Synology NAS με δύο θύρες LAN: γιατί αποτυγχάνει η χειραψία VPN

Ο φορητός υπολογιστής αναφέρει αποτυχία χειραψίας TLS, που ακούγεται σαν πρόβλημα πιστοποιητικού και συνήθως δεν είναι. Σε ένα NAS με δύο θύρες Ethernet, η πιο συχνή αιτία είναι μια προώθηση στον δρομολογητή που στοχεύει στη διεύθυνση όπου το πακέτο δεν ακούει, και το μήνυμα του πελάτη είναι ίδιο και στις δύο περιπτώσεις. Το πακέτο δεν απαντά στη δεύτερη θύρα μόνο επειδή είναι συνδεδεμένα και τα δύο καλώδια. Πριν κάποιος επανεκδώσει πιστοποιητικό, αποδείξτε ότι ένα πακέτο φτάνει καθόλου στο NAS.

Τι αναφέρει ο πελάτης και τι συνέβη πραγματικά

Η αποτυχία χειραψίας από πελάτη OpenVPN είναι ένας γενικός όρος. Καλύπτει ασυμφωνία πιστοποιητικού, ασυμφωνία μεταφοράς, ακροατή σε άλλη θύρα και προώθηση που δεν παρέδωσε τίποτα. Γι' αυτό το μήνυμα είναι άχρηστο ως αφετηρία και χρήσιμο μόνο ως επιβεβαίωση. Αντιμετωπίστε το ως δήλωση ότι η συνεδρία δεν εγκαταστάθηκε, και τίποτα πιο συγκεκριμένο.

Η θύρα και η δεσμευμένη διεύθυνση είναι τα δύο γεγονότα που καθορίζουν αν ένα πακέτο φτάνει ποτέ.

Καταγράψτε και τα δύο πριν αλλάξετε οτιδήποτε, γιατί μια εύλογη διόρθωση που εφαρμόζεται στο λάθος επίπεδο είναι ο τρόπος με τον οποίο ένα πρόβλημα δεκαπέντε λεπτών γίνεται ένα ολόκληρο απόγευμα. Σημειώστε τη διεπαφή, τη διεύθυνση πάνω της, τη θύρα και τη μεταφορά. Αυτές οι τέσσερις τιμές είναι ολόκληρη η εισερχόμενη διαδρομή, και η επόμενη ενότητα εξηγεί πού ζει καθεμία.

Βρείτε τη διεύθυνση όπου ακούει το πακέτο

Το DSM αριθμεί τις θύρες Ethernet και καθεμία φέρει τη δική της διεύθυνση. Η σελίδα VPN Server ονομάζει τη διεπαφή που χρησιμοποιεί η υπηρεσία OpenVPN, και ο πίνακας δικτύου δείχνει τη διεύθυνση που έχει ρυθμιστεί σε αυτή τη διεπαφή. Διαβάστε τις με αυτή τη σειρά, από την υπηρεσία προς τα έξω, ώστε να περιγράφετε τι ακούει αντί για το τι υποθέτετε ότι θα έπρεπε να χρησιμοποιεί.

Η υπηρεσία δεσμεύει μία διεύθυνση. Το ότι και οι δύο θύρες είναι συνδεδεμένες και ενεργές δεν κάνει την υπηρεσία να απαντά στη δεύτερη. Μια στατική διεύθυνση στη μία διεπαφή δίπλα σε μια διεύθυνση DHCP στην άλλη σας δίνει δύο παρόμοιες τιμές που ανταλλάσσονται εύκολα με μια ματιά, ειδικά όταν διαφέρουν μόνο στο τελευταίο οκτάδιο. Αντιγράψτε τη διεύθυνση από τον πίνακα αντί να τη πληκτρολογήσετε από μνήμη. Στη συνέχεια επιβεβαιώστε στο NAS τι είναι πραγματικά δεσμευμένο στη θύρα.

sudo ss -lunp | grep 1194

Αν αυτή η έξοδος ονομάζει διεύθυνση που δεν περιμένατε, η προώθηση στοχεύει τη λάθος διεπαφή και όλα τα υπόλοιπα εδώ είναι λογιστική. Διορθώστε τον κανόνα πριν διαβάσετε παρακάτω, αλλιώς θα καταλήξετε να αποσφαλματώνετε πιστοποιητικό για πακέτο που δεν έφυγε ποτέ από τον δρομολογητή.

Διορθώστε την προώθηση και μετά παρακολουθήστε τον μετρητή

Επεξεργαστείτε τον υπάρχοντα κανόνα προώθησης αντί να προσθέσετε δεύτερο για την ίδια εξωτερική θύρα. Δύο κανόνες μπορούν να συνυπάρχουν στον πίνακα ενός δρομολογητή και μόνο ένας κερδίζει πάντα, κάτι που μετατρέπει μια συνεδρία αποσφαλμάτωσης σε διαφωνία για το ποιος είναι ο πραγματικός. Στρέψτε την εσωτερική διεύθυνση στην τιμή που διαβάσατε από το NAS και αφήστε την εσωτερική θύρα να ταιριάζει με ό,τι ακούει η υπηρεσία.

Αν το DSM παίρνει αυτή τη διεύθυνση μέσω DHCP, δημιουργήστε πρώτα μια δέσμευση. Μια αλλαγή μίσθωσης σπάει σιωπηλά μια προώθηση που δούλευε χθες.

sudo tcpdump -i any -n udp port 1194

Ξεκινήστε τη σύλληψη πριν ο πελάτης προσπαθήσει να συνδεθεί, και διαβάστε τη διεύθυνση προέλευσης σε ό,τι εμφανιστεί. Το τίποτα απολύτως σημαίνει ότι κάτι στην πορεία το απέρριψε: η προώθηση, το τείχος προστασίας του DSM ή η διεπαφή στην οποία στόχευε, και τα πιστοποιητικά δεν μπορούν να είναι η αιτία όσο ισχύει αυτό. Κάτι που φτάνει από τη δημόσια διεύθυνση του πελάτη χωρίς απάντηση σημαίνει ότι το NAS έλαβε το αίτημα και επέλεξε να μην απαντήσει. Αυτά είναι διαφορετικά ευρήματα, και μόνο το δεύτερο σας στέλνει πίσω στις ρυθμίσεις του ίδιου του πακέτου.

Μόνο τότε κοιτάξτε πιστοποιητικά και μεταφορά

Μόλις φτάσουν πακέτα, εξαγάγετε ξανά το προφίλ μετά από κάθε αλλαγή πιστοποιητικού, γιατί το παλιό αρχείο φέρει ακόμη την αρχή με την οποία δημιουργήθηκε. Ένα προφίλ που έχει επεξεργαστεί με το χέρι για άλλη μεταφορά αφήνει τον πελάτη να περιμένει ακροατή που δεν υπάρχει, και αναφέρει την ίδια γενική αποτυχία με όλα τα άλλα. Συγκρίνετε τη μεταφορά μέσα στο προφίλ με τη μεταφορά που το πακέτο έχει ρυθμιστεί να εξυπηρετεί. Δύο προφίλ για δύο μεταφορές είναι έγκυρος σχεδιασμός, και ένα προφίλ επεξεργασμένο και για τις δύο δεν είναι.

Δοκιμάστε από έξω από το δικό σας δίκτυο ως τελευταίο βήμα, αφού μια σύνδεση από μέσα στο LAN μπορεί να πετύχει μέσω διαδρομής που δεν αγγίζει ποτέ την προώθηση.

Κρατήστε το εξαγόμενο προφίλ, τη διεύθυνση της διεπαφής και τον κανόνα προώθησης μαζί σε ένα σημείωμα. Όταν αλλάζει μια διεύθυνση, αυτό το σημείωμα είναι η διαφορά μεταξύ διόρθωσης και επανάληψης. Τίποτα σε αυτή τη διαδρομή δεν απαιτούσε επανεγκατάσταση πακέτου, κάτι που αξίζει να θυμάστε πριν κατηγορηθεί η επόμενη επανεκκίνηση.