Synology NAS s dva LAN porta: zašto VPN rukovanje ne uspijeva

Prijenosno računalo prijavljuje neuspjelo TLS rukovanje, što zvuči kao problem s certifikatom i obično nije. Na NAS-u s dva Ethernet porta najčešći uzrok je prosljeđivanje na usmjerivaču usmjereno na adresu na kojoj paket ne sluša, a klijentova poruka identična je u oba slučaja. Paket ne odgovara na drugom portu samo zato što su oba kabela priključena. Prije nego što itko ponovno izda certifikat, dokažite da paket uopće stigne do NAS-a.

Što klijent prijavljuje i što se stvarno dogodilo

Neuspjelo rukovanje kod OpenVPN klijenta je općenita oznaka. Pokriva nepodudarnost certifikata, nepodudarnost prijenosa, slušatelja na drugom portu i prosljeđivanje koje ništa nije dostavilo. Zato je poruka beskorisna kao početna točka, a korisna samo kao potvrda. Tretirajte je kao tvrdnju da sesija nije uspostavljena i ništa konkretnije.

Port i vezana adresa dvije su činjenice koje odlučuju hoće li paket uopće stići.

Zapišite oboje prije nego što bilo što promijenite, jer uvjerljiva popravka primijenjena na pogrešan sloj način je na koji problem od petnaest minuta postaje cijelo poslijepodne. Zabilježite sučelje, adresu na njemu, port i prijenos. Te četiri vrijednosti čine cijeli ulazni put, a sljedeći odjeljak objašnjava gdje svaka od njih živi.

Pronađite adresu na kojoj paket sluša

DSM numerira Ethernet portove i svaki nosi vlastitu adresu. Stranica VPN Server navodi sučelje koje OpenVPN usluga koristi, a mrežna ploča prikazuje adresu konfiguriranu na tom sučelju. Čitajte ih tim redom, od usluge prema van, kako biste opisali što sluša umjesto onoga što pretpostavljate da bi trebalo koristiti.

Usluga veže jednu adresu. To što su oba porta povezana i aktivna ne čini da usluga odgovara na drugom. Statička adresa na jednom sučelju uz DHCP adresu na drugom daje vam dvije slične vrijednosti koje je lako zamijeniti na prvi pogled, pogotovo kada se razlikuju samo u zadnjem oktetu. Kopirajte adresu iz ploče umjesto da je tipkate po sjećanju. Zatim na NAS-u potvrdite što je stvarno vezano za port.

sudo ss -lunp | grep 1194

Ako taj izlaz navodi adresu koju niste očekivali, prosljeđivanje je usmjereno na pogrešno sučelje i sve ostalo ovdje je knjigovodstvo. Popravite pravilo prije nego što nastavite čitati, inače ćete završiti s otklanjanjem greške na certifikatu zbog paketa koji nikada nije napustio usmjerivač.

Popravite prosljeđivanje, zatim gledajte brojač

Uredite postojeće pravilo prosljeđivanja umjesto da dodate drugo za isti vanjski port. Dva pravila mogu postojati zajedno u tablici usmjerivača, a uvijek pobjeđuje samo jedno, što sesiju otklanjanja grešaka pretvara u svađu o tome koje je stvarno. Usmjerite unutarnju adresu na vrijednost koju ste pročitali s NAS-a i ostavite unutarnji port da odgovara onome što usluga sluša.

Ako DSM tu adresu dobiva putem DHCP-a, prvo stvorite rezervaciju. Promjena najma tiho pokvari prosljeđivanje koje je radilo jučer.

sudo tcpdump -i any -n udp port 1194

Započnite snimanje prije nego se klijent pokuša povezati i čitajte izvornu adresu u onome što se pojavi. Potpuni izostanak znači da je nešto na putu odbacilo: prosljeđivanje, DSM vatrozid ili sučelje na koje je bilo usmjereno, a certifikati ne mogu biti uzrok dok to vrijedi. Nešto što dolazi s klijentove javne adrese bez odgovora znači da je NAS primio zahtjev i odlučio ne odgovoriti. To su različiti nalazi i samo vas drugi vraća u same postavke paketa.

Tek tada pogledajte certifikate i prijenos

Kad paketi stignu, ponovno izvezite profil nakon svake promjene certifikata, jer stara datoteka još nosi ustanovu s kojom je stvorena. Profil ručno uređen za drugi prijenos ostavlja klijenta da čeka slušatelja koji ne postoji i prijavljuje istu opću grešku kao i sve ostalo. Usporedite prijenos unutar profila s prijenosom koji je paket postavljen da poslužuje. Dva profila za dva prijenosa legitiman su dizajn, a jedan profil uređen za oba nije.

Testirajte izvan vlastite mreže kao posljednji korak, jer veza iz LAN-a može uspjeti putem koji nikad ne dira prosljeđivanje.

Držite izvezeni profil, adresu sučelja i pravilo prosljeđivanja zajedno u jednoj bilješci. Kad se adresa promijeni, ta bilješka je razlika između popravke i ponovne izvedbe. Ništa na tom putu nije zahtijevalo ponovnu instalaciju paketa, što vrijedi zapamtiti prije nego što sljedeće ponovno pokretanje bude okrivljeno.