OpenVPN handshake na Synology selhává? Zkontrolujte přesměrování v LAN

Váš notebook hlásí, že TLS handshake selhal, a proto vás láká certifikáty přestavět. Nejdřív si položte nudnější otázku: na kterém Ethernet portu Synology vlastně naslouchá? NAS se dvěma LAN porty má dvě adresy a balíček VPN Server v DSM připoutá svůj OpenVPN posluchač k jedné z nich. Když router přesměruje 1194 na druhou adresu, nedorazí do služby žádný paket a klient nemá s čím vyjednávat.

Text chyby mate, protože popisuje poslední, co klient zkusil, a ne první, co se pokazilo. Dvě minuty srovnávání stránky balíčku s pravidlem routeru to vyřeší.

Najděte adresu, ke které je posluchač připoután

DSM označuje své porty jako LAN 1 a LAN 2 a každý nese samostatnou adresu a podsíť. Otevřete VPN Server, přečtěte rozhraní uvedené na kartě OpenVPN, potom otevřete Ovládací panel a poznamenejte si adresu IPv4, kterou DSM má na stejném rozhraní. Právě tyto dvě hodnoty, ne název hostitele NAS, musí přesměrování uvést.

Druhý zapojený kabel nevytváří druhý posluchač. Obě spojení mohou vypadat připojeně, zatímco provoz přijímá jen jedna adresa, a když obě rozhraní leží ve stejné podsíti, adresy se liší číslicí, kterou před uložením pravidla nikdo znovu nepřečte.

Podívejte se přes SSH na samotný socket, protože to je jediné místo, které ukazuje, k čemu se démon skutečně připoutal, a ne co zamýšlí stránka nastavení.

sudo netstat -anp | grep 1194

Upravte stávající přesměrování, místo abyste přidávali další

Dvě pravidla pro jeden externí port nechávají routeru volnost volby a to, které zvolí, se může změnit po aktualizaci firmwaru nebo restartu. Otevřete pravidlo, které už existuje, změňte jeho vnitřní adresu, uložte, pak ho znovu otevřete a přečtěte hodnotu. Pojmenovat pravidlo podle služby pomáhá, protože seznam pěti stejných přesměrování je způsob, jakým to špatné přežije.

external 1194/udp  ->  192.0.2.20:1194/udp

Držte vnitřní port stejný jako port naslouchání a držte protokol konzistentní. UDP 1194 je výchozí posluchač, zatímco profil TCP potřebuje vlastní posluchač na straně balíčku a odpovídající přesměrování na routeru. Přesměrování TCP ke službě, která naslouchá jen na UDP, dává ticho, ne chybu.

Pokud adresa NAS pochází z DHCP, rezervujte ji před uložením pravidla. Vypršení pronájmu adresu znovu přidělí, přesměrování dál ukazuje na starou hodnotu a handshake začne selhávat ve dni, kdy na NAS nikdo nesáhl. Statická konfigurace na straně NAS řeší stejný problém, pokud adresa leží mimo rozsah DHCP routeru.

Dokažte, zda pakety vůbec dorazí

Nejprve spusťte zachytávání na NAS, potom se připojte z klienta a přečtěte zdrojovou adresu ve výstupu. Zachytávání spuštěné po selhání nic neukáže a nic nedokáže.

sudo tcpdump -i any -n udp port 1194

Ticho znamená, že provoz zemřel před službou: špatná vnitřní adresa, zavřený port na firewallu DSM nebo rozhraní administrativně vypnuté. Pakety ve výstupu znamenají, že přesměrování funguje a zbývající závada leží nad síťovou vrstvou, což je mnohem menší oblast hledání.

Zachytávání také pojmenuje rozhraní, na které paket dorazil, a tento jediný detail odděluje pravidlo mířící na špatný port od pravidla mířícího na port, který není nahoře. Sledujte vlastní počítadlo routeru během stejného pokusu, pokud ho ukazuje. Počítadlo, které se nehýbe, zatímco zachytávání zůstává prázdné, ukazuje na router, zatímco počítadlo, které se hýbe s prázdným zachytáváním, ukazuje na cestu mezi oběma zařízeními.

Když pakety dorazí, přestaňte vinit přesměrování

Profil je další podezřelý a obvyklým důvodem je stáří. Exportovaný soubor .ovpn obsahuje autoritu a materiál z okamžiku exportu, takže balíček, jehož certifikát byl později nahrazen, odmítne klienta, který stále nese starou kopii.

Přenos je další neshoda, kterou stojí za to výslovně zkontrolovat, protože profil a balíček se upravují na různých místech. Změna profilu z UDP na TCP bez přepnutí balíčku nechá klienta čekat na posluchač, který neexistuje, a klient hlásí stejný obecný text handshake, jaký hlásí u všeho ostatního. Přečtěte řádek proto v souboru, potom se podívejte na protokol zvolený na stránce serveru a teprve pak usoudte, že se shodují. Čtení pravidel firewallu DSM je třetí kontrola: pravidlo, které povolí port z místní podsítě, ale ne z internetu, se po testování snadno nechá zapomenuté, a dává spojení, které funguje z kuchyně a selhává odevšad jinde.

Otestujte cestu, kterou vzdálený uživatel skutečně jde

Klient ve stejné LAN dosáhne NAS, aniž by se kdy dotkl přesměrování, takže o vzdáleném přístupu nic nedokazuje. Použijte telefon s vypnutým Wi-Fi nebo požádejte někoho mimo síť a během tohoto pokusu sledujte počítadlo routeru. Pokud vzdálený pokus selže, zatímco místní uspěje, přesměrování nebo firewall jsou stále ve hře.

Zapište funkční stav, dokud funguje: externí port, vnitřní adresu, protokol, rozhraní balíčku a název profilu a datum exportu. Když handshake znovu selže, rozdíl mezi touto poznámkou a současnou konfigurací je závada a nikdo nemusí znovu objevovat, který ze dvou portů služba používá.