Synology NAS, jossa on kaksi LAN-porttia: miksi VPN-kättely epäonnistuu

Kannettava tietokone ilmoittaa TLS-kättelyn epäonnistumisesta, mikä kuulostaa varmenneongelmalta eikä yleensä ole sitä. NASissa, jossa on kaksi Ethernet-porttia, yleisin syy on reitittimen edelleenohjaus, joka osoittaa osoitteeseen, jossa paketti ei kuuntele, ja asiakkaan viesti on molemmissa tapauksissa sama. Paketti ei vastaa toisessa portissa vain siksi, että molemmat kaapelit on kytketty. Ennen kuin kukaan myöntää varmenteen uudelleen, todistakaa, että paketti ylipäätään saapuu NASiin.

Mitä asiakas ilmoittaa ja mitä todella tapahtui

OpenVPN-asiakkaan kättelyvirhe on yleisnimitys. Se kattaa varmenne-eron, siirtotapaeron, toisessa portissa kuuntelevan palvelun ja edelleenohjauksen, joka ei toimittanut mitään. Siksi viesti on hyödytön lähtökohtana ja hyödyllinen vain vahvistuksena. Käsitelkää sitä väitteenä, että istuntoa ei muodostettu, eikä minään tarkempana.

Portti ja sidottu osoite ovat ne kaksi tosiasiaa, jotka ratkaisevat, saapuu paketti koskaan.

Kirjoittakaa molemmat muistiin ennen kuin muutatte mitään, sillä uskottava korjaus väärällä kerroksella on se tapa, jolla viidentoista minuutin ongelmasta tulee koko iltapäivä. Merkitkää rajapinta, sen osoite, portti ja siirtotapa. Nämä neljä arvoa muodostavat koko saapuvan polun, ja seuraava osa selittää, missä kukin niistä asuu.

Etsikää osoite, jossa paketti kuuntelee

DSM numeroi Ethernet-portit, ja jokaisella on oma osoitteensa. VPN Server -sivu nimeää rajapinnan, jota OpenVPN-palvelu käyttää, ja verkkopaneeli näyttää kyseiselle rajapinnalle määritetyn osoitteen. Lukekaa ne tässä järjestyksessä palvelusta ulospäin, jotta kuvailisitte sitä, mikä kuuntelee, ettekä sitä, minkä oletatte sen pitäisi käyttää.

Palvelu sitoo yhden osoitteen. Se, että molemmat portit on kytketty ja ne ovat aktiivisia, ei saa palvelua vastaamaan toisessa. Staattinen osoite yhdellä rajapinnalla DHCP-osoitteen vieressä toisella antaa kaksi samankaltaista arvoa, jotka voi sekoittaa yhdellä silmäyksellä, varsinkin kun ne eroavat vain viimeisessä oktetissa. Kopioikaa osoite paneelista sen sijaan, että kirjoittaisitte sen muistista. Vahvistakaa sitten NASissa, mikä porttiin on todella sidottu.

sudo ss -lunp | grep 1194

Jos tuo tuloste nimeää osoitteen, jota ette odottaneet, edelleenohjaus osoittaa väärään rajapintaan ja kaikki muu täällä on kirjanpitoa. Korjatkaa sääntö ennen kuin luette pidemmälle, muuten päädytte vianetsintään varmenteeseen paketin takia, joka ei koskaan lähtenyt reitittimestä.

Korjatkaa edelleenohjaus ja seuratkaa sitten laskuria

Muokatkaa olemassa olevaa edelleenohjaussääntöä sen sijaan, että lisäisitte toisen samalle ulkoiselle portille. Kaksi sääntöä voi olla rinnakkain reitittimen taulukossa ja aina vain yksi voittaa, mikä muuttaa vianetsintäistunnon väittelyksi siitä, kumpi on todellinen. Osoittakaa sisäinen osoite arvoon, jonka luitte NASista, ja jättäkää sisäinen portti vastaamaan sitä, mitä palvelu kuuntelee.

Jos DSM saa osoitteen DHCP:llä, luokaa ensin varaus. Vuokran muutos rikkoo hiljaa edelleenohjauksen, joka toimi eilen.

sudo tcpdump -i any -n udp port 1194

Aloittakaa kaappaus ennen kuin asiakas yrittää yhdistää, ja lukekaa lähdeosoite kaikesta, mikä ilmestyy. Täydellinen tyhjyys tarkoittaa, että jokin matkalla hylkäsi sen: edelleenohjaus, DSM:n palomuuri tai rajapinta, johon se osoitti, eivätkä varmenteet voi olla syynä niin kauan kuin tämä pätee. Jokin, joka saapuu asiakkaan julkisesta osoitteesta ilman vastausta, tarkoittaa, että NAS vastaanotti pyynnön ja päätti olla vastaamatta. Ne ovat eri havaintoja, ja vain toinen lähettää teidät takaisin paketin omiin asetuksiin.

Vasta sitten katsokaa varmenteita ja siirtotapaa

Kun paketit saapuvat, viekää profiili uudelleen jokaisen varmennemuutoksen jälkeen, koska vanha tiedosto kantaa yhä sen myöntäjän, jolla se luotiin. Käsin muokattu profiili toista siirtotapaa varten jättää asiakkaan odottamaan kuuntelijaa, jota ei ole, ja se ilmoittaa saman yleisen virheen kuin kaikki muukin. Verratkaa profiilin sisäistä siirtotapaa siirtotapaan, jonka palvelemiseen paketti on asetettu. Kaksi profiilia kahdelle siirtotavalle on hyväksyttävä suunnittelu, ja yksi profiili molemmille muokattuna ei ole.

Testatkaa oman verkkonne ulkopuolelta viimeisenä vaiheena, sillä LANin sisältä tuleva yhteys voi onnistua polulla, joka ei koskaan kosketa edelleenohjausta.

Pitäkää viety profiili, rajapinnan osoite ja edelleenohjaussääntö yhdessä muistiinpanossa. Kun osoite muuttuu, tuo muistiinpano on ero korjauksen ja uusinnan välillä. Mikään tällä polulla ei vaatinut paketin uudelleenasennusta, mikä kannattaa muistaa ennen kuin seuraava uudelleenkäynnistys saa syyt niskoilleen.