Kas OpenVPN-i kätlemine Synologyl ebaõnnestub? Kontrollige LAN-i edastust

Sülearvuti teatab, et TLS-i kätlemine ebaõnnestus, mistõttu kiusab mõte sertifikaadid uuesti ehitada. Enne seda esitage igavam küsimus: millisel Etherneti pordil Synology tegelikult kuulab? Kahe LAN-pordiga NAS-il on kaks aadressi ja DSM-i VPN Serveri pakett seob oma OpenVPN-i kuulaja neist ühega. Kui ruuter edastab 1194 teisele aadressile, ei jõua ükski pakett teenuseni ja kliendil pole millegagi läbi rääkida.

Veateade eksitab, sest kirjeldab viimast, mida klient proovis, mitte esimest, mis valesti läks. Kaks minutit paketi lehe ja ruuteri reegli võrdlemist lahendab asja.

Leidke aadress, millega kuulaja on seotud

DSM nimetab oma pordid LAN 1 ja LAN 2 ning kummalgi on eraldi aadress ja alavõrk. Avage VPN Server, lugege OpenVPN-i vahekaardil nimetatud liides, seejärel avage Juhtpaneel ja kirjutage üles IPv4-aadress, mis DSM-il samal liidesel on. Just need kaks väärtust, mitte NAS-i hostinimi, peab edastus nimetama.

Teine ühendatud kaabel ei loo teist kuulajat. Mõlemad lingid võivad paista ühendatud, samal ajal kui ainult üks aadress võtab liiklust vastu, ja kui mõlemad liidesed on samas alavõrgus, erinevad kaks aadressi ühe numbri võrra, mida keegi ei loe enne reegli salvestamist uuesti.

Vaadake pistikut ennast SSH kaudu, sest see on ainus koht, mis näitab, millega deemon tegelikult liitus, mitte mida seadete leht kavatseb.

sudo netstat -anp | grep 1194

Muutke olemasolevat edastust, selle asemel et lisada uus

Kaks reeglit ühe välise pordi jaoks jätavad ruuterile vaba valiku ja see, mille ta valib, võib pärast püsivara uuendust või taaskäivitust muutuda. Avage reegel, mis juba olemas on, muutke selle sisemist aadressi, salvestage, seejärel avage see uuesti ja lugege väärtus tagasi. Reegli nimetamine teenuse järgi aitab, sest viie identse edastuse loend on viis, kuidas vale ellu jääb.

external 1194/udp  ->  192.0.2.20:1194/udp

Hoidke sisemine port kuulamisportiga võrdsena ja hoidke protokoll ühtlasena. UDP 1194 on vaikimisi kuulaja, samas kui TCP-profiil vajab oma kuulajat paketi poolel ja vastavat edastust ruuteril. TCP edastamine teenusele, mis kuulab ainult UDP-d, annab vaikuse, mitte vea.

Kui NAS-i aadress tuleb DHCP-st, broneerige see enne reegli salvestamist. Liisi lõppemine määrab aadressi uuesti, edastus osutab endiselt vanale väärtusele ja kätlemine hakkab ebaõnnestuma päeval, mil keegi NAS-i ei puutunud. Staatiline seadistus NAS-i poolel lahendab sama probleemi, kui aadress asub ruuteri DHCP-vahemikust väljas.

Tõestage, kas paketid üldse saabuvad

Käivitage esmalt NAS-il püük, seejärel ühenduge kliendist ja lugege väljundist lähteaadressi. Pärast riket käivitatud püük ei näita midagi ega tõesta midagi.

sudo tcpdump -i any -n udp port 1194

Vaikus tähendab, et liiklus suri enne teenust: vale sisemine aadress, suletud port DSM-i tulemüüril või halduslikult välja lülitatud liides. Paketid väljundis tähendavad, et edastus töötab, ja ülejäänud viga asub võrgukihi kohal, mis on palju väiksem otsinguala.

Püük nimetab ka liidese, millel pakett saabus, ja see üks detail eristab valele pordile suunatud reeglit reeglist, mis on suunatud pordile, mis pole üleval. Jälgige samal katsel ruuteri enda loendurit, kui see seda näitab. Loendur, mis ei liigu, kui püük jääb tühjaks, osutab ruuterile, samas kui loendur, mis liigub tühja püügi juures, osutab kahe seadme vahelisele teele.

Kui paketid saabuvad, lõpetage edastuse süüdistamine

Profiil on järgmine kahtlusalune ja tavaline põhjus on vanus. Eksporditud .ovpn fail sisaldab volitust ja materjali eksportimise hetkest, seega pakett, mille sertifikaat hiljem asendati, lükkab tagasi kliendi, kes kannab veel vana koopiat.

Transport on teine ebakõla, mida tasub otseselt kontrollida, sest profiili ja paketti muudetakse eri kohtades. Profiili muutmine UDP-lt TCP-le ilma paketti ümber lülitamata jätab kliendi ootama kuulajat, mida pole olemas, ja klient teatab sama üldist kätlemise teksti, mida ta teatab kõige muu puhul. Lugege failist proto rida, seejärel vaadake serveri lehel valitud protokolli ja alles siis järeldage, et need sobivad. DSM-i tulemüüri reeglite lugemine on kolmas kontroll: reeglit, mis lubab porti kohalikust alavõrgust, kuid mitte internetist, on pärast testimist lihtne maha jätta, ja see annab ühenduse, mis töötab köögist ja ebaõnnestub kõikjal mujal.

Testige teed, mille kaugkasutaja tegelikult läbib

Sama LAN-i sees olev klient pääseb NAS-ile ilma edastust puutumata, seega ei tõesta see kaugjuurdepääsu kohta midagi. Kasutage välja lülitatud Wi-Fi-ga telefoni või küsige kelleltki väljaspool võrku ja jälgige selle katse ajal ruuteri loendurit. Kui kaugkatse ebaõnnestub, samal ajal kui kohalik õnnestub, on edastus või tulemüür veel pildil.

Kirjutage töötav olek üles, kuni see töötab: väline port, sisemine aadress, protokoll, paketi liides ning profiili nimi ja ekspordi kuupäev. Kui kätlemine uuesti ebaõnnestub, on selle märkme ja praeguse seadistuse vahe viga ning keegi ei pea uuesti avastama, millist kahest pordist teenus kasutab.