দুটি LAN পোর্টযুক্ত Synology NAS: VPN হ্যান্ডশেক কেন ব্যর্থ হয়

ল্যাপটপটি একটি TLS হ্যান্ডশেক ব্যর্থতার কথা জানায়, যা সার্টিফিকেট সমস্যার মতো শোনায় এবং সাধারণত তা নয়। দুটি Ethernet পোর্টযুক্ত NAS-এ সবচেয়ে সাধারণ কারণ হল রাউটার ফরোয়ার্ড যা এমন ঠিকানায় লক্ষ্য করা যেখানে প্যাকেজটি শুনছে না, এবং ক্লায়েন্টের বার্তা দুই ক্ষেত্রেই একই। শুধু দুই কেবল লাগানো থাকলেই প্যাকেজটি দ্বিতীয় পোর্টে উত্তর দেয় না। যে কেউ সার্টিফিকেট পুনরায় জারি করার আগে প্রমাণ করুন যে একটি প্যাকেট আদৌ NAS-এ পৌঁছায়।

ক্লায়েন্ট যা জানায় এবং আসলে যা ঘটেছিল

OpenVPN ক্লায়েন্টের হ্যান্ডশেক ব্যর্থতা একটি সার্বজনীন বার্তা। এটি সার্টিফিকেটের অমিল, ট্রান্সপোর্টের অমিল, অন্য পোর্টের লিসেনার এবং কিছুই না পৌঁছানো ফরোয়ার্ড—সবই ঢেকে দেয়। তাই বার্তাটি শুরুর বিন্দু হিসেবে অকেজো এবং কেবল নিশ্চিতকরণ হিসেবে কাজে লাগে। এটিকে সেশন প্রতিষ্ঠিত হয়নি এমন একটি বিবৃতি হিসেবে ধরুন, আর কিছু নয়।

পোর্ট এবং বাঁধা ঠিকানা—এই দুটি তথ্যই ঠিক করে প্যাকেট আদৌ পৌঁছাবে কি না।

কিছু বদলানোর আগে দুটোই লিখে রাখুন, কারণ সঠিক স্তরে প্রয়োগ করা একটি বিশ্বাসযোগ্য সমাধানই পনেরো মিনিটের সমস্যাকে সারা বিকেল বানিয়ে দেয়। ইন্টারফেস, তার উপর ঠিকানা, পোর্ট এবং ট্রান্সপোর্ট লক্ষ করুন। এই চারটি মানই সম্পূর্ণ আগমন-পথ, আর পরের অংশে ব্যাখ্যা আছে প্রতিটি কোথায় থাকে।

প্যাকেজটি যে ঠিকানায় শোনে তা খুঁজুন

DSM Ethernet পোর্টগুলোকে নম্বর দেয় এবং প্রতিটির নিজস্ব ঠিকানা থাকে। VPN Server পৃষ্ঠা OpenVPN পরিষেবা যে ইন্টারফেস ব্যবহার করে তা বলে, আর নেটওয়ার্ক প্যানেল সেই ইন্টারফেসে কনফিগার করা ঠিকানা দেখায়। এই ক্রমে পড়ুন, পরিষেবা থেকে বাইরের দিকে, যাতে আপনি যা শুনছে তা বর্ণনা করেন, যা আপনার ধারণা তার ব্যবহার করা উচিত তা নয়।

পরিষেবাটি একটি ঠিকানায় বাঁধা। দুটি পোর্ট সংযুক্ত ও সক্রিয় থাকলেও পরিষেবাটি দ্বিতীয়টিতে উত্তর দেয় না। একটি ইন্টারফেসে স্ট্যাটিক ঠিকানা আর অন্যটিতে DHCP ঠিকানা আপনাকে দুটি প্রায় একই মান দেয়, যা এক নজরে বদলে ফেলা সহজ, বিশেষত যখন কেবল শেষ অক্টেটে পার্থক্য থাকে। মুখস্থ থেকে টাইপ না করে প্যানেল থেকে ঠিকানাটি কপি করুন। তারপর NAS-এ যাচাই করুন পোর্টে আসলে কী বাঁধা আছে।

sudo ss -lunp | grep 1194

যদি সেই আউটপুট এমন ঠিকানা দেখায় যা আপনি আশা করেননি, তাহলে ফরোয়ার্ডটি ভুল ইন্টারফেসে লক্ষ্য করা হয়েছে এবং এখানে বাকি সব হিসাবরক্ষণ। আরও পড়ার আগে নিয়মটি সারান, নইলে রাউটার ছেড়ে না যাওয়া প্যাকেটের জন্য সার্টিফিকেট ডিবাগ করতে বসবেন।

ফরোয়ার্ড সারান, তারপর কাউন্টার দেখুন

একই বাহ্যিক পোর্টের জন্য দ্বিতীয় একটি যোগ না করে বিদ্যমান ফরোয়ার্ড নিয়মটি সম্পাদনা করুন। রাউটারের টেবিলে দুটি নিয়ম একসাথে থাকতে পারে, কিন্তু জেতে পারে কেবল একটি, যা ডিবাগিং সেশনকে কোনটি আসল তা নিয়ে বিতর্কে পরিণত করে। অভ্যন্তরীণ ঠিকানাটি NAS থেকে পড়া মানে নির্দেশ করুন, আর অভ্যন্তরীণ পোর্ট পরিষেবা যা শোনে তার সাথে মিলিয়ে রাখুন।

যদি DSM সেই ঠিকানাটি DHCP-তে নেয়, আগে একটি রিজার্ভেশন তৈরি করুন। লিজ পরিবর্তন নিঃশব্দে গতকাল কাজ করা ফরোয়ার্ড ভেঙে দেয়।

sudo tcpdump -i any -n udp port 1194

ক্লায়েন্ট সংযোগের চেষ্টা করার আগেই ক্যাপচার শুরু করুন, এবং যা দেখা যায় তাতে উৎস ঠিকানা পড়ুন। একেবারে কিছু না মানে পথে কোথাও এটি ফেলে দিয়েছে: ফরোয়ার্ড, DSM ফায়ারওয়াল, বা যে ইন্টারফেসে লক্ষ্য করা হয়েছিল, এবং এটি যতক্ষণ থাকবে সার্টিফিকেট কারণ হতে পারে না। ক্লায়েন্টের পাবলিক ঠিকানা থেকে কোনো উত্তর ছাড়া কিছু আসা মানে NAS অনুরোধটি পেয়েছে এবং উত্তর না দেওয়ার সিদ্ধান্ত নিয়েছে। এগুলো আলাদা ফলাফল, আর কেবল দ্বিতীয়টিই আপনাকে প্যাকেজের নিজস্ব সেটিংসে ফেরত পাঠায়।

তবেই সার্টিফিকেট ও ট্রান্সপোর্ট দেখুন

প্যাকেট আসতে শুরু করলে যেকোনো সার্টিফিকেট পরিবর্তনের পরে প্রোফাইলটি আবার রপ্তানি করুন, কারণ পুরোনো ফাইলটি এখনও যে কর্তৃপক্ষ দিয়ে তৈরি হয়েছিল তা বহন করে। ভিন্ন ট্রান্সপোর্ট ব্যবহারের জন্য হাতে সম্পাদিত প্রোফাইল ক্লায়েন্টকে একটি অস্তিত্বহীন লিসেনারের জন্য অপেক্ষা করায়, এবং অন্য সবের মতো একই সাধারণ ব্যর্থতা জানায়। প্রোফাইলের ভিতরের ট্রান্সপোর্টের সাথে প্যাকেজ যে ট্রান্সপোর্ট পরিবেশন করতে সেট করা আছে তা তুলনা করুন। দুই ট্রান্সপোর্টের জন্য দুই প্রোফাইল বৈধ নকশা, আর দুটোর জন্যই সম্পাদিত এক প্রোফাইল নয়।

শেষ ধাপ হিসেবে নিজের নেটওয়ার্কের বাইরে থেকে পরীক্ষা করুন, কারণ LAN-এর ভিতর থেকে সংযোগ এমন পথে সফল হতে পারে যা ফরোয়ার্ড স্পর্শই করে না।

রপ্তানি করা প্রোফাইল, ইন্টারফেস ঠিকানা এবং ফরোয়ার্ড নিয়ম একসাথে একটি নোটে রাখুন। ঠিকানা বদলালে সেই নোটই সমাধান আর পুনরাভিনয়ের মধ্যে পার্থক্য। এই পথে কিছুই প্যাকেজ পুনঃস্থাপন দাবি করেনি, যা পরের রিবুটকে দোষারোপের আগে মনে রাখা উচিত।