Synology NAS â dau borth LAN: pam mae ysgwyd llaw'r VPN yn methu

Mae'r gliniadur yn adrodd am fethiant ysgwyd llaw TLS, sy'n swnio fel problem dystysgrif ac fel arfer nid yw. Ar NAS â dau borth Ethernet, yr achos mwyaf cyffredin yw anfon ymlaen ar y llwybrydd sy'n anelu at y cyfeiriad lle nad yw'r pecyn yn gwrando, ac mae neges y cleient yr un fath yn y naill achos a'r llall. Nid yw'r pecyn yn ateb ar yr ail borth dim ond oherwydd bod y ddau gebl wedi'u plygio i mewn. Cyn i unrhyw un ailddyroddi tystysgrif, profwch fod pecyn yn cyrraedd y NAS o gwbl.

Yr hyn y mae'r cleient yn ei adrodd a'r hyn a ddigwyddodd mewn gwirionedd

Mae methiant ysgwyd llaw gan gleient OpenVPN yn dipyn o gasgliad. Mae'n cwmpasu anghysondeb tystysgrif, anghysondeb trafnidiaeth, gwrandawr ar borth arall, ac anfon ymlaen na chyflwynodd ddim. Dyna pam mae'r neges yn ddiwerth fel man cychwyn ac yn ddefnyddiol yn unig fel cadarnhad. Triniwch hi fel datganiad na sefydlwyd y sesiwn, ac fel dim mwy penodol.

Y porth a'r cyfeiriad rhwym yw'r ddau ffaith sy'n penderfynu a fydd pecyn yn cyrraedd o gwbl.

Ysgrifennwch y ddau cyn newid unrhyw beth, oherwydd atgyweiriad credadwy a gymhwysir i'r haen anghywir yw'r ffordd y mae problem pymtheg munud yn troi'n brynhawn cyfan. Nodwch y rhyngwyneb, y cyfeiriad arno, y porth a'r drafnidiaeth. Y pedwar gwerth hynny yw'r holl lwybr i mewn, ac mae'r adran nesaf yn esbonio lle mae pob un yn byw.

Dewch o hyd i'r cyfeiriad y mae'r pecyn yn gwrando arno

Mae DSM yn rhifo'r porthladdoedd Ethernet ac mae gan bob un ei gyfeiriad ei hun. Mae tudalen VPN Server yn enwi'r rhyngwyneb y mae'r gwasanaeth OpenVPN yn ei ddefnyddio, ac mae'r panel rhwydwaith yn dangos y cyfeiriad a ffurfweddwyd ar y rhyngwyneb hwnnw. Darllenwch nhw yn y drefn honno, o'r gwasanaeth tuag allan, fel eich bod yn disgrifio'r hyn sy'n gwrando yn hytrach na'r hyn rydych chi'n tybio y dylai ei ddefnyddio.

Mae'r gwasanaeth yn rhwymo un cyfeiriad. Nid yw'r ffaith bod y ddau borth wedi'u cysylltu ac yn weithredol yn gwneud i'r gwasanaeth ateb ar yr ail. Mae cyfeiriad statig ar un rhyngwyneb wrth ochr cyfeiriad DHCP ar y llall yn rhoi dau werth tebyg i chi sy'n hawdd eu cyfnewid ar un olwg, yn enwedig pan nad ydynt yn gwahaniaethu ond yn yr octed olaf. Copïwch y cyfeiriad o'r panel yn hytrach na'i deipio o'r cof. Yna cadarnhewch ar y NAS beth sydd mewn gwirionedd yn rhwym i'r porth.

sudo ss -lunp | grep 1194

Os yw'r allbwn hwnnw'n enwi cyfeiriad na wnaethoch ei ddisgwyl, mae'r anfon ymlaen wedi'i anelu at y rhyngwyneb anghywir ac mae popeth arall yma yn gyfrifo. Trwsiwch y rheol cyn darllen ymhellach, neu byddwch yn dadfygio tystysgrif dros becyn na adawodd y llwybrydd erioed.

Trwsiwch yr anfon ymlaen, yna gwyliwch y rhifydd

Golygwch y rheol anfon ymlaen bresennol yn hytrach nag ychwanegu ail un ar gyfer yr un porth allanol. Gall dwy rheol gydfodoli yn nhabl llwybrydd a dim ond un yn ennill byth, sy'n troi sesiwn dadfygio yn ddadl ynghylch pa un sy'n wirioneddol. Anelwch y cyfeiriad mewnol at y gwerth a ddarllenwyd gennych o'r NAS, a gadewch y porth mewnol yn cyfateb i'r hyn y mae'r gwasanaeth yn gwrando arno.

Os yw DSM yn cael y cyfeiriad hwnnw trwy DHCP, crëwch archeb yn gyntaf. Mae newid les yn torri anfon ymlaen a oedd yn gweithio ddoe yn dawel.

sudo tcpdump -i any -n udp port 1194

Dechreuwch gipio cyn i'r cleient geisio cysylltu, a darllenwch y cyfeiriad ffynhonnell yn unrhyw beth sy'n ymddangos. Mae dim byd o gwbl yn golygu bod rhywbeth ar y ffordd wedi'i daflu i ffwrdd: yr anfon ymlaen, wal dân DSM, neu'r rhyngwyneb y'i hanelwyd ato, ac ni all tystysgrifau fod yn achos tra bo hynny'n wir. Mae rhywbeth yn dod o gyfeiriad cyhoeddus y cleient heb unrhyw ateb yn golygu bod y NAS wedi derbyn y cais ac wedi dewis peidio ag ateb. Mae'r rhain yn ganfyddiadau gwahanol, a dim ond yr ail sy'n eich anfon yn ôl i osodiadau'r pecyn ei hun.

Dim ond wedyn edrychwch ar dystysgrifau a thrafnidiaeth

Ar ôl i becynnau gyrraedd, allddyroddwch y proffil ar ôl unrhyw newid tystysgrif, oherwydd mae'r hen ffeil yn dal i gynnwys yr awdurdod y crëwyd hi ag ef. Mae proffil a olygwyd â llaw i ddefnyddio trafnidiaeth wahanol yn gadael y cleient yn aros ar wrandawr nad yw'n bodoli, ac mae'n adrodd yr un methiant cyffredinol â phopeth arall. Cymharwch y drafnidiaeth y tu mewn i'r proffil â'r drafnidiaeth y mae'r pecyn wedi'i osod i'w gwasanaethu. Mae dau broffil ar gyfer dwy drafnidiaeth yn ddyluniad dilys, ac nid yw un proffil a olygwyd ar gyfer y ddwy.

Profwch o'r tu allan i'ch rhwydwaith eich hun fel cam olaf, oherwydd gall cysylltiad o'r tu mewn i'r LAN lwyddo ar hyd llwybr nad yw'n cyffwrdd â'r anfon ymlaen o gwbl.

Cadwch y proffil a allddyroddwyd, cyfeiriad y rhyngwyneb a'r rheol anfon ymlaen gyda'i gilydd mewn un nodyn. Pan fydd cyfeiriad yn newid, y nodyn hwnnw yw'r gwahaniaeth rhwng atgyweiriad ac ailberfformiad. Nid oedd dim ar y llwybr hwn yn gofyn am ailosod pecyn, sy'n werth ei gofio cyn i'r ailgychwyn nesaf gael ei feio.