Synology NAS amb dos ports LAN: per què falla l'establiment de la connexió VPN

L'ordinador portàtil informa d'un error d'establiment de TLS, que sona com un problema de certificat i normalment no ho és. En un NAS amb dos ports Ethernet, la causa més habitual és una redirecció del router adreçada a l'adreça on el paquet no escolta, i el missatge del client és idèntic en tots dos casos. El paquet no respon al segon port només perquè els dos cables estiguin connectats. Abans que ningú reemeti un certificat, demostreu que un paquet arriba al NAS.

Què informa el client i què va passar realment

L'error d'establiment d'un client OpenVPN és una etiqueta genèrica. Cobreix una discrepància de certificat, una discrepància de transport, un oient en un altre port i una redirecció que no va lliurar res. Per això el missatge és inútil com a punt de partida i útil només com a confirmació. Tracteu-lo com una afirmació que la sessió no s'ha establert, i res més concret.

El port i l'adreça vinculada són els dos fets que decideixen si un paquet arriba mai.

Anoteu tots dos abans de canviar res, perquè una solució versemblant aplicada a la capa equivocada és com un problema de quinze minuts es converteix en tota una tarda. Fixeu-vos en la interfície, l'adreça que hi ha, el port i el transport. Aquests quatre valors són tot el camí d'entrada, i la secció següent explica on viu cadascun.

Trobeu l'adreça on escolta el paquet

DSM numera els ports Ethernet i cadascun porta la seva pròpia adreça. La pàgina VPN Server indica la interfície que fa servir el servei OpenVPN, i el panell de xarxa mostra l'adreça configurada en aquesta interfície. Llegiu-los en aquest ordre, del servei cap enfora, per descriure què escolta en lloc del que suposeu que hauria de fer servir.

El servei enllaça una adreça. El fet que els dos ports estiguin connectats i actius no fa que el servei respongui al segon. Una adreça estàtica en una interfície al costat d'una adreça DHCP a l'altra us dona dos valors semblants que es poden intercanviar d'un cop d'ull, sobretot quan només difereixen en l'últim octet. Copieu l'adreça del panell en lloc d'escriure-la de memòria. Després confirmeu al NAS què hi ha realment enllaçat al port.

sudo ss -lunp | grep 1194

Si aquesta sortida anomena una adreça que no esperàveu, la redirecció apunta a la interfície equivocada i tota la resta aquí és comptabilitat. Repareu la regla abans de continuar llegint, o acapareu la depuració d'un certificat per un paquet que mai no va sortir del router.

Repareu la redirecció i després mireu el comptador

Editeu la regla de redirecció existent en lloc d'afegir-ne una segona per al mateix port extern. Dues regles poden conviure a la taula d'un router i només una guanyar sempre, cosa que converteix una sessió de depuració en una discussió sobre quina és la real. Apunteu l'adreça interna al valor que heu llegit del NAS i deixeu el port intern coincidint amb el que escolta el servei.

Si DSM obté aquesta adreça per DHCP, creeu primer una reserva. Un canvi de concessió trenca en silenci una redirecció que funcionava ahir.

sudo tcpdump -i any -n udp port 1194

Comença la captura abans que el client intenti connectar-se, i llegiu l'adreça d'origen en qualsevol cosa que aparegui. No res en absolut vol dir que alguna cosa pel camí ho ha descartat: la redirecció, el tallafoc de DSM o la interfície a què apuntava, i els certificats no poden ser la causa mentre això es mantingui. Alguna cosa que arribi de l'adreça pública del client sense cap resposta vol dir que el NAS va rebre la petició i va triar no respondre. Són troballes diferents, i només la segona us torna a la configuració del propi paquet.

Només llavors mireu els certificats i el transport

Un cop arribin els paquets, torneu a exportar el perfil després de qualsevol canvi de certificat, perquè el fitxer vell encara porta l'autoritat amb què es va crear. Un perfil editat a mà per fer servir un altre transport deixa el client esperant un oient que no existeix, i informa del mateix error genèric que tota la resta. Compareu el transport dins del perfil amb el transport que el paquet està configurat per servir. Dos perfils per a dos transports és un disseny legítim, i un perfil editat per a tots dos no ho és.

Proveu des de fora de la vostra pròpia xarxa com a últim pas, ja que una connexió des de dins de la LAN pot tenir èxit per un camí que no toca mai la redirecció.

Guardeu el perfil exportat, l'adreça de la interfície i la regla de redirecció junts en una nota. Quan una adreça canvia, aquesta nota és la diferència entre una solució i una repetició. Res en aquest camí no va requerir reinstal·lar un paquet, cosa que val la pena recordar abans que es culpi el proper reinici.