Synology NAS kun du LAN-pordoj: kial la VPN-manpremo malsukcesas

La tekokomputilo raportas TLS-manpreman malsukceson, kio sonas kiel atestila problemo kaj kutime ne estas. Sur NAS kun du Ethernet-pordoj, la plej ofta kaŭzo estas plusendo de la enkursigilo celanta la adreson, sur kiu la pako ne aŭskultas, kaj la mesaĝo de la kliento estas identa en ambaŭ kazoj. La pako ne respondas sur la dua pordo nur ĉar ambaŭ kabloj estas enŝovitaj. Antaŭ ol iu reeldonas atestilon, pruvu, ke pako entute atingas la NAS-on.

Kion raportas la kliento kaj kio fakte okazis

Manprema malsukceso de OpenVPN-kliento estas ĝenerala etikedo. Ĝi kovras malkongruon de atestilo, malkongruon de transporto, aŭskultanton sur alia pordo kaj plusendon, kiu nenion liveris. Tial la mesaĝo estas senutila kiel elirpunkto kaj utila nur kiel konfirmo. Traktu ĝin kiel aserto, ke la sesio ne establiĝis, kaj kiel nenio pli specifa.

La pordo kaj la ligita adreso estas la du faktoj, kiuj decidas, ĉu pako iam alvenos.

Notu ambaŭ antaŭ ol ŝanĝi ion ajn, ĉar kredebla ripeto aplikita sur la malĝusta tavolo estas la maniero, kiel problemo de dek kvin minutoj fariĝas tuta posttagmezo. Notu la interfacon, la adreson sur ĝi, la pordon kaj la transporton. Tiuj kvar valoroj estas la tuta envena vojo, kaj la sekva sekcio klarigas, kie ĉiu el ili loĝas.

Trovu la adreson, sur kiu la pako aŭskultas

DSM numeras la Ethernet-pordojn kaj ĉiu portas sian propran adreson. La paĝo VPN Server nomas la interfacon, kiun uzas la OpenVPN-servo, kaj la reta panelo montras la adreson agorditan sur tiu interfaco. Legu ilin en tiu ordo, de la servo eksteren, por ke vi priskribu, kio aŭskultas, anstataŭ kion vi supozas, ke ĝi devus uzi.

La servo ligas unu adreson. Tio, ke ambaŭ pordoj estas konektitaj kaj aktivaj, ne igas la servon respondi sur la dua. Statika adreso sur unu interfaco apud DHCP-adreso sur la alia donas al vi du similajn valorojn, kiujn oni facile interŝanĝas per unu rigardo, precipe kiam ili diferencas nur en la lasta oketo. Kopiu la adreson el la panelo anstataŭ tajpi ĝin el memoro. Poste konfirmu sur la NAS, kio fakte estas ligita al la pordo.

sudo ss -lunp | grep 1194

Se tiu eligo nomas adreson, kiun vi ne atendis, la plusendo celas la malĝustan interfacon kaj ĉio alia ĉi tie estas librotenado. Riparu la regulon antaŭ ol legi plu, alie vi finos sencimigante atestilon pro pako, kiu neniam forlasis la enkursigilon.

Riparu la plusendon, poste observu la nombrilon

Redaktu la ekzistantan plusendan regulon anstataŭ aldoni duan por la sama ekstera pordo. Du reguloj povas kunekzisti en la tabelo de enkursigilo kaj nur unu ĉiam venkas, kio transformas sencimigan sesion en disputon pri tio, kiu estas la vera. Direktu la internan adreson al la valoro, kiun vi legis de la NAS, kaj lasu la internan pordon kongrui kun tio, sur kio la servo aŭskultas.

Se DSM prenas tiun adreson per DHCP, unue kreu rezervon. Ŝanĝo de luo silentas rompas plusendon, kiu funkciis hieraŭ.

sudo tcpdump -i any -n udp port 1194

Komencu la kaptadon antaŭ ol la kliento provos konektiĝi, kaj legu la fontan adreson en kio ajn aperas. Nenio tute signifas, ke io survoje forĵetis ĝin: la plusendo, la fajroŝirmilo de DSM aŭ la interfaco, al kiu ĝi celis, kaj atestiloj ne povas esti la kaŭzo dum tio validas. Io alvenanta de la publika adreso de la kliento sen respondo signifas, ke la NAS ricevis la peton kaj elektis ne respondi. Tiuj estas malsamaj trovoj, kaj nur la dua resendas vin al la propraj agordoj de la pako.

Nur tiam rigardu atestilojn kaj transporton

Post kiam pakoj alvenos, reeksportu la profilon post ĉiu atestila ŝanĝo, ĉar la malnova dosiero ankoraŭ portas la aŭtoritaton, kun kiu ĝi estis kreita. Profilo mane redaktita por uzi alian transporton lasas la klienton atendi aŭskultanton, kiu ne ekzistas, kaj ĝi raportas la saman ĝeneralan malsukceson kiel ĉio alia. Komparu la transporton ene de la profilo kun la transporto, kiun la pako estas agordita servi. Du profiloj por du transportoj estas legitima dezajno, kaj unu profilo redaktita por ambaŭ ne estas.

Testu de ekster via propra reto kiel la lasta paŝo, ĉar konekto de interne de la LAN povas sukcesi laŭ vojo, kiu neniam tuŝas la plusendon.

Tenu la eksportitan profilon, la interfacan adreson kaj la plusendan regulon kune en unu noto. Kiam adreso ŝanĝiĝas, tiu noto estas la diferenco inter riparo kaj ripeto de prezento. Nenio sur tiu vojo postulis reinstalon de pako, kio indas memori antaŭ ol la sekva restartigo estos kulpigita.