Synology NAS mei twa LAN-poarten: wêrom't de VPN-hânskikking mislearret

De laptop meldt in TLS-hânskikkingsflater, wat as in sertifikaatprobleem klinkt en meastentiids net is. Op in NAS mei twa Ethernet-poarten is de meast foarkommende oarsaak in router-trochstjoering rjochte op it adres dêr't it pakket net op harket, en it berjocht fan 'e klant is yn beide gefallen identyk. It pakket antwurdet net op 'e twadde poart allinne om't beide kabels oansletten binne. Foardat immen in sertifikaat opnij útjout, bewize dat in pakket it NAS uberhaupt berikt.

Wat de klant meldt en wat der echt barde

In hânskikkingsflater fan in OpenVPN-klant is in sammelterm. It omfettet in sertifikaatôfwiking, in ferfierôfwiking, in harker op in oare poart en in trochstjoering dy't neat levere hat. Dêrom is it berjocht nutteleas as útgongspunt en brûkber as befêstiging. Behannelje it as in ferklearring dat de sesje net ta stân kaam, en as neat mear spesifyk.

De poart en it bûne adres binne de twa feiten dy't beslute oft in pakket ea oankomt.

Skriuw beide op foardat jo wat feroarje, want in leauweardige reparaasje tapast op 'e ferkearde laach is de manier wêrop in probleem fan fyftjin minuten in hiele middei wurdt. Tekenje de ynterface, it adres dêrop, de poart en it ferfier op. Dy fjouwer wearden foarmje it hiele ynkommende paad, en de folgjende seksje ferklearret wêr't elk fan harren wennet.

Fyn it adres dêr't it pakket op harket

DSM nûmeret de Ethernet-poarten en elk draacht syn eigen adres. De side VPN Server neamt de ynterface dy't de OpenVPN-tsjinst brûkt, en it netwurkpaniel toant it adres dat op dy ynterface konfigurearre is. Lês se yn dy folchoarder, fan 'e tsjinst nei bûten, sadat jo beskriuwe wat harket ynstee fan wat jo oannimme dat it brûke moat.

De tsjinst bynt ien adres. Dat beide poarten ferbûn en aktyf binne, makket net dat de tsjinst op 'e twadde antwurdet. In statysk adres op ien ynterface njonken in DHCP-adres op 'e oare jout jo twa ferlykbere wearden dy't by in eachopslach maklik te ferwikseljen binne, benammen as se allinne yn 'e lêste okte ferskille. Kopiearje it adres út it paniel ynstee fan it út it ûnthâld te typen. Befêstigje dan op it NAS wat der wier oan 'e poart bûn is.

sudo ss -lunp | grep 1194

As dy útfier in adres neamt dat jo net ferwachte, is de trochstjoering op 'e ferkearde ynterface rjochte en is al it oare hjir boekhâlding. Reparearje de regel foardat jo fierder lêze, oars einigje jo mei it debuggen fan in sertifikaat foar in pakket dat de router nea ferlitten hat.

Reparearje de trochstjoering, en sjoch dan nei de teller

Bewurkje de besteande trochstjoeringsregel ynstee fan in twadde ta te foegjen foar deselde eksterne poart. Twa regels kinne njonken elkoar bestean yn 'e tabel fan in router en altyd wint mar ien, wat in debugsesje feroaret yn in diskusje oer hokker de echte is. Rjocht it ynterne adres op 'e wearde dy't jo fan it NAS lêzen hawwe, en lit de ynterne poart oerienkomme mei wat de tsjinst harket.

As DSM dat adres fia DHCP krijt, meitsje dan earst in reservearing. In hierferoaring brekt stil in trochstjoering dy't juster wurke.

sudo tcpdump -i any -n udp port 1194

Begjin de opname foardat de klant ferbine probearret, en lês it boarne-adres yn wat der ek ferskynt. Hielendal neat betsjut dat eat ûnderweis it fuortgoaide: de trochstjoering, de DSM-firewall of de ynterface dêr't it op rjochte wie, en sertifikaten kinne net de oarsaak wêze salang't dat jildt. Eat dat fan it iepenbiere adres fan 'e klant komt sûnder antwurd betsjut dat it NAS it fersyk krige en keas om net te antwurdzjen. Dat binne ferskillende befiningen, en allinne de twadde stjoert jo werom nei de eigen ynstellings fan it pakket.

Pas dan sjoch jo nei sertifikaten en ferfier

Sadree't pakketten oankomme, eksportearje it profyl opnij nei elke sertifikaatferoaring, want it âlde bestân draacht noch de autoriteit wêrmei't it makke is. In profyl dat mei de hân bewurke is foar in oar ferfier lit de klant wachtsje op in harker dy't net bestiet, en it meldt deselde algemiene flater as al it oare. Fergelykje it ferfier yn it profyl mei it ferfier dat it pakket tsjinje moat. Twa profilen foar twa ferfier binne in legitime ûntwerp, en ien profyl bewurke foar beide is dat net.

Testje as lêste stap fan bûten jo eigen netwurk, want in ferbining fan binnen de LAN kin slagje oer in paad dat de trochstjoering nea oanrekket.

Hâld it eksportearre profyl, it adres fan 'e ynterface en de trochstjoeringsregel byinoar yn ien notysje. As in adres feroaret, is dy notysje it ferskil tusken in reparaasje en in werhelling. Neat op dit paad easke it opnij ynstallearjen fan in pakket, wat it wurdich is te ûnthâlden foardat de folgjende werstart de skuld krijt.