OpenVPN handshakeak huts egiten du Synologyn? Egiaztatu LAN birbidalketa

Zure eramangarriak TLS handshakeak huts egin duela dio, beraz ziurtagiriak berreraikitzeko tentazioa sortzen da. Aurretik, egin galdera aspergarriago bat: zein Ethernet atakatan entzuten du Synologyk benetan? Bi LAN ataka dituen NAS batek bi helbide ditu, eta DSMren VPN Server paketeak bere OpenVPN entzulea horietako bati lotzen dio. Bideratzaileak 1194 bestelako helbidera birbidaltzen duenean, pakete bakar bat ere ez da zerbitzura iristen, eta bezeroak ez du ezer negoziatzeko.

Errorearen testuak engainatzen du, bezeroak azkenengo probatu zuena deskribatzen duelako, eta ez lehenengo gaizki joan zena. Bi minutuko lana da paketearen orria bideratzailearen arauarekin alderatzea, eta horrek argitzen du.

Aurkitu entzulea lotuta dagoen helbidea

DSMk bere atakak LAN 1 eta LAN 2 deitzen ditu, eta bakoitzak helbide eta azpisare bereizia dakar. Ireki VPN Server, irakurri OpenVPN fitxan izendatutako interfazea, gero ireki Kontrol panela eta idatzi DSMk interfaze horretan duen IPv4 helbidea. Bi balio horiek, eta ez NASaren ostalari izena, dira birbidalketak izendatu behar dituenak.

Konektatutako bigarren kable batek ez du bigarren entzulerik sortzen. Bi estekak konektatuta ager daitezke helbide bakarrak soilik onartzen duen bitartean trafikoa, eta bi interfazeak azpisare berean daudenean bi helbideek araua gorde aurretik inork berriro irakurtzen ez duen zifra batean bereizten dira.

Begiratu socketari berari SSH bidez, izan ere, hori da deabrua benetan zeri lotu zitzaion erakusten duen leku bakarra, ezarpenen orriak zer nahi duen ez bezala.

sudo netstat -anp | grep 1194

Editatu lehendik dagoen birbidalketa, beste bat gehitu beharrean

Kanpoko ataka baterako bi arauk bideratzaileari askatasuna ematen diote aukeratzeko, eta aukeratzen duena firmware eguneraketa edo berrabiarazte baten ondoren alda daiteke. Ireki jada dagoen araua, aldatu bere barne helbidea, gorde, gero ireki berriro eta irakurri balioa. Araua zerbitzuaren izenarekin izendatzeak laguntzen du, bost birbidalketa berdin dituen zerrenda baita okerra dena bizirik irauten duen modua.

external 1194/udp  ->  192.0.2.20:1194/udp

Mantendu barne ataka entzute atakaren berdina, eta mantendu protokoloa koherentea. UDP 1194 da entzule lehenetsia, TCP profileak ordea bere entzulea behar du paketearen aldean eta dagokion birbidalketa bideratzailean. UDP soilik entzuten duen zerbitzu batera TCP birbidaltzeak isiltasuna ematen du, ez errorea.

NASaren helbidea DHCPtik badator, erreserbatu ezazu araua gorde aurretik. Alokairua amaitzean helbidea berriz esleitzen da, birbidalketak balio zaharrarengana egiten du aurrera, eta handshakeak huts egiten hasten da inork NASari ukitu ez dion egunean. NASaren aldeko konfigurazio estatikoak arazo bera konpontzen du, helbidea bideratzailearen DHCP barrutitik kanpo badago.

Frogatu paketeak iristen diren ala ez

Hasi lehenengo harrapaketa NASan, gero konektatu bezerotik, eta irakurri iturburu helbidea irteeran. Hutsegitearen ondoren hasitako harrapaketak ez du ezer erakusten eta ez du ezer frogatzen.

sudo tcpdump -i any -n udp port 1194

Isiltasunak esan nahi du trafikoak zerbitzua baino lehen hil zela: barne helbide okerra, DSMren suebakian itxitako ataka edo administratiboki desgaitutako interfazea. Irteeran paketeak egoteak birbidalketak funtzionatzen duela esan nahi du, eta gainerako hutsegitea sare geruzaren gainetik dago, bilaketa eremu askoz txikiagoa.

Harrapaketak paketea iritsi zen interfazea ere izendatzen du, eta xehetasun bakar horrek ataka okerrera zuzendutako araua martxan ez dagoen ataka batera zuzendutako arautik bereizten du. Begiratu bideratzailearen kontagailuari saiakera berean, erakusten badu. Harrapaketa hutsik jarraitzen duen bitartean mugitzen ez den kontagailuak bideratzailea seinalatzen du, eta harrapaketa hutsarekin mugitzen den kontagailuak bi gailuen arteko bidea seinalatzen du.

Paketeak iristen direnean, utzi birbidalketari errua botatzeari

Profila da hurrengo susmagarria, eta ohiko arrazoia adina da. Esportatutako .ovpn fitxategi batek esportazio uneko autoritatea eta materiala dauka, beraz geroago ziurtagiria ordezkatu zaion paketeak kopuru zaharra daraman bezeroa baztertuko du.

Garraioa da esplizituki egiaztatzea merezi duen beste desadostasuna, profila eta paketea leku desberdinetan editatzen baitira. Profila UDPtik TCPra aldatzeak paketea aldatu gabe, bezeroa existitzen ez den entzule baten zain uzten du, eta bezeroak gainerako guztiarentzat ematen duen handshake testu generiko bera ematen du. Irakurri fitxategiko proto lerroa, gero begiratu zerbitzariaren orrian hautatutako protokoloa, eta orduan bakarrik ondorioztatu bat datozela. DSMren suebakiaren arauak irakurtzea da hirugarren egiaztapena: ataka tokiko azpisaretik baina ez internetetik uzten duen araua erraza da proben ondoren ahaztea, eta sukaldean funtzionatzen duen eta beste edozein lekutan huts egiten duen konexioa sortzen du.

Probatu urrutiko erabiltzaileak benetan egiten duen bidea

LAN berean dagoen bezero batek NASera irits daiteke birbidalketari ukitu gabe, beraz ez du ezer frogatzen urrutiko sarbideari buruz. Erabili Wi-Fi itzalita duen telefono bat, edo galdetu saretik kanpoko norbaiti, eta begiratu bideratzailearen kontagailua saiakera horretan. Urrutiko saiakera huts egiten badu eta tokikoa ondo badoa, birbidalketa edo suebakia oraindik jokoan daude.

Idatzi funtzionatzen duen egoera funtzionatzen duen bitartean: kanpoko ataka, barne helbidea, protokoloa, paketearen interfazea, eta profilaren izena eta esportazio data. Handshakeak berriro huts egiten duenean, ohar horren eta uneko konfigurazioaren arteko aldea da hutsegitea, eta inork ez du berriro aurkitu behar zerbitzuak bi ataketa horietatik zein erabiltzen duen.