Synology NAS kahe LAN-pordiga: miks VPN-i käepigistus ebaõnnestub

Sülearvuti teatab TLS-i käepigistuse tõrkest, mis kõlab sertifikaadi probleemina ja tavaliselt ei ole seda. Kahe Etherneti pordiga NAS-il on kõige tavalisem põhjus ruuteri edasisaatmine, mis on suunatud aadressile, kus pakett ei kuula, ja kliendi teade on mõlemal juhul sama. Pakett ei vasta teisel pordil lihtsalt sellepärast, et mõlemad kaablid on ühendatud. Enne, kui keegi sertifikaadi uuesti välja annab, tõestage, et pakett üldse NAS-i jõuab.

Mida klient teatab ja mis tegelikult juhtus

OpenVPN-i kliendi käepigistuse tõrge on üldnimetus. See hõlmab sertifikaadi erinevust, transpordi erinevust, teise pordi kuulajat ja edasisaatmist, mis ei toimetanud midagi kohale. Seetõttu on teade lähtepunktina kasutu ja kasulik ainult kinnitusena. Käsitlege seda väitena, et sessioon ei tekkinud, ja mitte millegi täpsemana.

Port ja seotud aadress on kaks asjaolu, mis otsustavad, kas pakett üldse kohale jõuab.

Pange mõlemad kirja enne, kui midagi muudate, sest usutav parandus valel kihil on viis, kuidas viieteistkümne minuti probleemist saab terve pärastlõuna. Märkige üles liides, sellel olev aadress, port ja transport. Need neli väärtust moodustavad kogu sissetuleva tee ja järgmine osa selgitab, kus igaüks neist elab.

Leidke aadress, kus pakett kuulab

DSM nummerdab Etherneti pordid ja igaühel on oma aadress. Leht VPN Server nimetab liidese, mida OpenVPN-i teenus kasutab, ja võrgupaneel näitab sellele liidesele seadistatud aadressi. Lugege neid selles järjekorras, teenusest väljapoole, et kirjeldada seda, mis kuulab, mitte seda, mida eeldate, et see peaks kasutama.

Teenus seob ühe aadressi. See, et mõlemad pordid on ühendatud ja aktiivsed, ei pane teenust teisel vastama. Staatiline aadress ühel liidesel kõrvuti DHCP-aadressiga teisel annab teile kaks sarnast väärtust, mida on ühe pilguga lihtne segi ajada, eriti kui need erinevad ainult viimases oktetis. Kopeerige aadress paneelilt, mitte ärge tippige seda mälust. Seejärel kinnitage NAS-il, mis on pordiga tegelikult seotud.

sudo ss -lunp | grep 1194

Kui see väljund nimetab aadressi, mida te ei oodanud, on edasisaatmine suunatud valele liidesele ja kõik muu siin on raamatupidamine. Parandage reegel enne edasilugemist, muidu lõpetate sertifikaadi silumisega paketi pärast, mis ei lahkunud kunagi ruuterist.

Parandage edasisaatmine ja jälgige siis loendurit

Muutke olemasolevat edasisaatmise reeglit, mitte ärge lisage teist sama välise pordi jaoks. Kaks reeglit võivad ruuteri tabelis kõrvuti eksisteerida ja alati võidab ainult üks, mis muudab silumisseansi vaidluseks selle üle, milline on tõeline. Suunake sisemine aadress väärtusele, mille lugesite NAS-ilt, ja jätke sisemine port vastama sellele, mida teenus kuulab.

Kui DSM saab selle aadressi DHCP kaudu, looge esmalt reserveering. Liisingu muutus lõhub vaikselt edasisaatmise, mis eile töötas.

sudo tcpdump -i any -n udp port 1194

Alustage püüdmist enne, kui klient üritab ühenduda, ja lugege lähteaadressi kõiges, mis ilmub. Täielik tühjus tähendab, et miski teel viskas selle kõrvale: edasisaatmine, DSM-i tulemüür või liides, millele see oli suunatud, ja sertifikaadid ei saa olla põhjuseks, kuni see kehtib. Miski, mis saabub kliendi avalikult aadressilt ilma vastuseta, tähendab, et NAS sai taotluse ja otsustas mitte vastata. Need on erinevad leiud ja ainult teine saadab teid tagasi paketi enda seadetesse.

Alles siis vaadake sertifikaate ja transporti

Kui paketid saabuvad, eksportige profiil uuesti pärast iga sertifikaadimuudatust, sest vana fail kannab endiselt asutust, millega see loodi. Käsitsi redigeeritud profiil erineva transpordi jaoks jätab kliendi ootama kuulajat, mida pole olemas, ja see teatab sama üldist tõrget nagu kõik muu. Võrrelge profiili sees olevat transporti transpordiga, mille teenindamiseks pakett on seatud. Kaks profiili kahe transpordi jaoks on legitiimne disain, ja üks profiil mõlema jaoks redigeerituna ei ole.

Testige viimase sammuna väljastpoolt oma võrku, sest LAN-i seest tulev ühendus võib õnnestuda teel, mis ei puuduta edasisaatmist üldse.

Hoidke eksporditud profiil, liidese aadress ja edasisaatmise reegel koos ühes märkmes. Kui aadress muutub, on see märge paranduse ja korduse vahe. Miski sellel teel ei nõudnud paketi uuesti paigaldamist, mida tasub meeles pidada enne, kui järgmine taaskäivitus süüdi jääb.