактиран ръчно за различен транспорт, оставя клиента да чака слушател, който не съществува, и съобщава същата обща грешка като всичко останало. Сравнете транспорта в профила с транспорта, който пакетът е настроен да обслужва. Два профила за два транспорта е законен дизайн, а един профил, редактиран за двата, не е.

Тествайте отвън собствената си мрежа като последна стъпка, тъй като връзка отвътре в LAN може да успее по път, който изобщо не докосва препращането.

Пазете експортирания профил, адреса на интерфейса и правилото за препращане заедно в една бележка. Когато адресът се промени, тази бележка е разликата между поправка и повторно представление. Нищо по този път не изискваше преинсталиране на пакет, което си струва да запомните, преди следващото рестартиране да бъде обвинено.