Synology NAS med to LAN-porte: hvorfor VPN-håndtrykket mislykkes

Bærbaren rapporterer en TLS-håndtryksfejl, som lyder som et certifikatproblem og normalt ikke er det. På en NAS med to Ethernet-porte er den mest almindelige årsag en router-videresendelse rettet mod den adresse, som pakken ikke lytter på, og klientens besked er identisk i begge tilfælde. Pakken svarer ikke på den anden port, bare fordi begge kabler er tilsluttet. Før nogen genudsteder et certifikat, skal I bevise, at en pakke overhovedet når NAS'et.

Hvad klienten rapporterer, og hvad der faktisk skete

En håndtryksfejl fra en OpenVPN-klient er en samlet betegnelse. Den dækker uoverensstemmelse i certifikat, uoverensstemmelse i transport, en lytter på en anden port og en videresendelse, der ikke leverede noget. Derfor er beskeden ubrugelig som udgangspunkt og kun nyttig som bekræftelse. Behandl den som en erklæring om, at sessionen ikke blev etableret, og intet mere specifikt.

Porten og den bundne adresse er de to fakta, der afgør, om en pakke overhovedet ankommer.

Skriv begge ned, før I ændrer noget, for en plausibel rettelse anvendt på det forkerte lag er måden, hvorpå et problem på femten minutter bliver en hel eftermiddag. Notér grænsefladen, adressen på den, porten og transporten. De fire værdier udgør hele den indgående vej, og næste afsnit forklarer, hvor hver af dem bor.

Find den adresse, som pakken lytter på

DSM nummererer Ethernet-portene, og hver af dem bærer sin egen adresse. Siden VPN Server angiver den grænseflade, som OpenVPN-tjenesten bruger, og netværkspanelet viser den adresse, der er konfigureret på den grænseflade. Læs dem i den rækkefølge, fra tjenesten og udad, så I beskriver det, der lytter, i stedet for det, I antager, at den bør bruge.

Tjenesten binder én adresse. At begge porte er forbundet og aktive, får ikke tjenesten til at svare på den anden. En statisk adresse på den ene grænseflade ved siden af en DHCP-adresse på den anden giver jer to ens værdier, som er lette at bytte om ved et blik, især når de kun adskiller sig i den sidste oktet. Kopiér adressen fra panelet i stedet for at skrive den fra hukommelsen. Bekræft derefter på NAS'et, hvad der faktisk er bundet til porten.

sudo ss -lunp | grep 1194

Hvis det output angiver en adresse, I ikke forventede, er videresendelsen rettet mod den forkerte grænseflade, og alt andet her er bogholderi. Ret reglen, før I læser videre, ellers ender I med at fejlfinde et certifikat på grund af en pakke, der aldrig forlod routeren.

Reparér videresendelsen, og hold så øje med tælleren

Redigér den eksisterende videresendelsesregel i stedet for at tilføje en ny for den samme eksterne port. To regler kan eksistere side om side i en routers tabel, og kun én vinder nogensinde, hvilket gør en fejlfindingssession til en diskussion om, hvilken der er den rigtige. Peg den interne adresse mod den værdi, I læste fra NAS'et, og lad den interne port matche det, tjenesten lytter på.

Hvis DSM får den adresse via DHCP, skal I først oprette en reservation. En ændring af lejemålet brækker lydløst en videresendelse, der virkede i går.

sudo tcpdump -i any -n udp port 1194

Begynd optagelsen, før klienten forsøger at forbinde, og læs kilde-adressen i hvad der end dukker op. Intet overhovedet betyder, at noget undervejs kasserede det: videresendelsen, DSM's firewall eller den grænseflade, den var rettet mod, og certifikater kan ikke være årsagen, så længe det gælder. Noget, der kommer fra klientens offentlige adresse uden svar, betyder, at NAS'et modtog anmodningen og valgte ikke at svare. Det er forskellige fund, og kun det andet sender jer tilbage til pakkens egne indstillinger.

Først da skal I se på certifikater og transport

Når pakkerne ankommer, skal I eksportere profilen igen efter enhver certifikatændring, fordi den gamle fil stadig bærer den myndighed, den blev oprettet med. En profil, der er redigeret manuelt til at bruge en anden transport, lader klienten vente på en lytter, der ikke findes, og den rapporterer den samme generiske fejl som alt andet. Sammenlign transporten i profilen med den transport, pakken er sat til at betjene. To profiler til to transporter er et legitimt design, og én profil redigeret til begge er ikke.

Test udefra jeres eget netværk som det sidste trin, da en forbindelse indefra LAN'et kan lykkes ad en vej, der aldrig rører videresendelsen.

Hold den eksporterede profil, grænsefladens adresse og videresendelsesreglen sammen i ét notat. Når en adresse ændres, er det notat forskellen mellem en rettelse og en gentagelse. Intet på denne vej krævede en geninstallation af en pakke, hvilket er værd at huske, før den næste genstart får skylden.