Synology NAS se dvěma porty LAN: proč selhává navázání spojení VPN

Notebook hlásí selhání navázání spojení TLS, což zní jako problém s certifikátem a obvykle jím není. Na NASu se dvěma porty Ethernet je nejčastější příčinou přesměrování na routeru mířící na adresu, na které paket neposlouchá, a zpráva klienta je v obou případech stejná. Paket neodpovídá na druhém portu jen proto, že jsou zapojené oba kabely. Než někdo znovu vydá certifikát, dokažte, že paket vůbec dorazí na NAS.

Co klient hlásí a co se skutečně stalo

Selhání navázání spojení od klienta OpenVPN je souhrnné označení. Pokrývá neshodu certifikátu, neshodu transportu, naslouchající proces na jiném portu a přesměrování, které nic nedoručilo. Proto je zpráva jako výchozí bod k ničemu a užitečná je jen jako potvrzení. Berte ji jako tvrzení, že relace nevznikla, a nic konkrétnějšího.

Port a vázaná adresa jsou dva údaje, které rozhodují, zda paket vůbec dorazí.

Zapište oba, než cokoli změníte, protože uvěřitelná oprava použitá na špatné vrstvě je způsob, jak se z patnáctiminutového problému stane celé odpoledne. Poznamenejte si rozhraní, adresu na něm, port a transport. Tyto čtyři hodnoty tvoří celou vstupní cestu a následující oddíl vysvětluje, kde každá z nich žije.

Najděte adresu, na které paket poslouchá

DSM čísluje porty Ethernet a každý nese vlastní adresu. Stránka VPN Server uvádí rozhraní, které služba OpenVPN používá, a síťový panel ukazuje adresu nakonfigurovanou na tomto rozhraní. Čtěte je v tomto pořadí, od služby ven, abyste popisovali, co poslouchá, místo toho, co předpokládáte, že by mělo používat.

Služba váže jednu adresu. To, že jsou oba porty připojené a aktivní, neznamená, že služba odpovídá na druhém. Statická adresa na jednom rozhraní vedle adresy DHCP na druhém vám dává dvě podobné hodnoty, které lze na první pohled snadno zaměnit, zvláště když se liší jen v posledním oktetu. Zkopírujte adresu z panelu, místo abyste ji psali z paměti. Potom na NASu ověřte, co je k portu skutečně vázáno.

sudo ss -lunp | grep 1194

Pokud tento výstup uvádí adresu, kterou jste nečekali, přesměrování míří na špatné rozhraní a vše ostatní je tu účetnictví. Opravte pravidlo, než budete číst dál, jinak skončíte u ladění certifikátu kvůli paketu, který router nikdy neopustil.

Opravte přesměrování a pak sledujte počítadlo

Upravte stávající pravidlo přesměrování, místo abyste přidávali druhé pro stejný externí port. Dvě pravidla mohou v tabulce routeru existovat vedle sebe a vždy vyhraje jen jedno, což z ladicí relace dělá hádku o to, které je skutečné. Namiřte vnitřní adresu na hodnotu, kterou jste přečetli z NASu, a nechte vnitřní port odpovídat tomu, na čem služba poslouchá.

Pokud DSM tuto adresu získává přes DHCP, nejprve vytvořte rezervaci. Změna pronájmu tiše rozbije přesměrování, které včera fungovalo.

sudo tcpdump -i any -n udp port 1194

Začněte zachytávat dřív, než se klient pokusí připojit, a čtěte zdrojovou adresu v čemkoli, co se objeví. Úplná absence znamená, že to něco po cestě zahodilo: přesměrování, firewall DSM nebo rozhraní, na které to mířilo, a certifikáty nemohou být příčinou, dokud to platí. Něco přicházející z veřejné adresy klienta bez odpovědi znamená, že NAS požadavek přijal a rozhodl se neodpovědět. To jsou různá zjištění a jen to druhé vás vrací do vlastního nastavení paketu.

Teprve potom se podívejte na certifikáty a transport

Jakmile pakety dorazí, po každé změně certifikátu profil znovu exportujte, protože starý soubor stále nese autoritu, se kterou byl vytvořen. Profil ručně upravený pro jiný transport nechává klienta čekat na naslouchající proces, který neexistuje, a hlásí stejné obecné selhání jako všechno ostatní. Porovnejte transport v profilu s transportem, který má paket obsluhovat. Dva profily pro dva transporty jsou legitimní návrh, jeden profil upravený pro oba ne.

Jako poslední krok testujte zvenčí vlastní sítě, protože spojení zevnitř LAN může uspět po cestě, která se přesměrování vůbec nedotkne.

Uchovávejte exportovaný profil, adresu rozhraní a pravidlo přesměrování pohromadě v jedné poznámce. Když se adresa změní, tato poznámka je rozdíl mezi opravou a reprízou. Nic na této cestě nevyžadovalo přeinstalaci paketu, což stojí za zapamatování, než bude obviňován další restart.