OpenVPN rukovanje na Synologyju ne uspijeva? Provjerite prosljeđivanje na LAN-u

Vaše prijenosno računalo javlja da TLS rukovanje nije uspjelo, pa vas mami da ponovno izgradite certifikate. Prije toga postavite dosadnije pitanje: na kojem Ethernet portu Synology zapravo sluša? NAS s dva LAN porta ima dvije adrese, a DSM-ov paket VPN Server veže svoj OpenVPN slušalac na jednu od njih. Kad usmjerivač proslijedi 1194 na drugu adresu, nijedan paket ne stigne do usluge i klijent nema s čime pregovarati.

Tekst pogreške obmanjuje jer opisuje posljednje što je klijent pokušao, a ne prvo što je pošlo po zlu. Dvije minute usporedbe stranice paketa s pravilom usmjerivača rješavaju stvar.

Nađite adresu na koju je slušalac vezan

DSM naziva svoje portove LAN 1 i LAN 2 i svaki nosi zasebnu adresu i podmrežu. Otvorite VPN Server, pročitajte sučelje navedeno na kartici OpenVPN, zatim otvorite Upravljačku ploču i zabilježite IPv4 adresu koju DSM ima na tom istom sučelju. Te dvije vrijednosti, a ne ime hosta NAS-a, mora navesti prosljeđivanje.

Drugi priključeni kabel ne stvara drugi slušalac. Oba linka mogu izgledati povezano, dok samo jedna adresa prima promet, a kad oba sučelja sjede u istoj podmreži, dvije se adrese razlikuju za znamenku koju nitko ne pročita ponovno prije spremanja pravila.

Pogledajte sam socket preko SSH-a, jer to je jedino mjesto koje pokazuje na što se daemon zapravo vezao, a ne što stranica postavki namjerava.

sudo netstat -anp | grep 1194

Uredite postojeće prosljeđivanje umjesto da dodate novo

Dva pravila za jedan vanjski port ostavljaju usmjerivaču slobodu odabira, a koje će odabrati može se promijeniti nakon nadogradnje firmvera ili ponovnog pokretanja. Otvorite pravilo koje već postoji, promijenite njegovu unutarnju adresu, spremite, pa ga ponovno otvorite i pročitajte vrijednost. Imenovanje pravila po usluzi pomaže, jer popis od pet identičnih prosljeđivanja način je na koji pogrešno preživi.

external 1194/udp  ->  192.0.2.20:1194/udp

Držite unutarnji port jednakim portu slušanja i držite protokol dosljednim. UDP 1194 zadani je slušalac, dok TCP profil treba vlastiti slušalac na strani paketa i odgovarajuće prosljeđivanje na usmjerivaču. Prosljeđivanje TCP-a usluzi koja sluša samo UDP daje tišinu, a ne pogrešku.

Ako adresa NAS-a dolazi iz DHCP-a, rezervirajte je prije spremanja pravila. Istek najma ponovno dodjeljuje adresu, prosljeđivanje nastavlja pokazivati na staru vrijednost i rukovanje počinje ne uspijevati na dan kad nitko nije dirao NAS. Statička konfiguracija na strani NAS-a rješava isti problem, pod uvjetom da adresa stoji izvan DHCP raspona usmjerivača.

Dokažite dolaze li paketi uopće

Prvo pokrenite snimanje na NAS-u, zatim se povežite s klijenta i pročitajte izvornu adresu u izlazu. Snimanje pokrenuto nakon kvara ne pokazuje ništa i ništa ne dokazuje.

sudo tcpdump -i any -n udp port 1194

Tišina znači da je promet umro prije usluge: pogrešna unutarnja adresa, zatvoren port na DSM vatrozidu ili sučelje koje je administrativno isključeno. Paketi u izlazu znače da prosljeđivanje radi, a preostali kvar leži iznad mrežnog sloja, što je mnogo manje područje pretrage.

Snimanje također imenuje sučelje na koje je paket stigao, a taj jedan detalj odvaja pravilo usmjereno na pogrešan port od pravila usmjerenog na port koji nije podignut. Promatrajte vlastiti brojač usmjerivača tijekom istog pokušaja ako ga izlaže. Brojač koji se ne pomiče dok snimanje ostaje prazno upućuje na usmjerivač, a brojač koji se pomiče uz prazno snimanje upućuje na put između dva uređaja.

Kad paketi stignu, prestanite kriviti prosljeđivanje

Profil je sljedeći osumnjičeni, a uobičajen razlog je starost. Izvezena .ovpn datoteka sadrži ustanovu i materijal iz trenutka izvoza, pa će paket kojem je certifikat kasnije zamijenjen odbiti klijenta koji još nosi staru kopiju.

Transport je druga nepodudarnost koju vrijedi izričito provjeriti, jer se profil i paket uređuju na različitim mjestima. Promjena profila s UDP na TCP bez prebacivanja paketa ostavlja klijenta da čeka slušalac koji ne postoji, a klijent prijavljuje isti opći tekst rukovanja koji prijavljuje za sve ostalo. Pročitajte proto redak u datoteci, zatim pogledajte protokol odabran na stranici poslužitelja i tek tada zaključite da se podudaraju. Čitanje DSM pravila vatrozida treća je provjera: pravilo koje dopušta port iz lokalne podmreže ali ne s interneta lako je zaboraviti nakon testiranja, a ono daje vezu koja radi iz kuhinje i ne uspijeva sa svih drugih mjesta.

Testirajte put kojim udaljeni korisnik stvarno prolazi

Klijent unutar istog LAN-a može doći do NAS-a bez ikakvog dodira s prosljeđivanjem, pa to ništa ne dokazuje o udaljenom pristupu. Upotrijebite telefon s isključenim Wi-Fi-jem ili zamolite nekoga izvan mreže i promatrajte brojač usmjerivača tijekom tog pokušaja. Ako udaljeni pokušaj ne uspije dok lokalni uspije, prosljeđivanje ili vatrozid još su u igri.

Zabilježite radno stanje dok radi: vanjski port, unutarnja adresa, protokol, sučelje paketa te ime profila i datum izvoza. Kad rukovanje ponovno ne uspije, razlika između te bilješke i trenutne konfiguracije jest kvar i nitko ne mora ponovno otkrivati koji od dva porta usluga koristi.