Αποτυγχάνει η χειραψία OpenVPN στο Synology; Ελέγξτε την προώθηση LAN

Ο φορητός υπολογιστής σας αναφέρει ότι η χειραψία TLS απέτυχε, οπότε ο πειρασμός είναι να ξαναχτίσετε τα πιστοποιητικά. Πριν από αυτό, κάντε μια πιο βαρετή ερώτηση: σε ποια θύρα Ethernet ακούει πραγματικά το Synology; Ένα NAS με δύο θύρες LAN έχει δύο διευθύνσεις, και το πακέτο VPN Server του DSM δεσμεύει τον ακροατή OpenVPN σε μία από αυτές. Όταν ο δρομολογητής προωθεί το 1194 στην άλλη διεύθυνση, κανένα πακέτο δεν φτάνει ποτέ στην υπηρεσία, και ο πελάτης δεν έχει τίποτα για να διαπραγματευτεί.

Το κείμενο του σφάλματος παραπλανά, γιατί περιγράφει το τελευταίο που δοκίμασε ο πελάτης, όχι το πρώτο που πήγε στραβά. Δύο λεπτά σύγκρισης της σελίδας του πακέτου με τον κανόνα του δρομολογητή το λύνουν.

Βρείτε τη διεύθυνση στην οποία είναι δεσμευμένος ο ακροατής

Το DSM ονομάζει τις θύρες του LAN 1 και LAN 2, και καθεμία φέρει ξεχωριστή διεύθυνση και υποδίκτυο. Ανοίξτε το VPN Server, διαβάστε τη διεπαφή που αναφέρεται στην καρτέλα OpenVPN, μετά ανοίξτε τον Πίνακα Ελέγχου και σημειώστε τη διεύθυνση IPv4 που έχει το DSM στην ίδια διεπαφή. Αυτές οι δύο τιμές, όχι το όνομα κεντρικού υπολογιστή του NAS, είναι αυτό που πρέπει να ονομάσει η προώθηση.

Ένα δεύτερο συνδεδεμένο καλώδιο δεν δημιουργεί δεύτερο ακροατή. Και οι δύο ζεύξεις μπορούν να εμφανίζονται συνδεδεμένες ενώ μόνο μία διεύθυνση δέχεται την κίνηση, και όταν οι δύο διεπαφές βρίσκονται στο ίδιο υποδίκτυο οι δύο διευθύνσεις διαφέρουν κατά ένα ψηφίο που κανείς δεν ξαναδιαβάζει πριν αποθηκεύσει κανόνα.

Δείτε την ίδια την υποδοχή μέσω SSH, γιατί αυτό είναι το μόνο σημείο που δείχνει σε τι δεσμεύτηκε πραγματικά ο δαίμονας, όχι τι σκοπεύει η σελίδα ρυθμίσεων.

sudo netstat -anp | grep 1194

Επεξεργαστείτε την υπάρχουσα προώθηση αντί να προσθέσετε άλλη

Δύο κανόνες για μία εξωτερική θύρα αφήνουν τον δρομολογητή ελεύθερο να επιλέξει, και ποιον θα επιλέξει μπορεί να αλλάξει μετά από ενημέρωση υλικολογισμικού ή επανεκκίνηση. Ανοίξτε τον κανόνα που υπάρχει ήδη, αλλάξτε την εσωτερική του διεύθυνση, αποθηκεύστε, μετά ανοίξτε τον ξανά και διαβάστε την τιμή. Το να ονομάσετε τον κανόνα με το όνομα της υπηρεσίας βοηθά, γιατί μια λίστα με πέντε πανομοιότυπες προωθήσεις είναι ο τρόπος με τον οποίο επιβιώνει ο λάθος.

external 1194/udp  ->  192.0.2.20:1194/udp

Κρατήστε την εσωτερική θύρα ίση με τη θύρα ακρόασης, και κρατήστε το πρωτόκολλο συνεπές. Το UDP 1194 είναι ο προεπιλεγμένος ακροατής, ενώ ένα προφίλ TCP χρειάζεται τον δικό του ακροατή στην πλευρά του πακέτου και αντίστοιχη προώθηση στον δρομολογητή. Η προώθηση TCP σε υπηρεσία που ακούει μόνο UDP παράγει σιωπή, όχι σφάλμα.

Αν η διεύθυνση του NAS προέρχεται από DHCP, κρατήστε την πριν αποθηκευτεί ο κανόνας. Η λήξη της μίσθωσης αναθέτει ξανά τη διεύθυνση, η προώθηση συνεχίζει να δείχνει στην παλιά τιμή, και η χειραψία αρχίζει να αποτυγχάνει μια μέρα που κανείς δεν άγγιξε το NAS. Μια στατική διαμόρφωση στην πλευρά του NAS λύνει το ίδιο πρόβλημα, με την προϋπόθεση ότι η διεύθυνση βρίσκεται έξω από το εύρος DHCP του δρομολογητή.

Αποδείξτε αν τα πακέτα φτάνουν καθόλου

Ξεκινήστε πρώτα μια καταγραφή στο NAS, μετά συνδεθείτε από τον πελάτη, και διαβάστε τη διεύθυνση προέλευσης στην έξοδο. Μια καταγραφή που ξεκίνησε μετά την αποτυχία δεν δείχνει τίποτα και δεν αποδεικνύει τίποτα.

sudo tcpdump -i any -n udp port 1194

Η σιωπή σημαίνει ότι η κίνηση πέθανε πριν από την υπηρεσία: λάθος εσωτερική διεύθυνση, κλειστή θύρα στο τείχος προστασίας του DSM, ή διεπαφή που είναι διοικητικά ανενεργή. Πακέτα στην έξοδο σημαίνουν ότι η προώθηση λειτουργεί, και το υπόλοιπο σφάλμα βρίσκεται πάνω από το επίπεδο δικτύου, που είναι πολύ μικρότερη περιοχή αναζήτησης.

Η καταγραφή ονομάζει επίσης τη διεπαφή στην οποία έφτασε το πακέτο, και αυτή η μία λεπτομέρεια χωρίζει έναν κανόνα στραμμένο στη λάθος θύρα από έναν κανόνα στραμμένο σε θύρα που δεν είναι ενεργή. Παρακολουθήστε τον δικό του μετρητή του δρομολογητή κατά την ίδια προσπάθεια αν τον εκθέτει. Ένας μετρητής που δεν κινείται ενώ η καταγραφή μένει κενή δείχνει τον δρομολογητή, ενώ ένας μετρητής που κινείται με κενή καταγραφή δείχνει τη διαδρομή ανάμεσα στις δύο συσκευές.

Όταν φτάνουν τα πακέτα, σταματήστε να κατηγορείτε την προώθηση

Το προφίλ είναι ο επόμενος ύποπτος, και ο συνήθης λόγος είναι η ηλικία. Ένα εξαγμένο αρχείο .ovpn περιέχει την αρχή και το υλικό από τη στιγμή της εξαγωγής, οπότε ένα πακέτο του οποίου το πιστοποιητικό αντικαταστάθηκε αργότερα θα απορρίψει πελάτη που κουβαλά ακόμη το παλιό αντίγραφο.

Η μεταφορά είναι η άλλη ασυμφωνία που αξίζει ρητό έλεγχο, γιατί το προφίλ και το πακέτο επεξεργάζονται σε διαφορετικά σημεία. Η αλλαγή προφίλ από UDP σε TCP χωρίς αλλαγή του πακέτου αφήνει τον πελάτη να περιμένει ακροατή που δεν υπάρχει, και ο πελάτης αναφέρει το ίδιο γενικό κείμενο χειραψίας που αναφέρει για όλα τα άλλα. Διαβάστε τη γραμμή proto στο αρχείο, μετά κοιτάξτε το πρωτόκολλο που επιλέχθηκε στη σελίδα του διακομιστή, και μόνο τότε συμπεράνετε ότι συμφωνούν. Η ανάγνωση των κανόνων του τείχους προστασίας του DSM είναι ο τρίτος έλεγχος: ένας κανόνας που επιτρέπει τη θύρα από το τοπικό υποδίκτυο αλλά όχι από το διαδίκτυο αφήνεται εύκολα πίσω μετά τη δοκιμή, και παράγει σύνδεση που λειτουργεί από την κουζίνα και αποτυγχάνει από παντού αλλού.

Δοκιμάστε τη διαδρομή που παίρνει πραγματικά ένας απομακρυσμένος χρήστης

Ένας πελάτης μέσα στο ίδιο LAN μπορεί να φτάσει το NAS χωρίς να αγγίξει ποτέ την προώθηση, άρα δεν αποδεικνύει τίποτα για την απομακρυσμένη πρόσβαση. Χρησιμοποιήστε ένα τηλέφωνο με απενεργοποιημένο Wi-Fi, ή ρωτήστε κάποιον εκτός δικτύου, και παρακολουθήστε τον μετρητή του δρομολογητή κατά τη διάρκεια αυτής της προσπάθειας. Αν η απομακρυσμένη προσπάθεια αποτύχει ενώ η τοπική πετυχαίνει, η προώθηση ή το τείχος προστασίας είναι ακόμη στην εικόνα.

Καταγράψτε την κατάσταση που λειτουργεί όσο λειτουργεί: εξωτερική θύρα, εσωτερική διεύθυνση, πρωτόκολλο, διεπαφή πακέτου, και το όνομα του προφίλ και την ημερομηνία εξαγωγής. Όταν η χειραψία αποτύχει ξανά, η διαφορά ανάμεσα σε αυτή τη σημείωση και την τρέχουσα διαμόρφωση είναι το σφάλμα, και κανείς δεν χρειάζεται να ανακαλύψει ξανά ποια από τις δύο θύρες χρησιμοποιεί η υπηρεσία.