Bi LAN ataka dituen Synology NAS: zergatik huts egiten du VPNaren esku-emateak

Ordenagailu eramangarriak TLS esku-ematearen hutsegitea jakinarazten du, ziurtagiri arazo bat ematen duena eta normalean ez dena. Bi Ethernet ataka dituen NAS batean, kausarik ohikoena da paketea entzuten ez duen helbidera zuzendutako router birbideratzea, eta bezeroaren mezua bera da bi kasuetan. Paketeak ez dio bigarren atakari erantzuten bi kableak konektatuta daudelako soilik. Inork ziurtagiria berriro eman aurretik, frogatu pakete bat NASera iristen dela.

Zer jakinarazten duen bezeroak eta zer gertatu zen benetan

OpenVPN bezero baten esku-emate hutsegitea etiketa orokorra da. Ziurtagiriaren desadostasuna, garraioaren desadostasuna, beste ataka bateko entzulea eta ezer entregatu ez zuen birbideratzea hartzen ditu. Horregatik mezua alferrikakoa da abiapuntu gisa eta baliagarria baieztapen gisa soilik. Hartu saioa ez zela ezarri adierazpen gisa, eta ez ezer zehatzagorik.

Ataka eta lotutako helbidea dira paketea inoiz iritsiko den erabakitzen duten bi gertakariak.

Idatzi biak ezer aldatu aurretik, maila okerrean aplikatutako konponbide sinesgarria baita hamabost minutuko arazoa arratsalde oso bihurtzeko bidea. Ohartu interfazea, haren gaineko helbidea, ataka eta garraioa. Lau balio horiek sarrera-bide osoa osatzen dute, eta hurrengo atalak azaltzen du bakoitza non bizi den.

Aurkitu paketea entzuten duen helbidea

DSMk Ethernet atakak zenbakitzen ditu eta bakoitzak bere helbidea darama. VPN Server orriak OpenVPN zerbitzuak erabiltzen duen interfazea adierazten du, eta sare panelak interfaze horretan konfiguratutako helbidea erakusten du. Irakurri horrela, zerbitzutik kanpora, entzuten ari dena deskriba dezazun erabili beharko lukeela uste duzuna beharrean.

Zerbitzuak helbide bakarra lotzen du. Bi atakak konektatuta eta aktibo egoteak ez du zerbitzua bigarrenean erantzuten. Interfaze batean helbide estatikoa eta bestean DHCP helbidea izateak antzeko bi balio ematen dizkizu, begirada batean erraz nahasten direnak, batez ere azken oktetoan soilik bereizten badira. Kopiatu helbidea panelatik, ez idatzi buruz. Gero egiaztatu NASean zer dagoen lotuta atakari.

sudo ss -lunp | grep 1194

Irteera horrek espero ez zenuen helbide bat aipatzen badu, birbideratzea interfaze okerrean dago eta hemen gainerako guztia kontabilitatea da. Konpondu araua aurrera irakurri aurretik, bestela routerretik inoiz irten ez zen pakete bategatik ziurtagiria arazten amaituko duzu.

Konpondu birbideratzea, eta gero begiratu kontagailua

Editatu lehendik dagoen birbideratze araua, ez gehitu bigarren bat kanpoko ataka bererako. Bi arau elkarrekin egon daitezke router baten taulan eta beti bakarra irabazten du, eta horrek arazketa saioa zein den egiazkoa izango den eztabaida bihurtzen du. Zuzendu barruko helbidea NASetik irakurritako baliora, eta utzi barruko ataka zerbitzuak entzuten duenarekin bat etorriz.

DSMk helbide hori DHCP bidez lortzen badu, sortu lehenago erreserba bat. Errentamendu aldaketak isilki hausten du atzo funtzionatzen zuen birbideratze bat.

sudo tcpdump -i any -n udp port 1194

Hasi kaptura bezeroa konektatzen saiatu aurretik, eta irakurri iturri helbidea agertzen den edozeinetan. Ezer ez dagoela esan nahi du bidean zerbait baztertu zuela: birbideratzea, DSM suebakia edo zuzenduta zegoen interfazea, eta ziurtagiriak ezin dira izan kausa hori irauten duen bitartean. Bezeroaren helbide publikotik erantzunik gabe zerbait iristeak esan nahi du NASak eskaera jaso zuela eta ez erantzutea aukeratu zuela. Aurkikuntza desberdinak dira, eta bigarrenak soilik bidaltzen zaitu paketearen beraren ezarpenetara.

Orduan soilik begiratu ziurtagiriak eta garraioa

Paketeak iritsitakoan, esportatu profila berriro ziurtagiri aldaketa bakoitzaren ondoren, fitxategi zaharrak oraindik sortu zen agintaritza darama eta. Beste garraio bat erabiltzeko eskuz editatu den profil batek bezeroa existitzen ez den entzule baten zain uzten du, eta gainerako guztiek bezalako hutsegite orokorra jakinarazten du. Konparatu profileko garraioa paketea zerbitzatzeko konfiguratuta dagoen garraioarekin. Bi garraiotarako bi profil diseinu zilegia da, eta bientzako editatu den profil bat ez.

Probatu zure sarearen kanpotik azken urrats gisa, LAN barneko konexio batek birbideratzea inoiz ukitzen ez duen bide batetik arrakasta baitu.

Eduki esportatutako profila, interfazearen helbidea eta birbideratze araua elkarrekin ohar batean. Helbide bat aldatzen denean, ohar hori konponbide baten eta errepikapen baten arteko aldea da. Bide horretan ezerk ez zuen pakete bat berriro instalatzea eskatu, eta hori gogoratzea merezi du hurrengo berrabiaraztea errudun izan aurretik.