Երկու LAN պորտով Synology NAS՝ ինչու է VPN ձեռքսեղմումը ձախողվում

Նոութբուքը հաղորդում է TLS ձեռքսեղմման ձախողման մասին, ինչը հնչում է որպես վկայագրի խնդիր և սովորաբար այդպիսին չէ։ Երկու Ethernet պորտով NAS-ի վրա ամենահաճախ պատճառը երթուղիչի վերահասցեավորումն է՝ ուղղված այն հասցեին, որի վրա փաթեթը չի լսում, և հաճախորդի հաղորդագրությունը երկու դեպքում էլ նույնն է։ Փաթեթը չի պատասխանում երկրորդ պորտին միայն այն պատճառով, որ երկու մալուխներն էլ միացված են։ Նախքան ինչ-որ մեկը նորից կթողարկի վկայագիր, ապացուցեք, որ փաթեթն ընդհանրապես հասնում է NAS-ին։

Ինչ է հաղորդում հաճախորդը և ինչ իրականում տեղի ունեցավ

OpenVPN հաճախորդի ձեռքսեղմման ձախողումը ընդհանուր անվանում է։ Այն ընդգրկում է վկայագրի անհամապատասխանություն, տրանսպորտի անհամապատասխանություն, այլ պորտում լսող և վերահասցեավորում, որը ոչինչ չի հասցրել։ Այդ պատճառով հաղորդագրությունն անօգուտ է որպես մեկնարկային կետ և օգտակար է միայն որպես հաստատում։ Ընդունեք այն որպես հայտարարություն, որ նստաշրջանը չհաստատվեց, և ոչ ավելի կոնկրետ բան։

Պորտը և կապված հասցեն այն երկու փաստերն են, որոնք որոշում են փաթեթի հասնելը։

Գրեք երկուսն էլ նախքան որևէ բան փոխելը, որովհետև սխալ շերտում կիրառված հավանական ուղղումը այն ուղին է, որով տասնհինգ րոպեի խնդիրը դառնում է ամբողջ կեսօր։ Նշեք ինտերֆեյսը, դրա վրա եղած հասցեն, պորտը և տրանսպորտը։ Այս չորս արժեքները ողջ մուտքային ուղին են, և հաջորդ բաժինը բացատրում է, թե դրանցից յուրաքանչյուրը որտեղ է ապրում։

Գտեք այն հասցեն, որի վրա փաթեթը լսում է

DSM-ը համարակալում է Ethernet պորտերը, և յուրաքանչյուրն ունի իր հասցեն։ VPN Server էջը նշում է այն ինտերֆեյսը, որն օգտագործում է OpenVPN ծառայությունը, իսկ ցանցային վահանակը ցույց է տալիս այդ ինտերֆեյսի վրա կարգավորված հասցեն։ Կարդացեք դրանք այդ հերթականությամբ՝ ծառայությունից դեպի դուրս, որպեսզի նկարագրեք այն, ինչ լսում է, այլ ոչ այն, ինչ ենթադրում եք, թե պետք է օգտագործի։

Ծառայությունը կապում է մեկ հասցե։ Այն, որ երկու պորտերն էլ միացված և ակտիվ են, չի ստիպում ծառայությանը պատասխանել երկրորդին։ Մեկ ինտերֆեյսի վրա ստատիկ հասցեն մյուսի վրա DHCP հասցեի կողքին ձեզ տալիս է երկու նման արժեք, որոնք հեշտ է շփոթել մեկ հայացքով, հատկապես երբ դրանք տարբերվում են միայն վերջին օկտետում։ Պատճենեք հասցեն վահանակից, այլ ոչ թե մուտքագրեք հիշողությունից։ Այնուհետև հաստատեք NAS-ի վրա, թե ինչն է իրականում կապված պորտին։

sudo ss -lunp | grep 1194

Եթե այդ ելքը նշում է հասցե, որը դուք չէիք սպասում, ապա վերահասցեավորումն ուղղված է սխալ ինտերֆեյսին, և այստեղ մնացած ամեն ինչ հաշվապահություն է։ Ուղղեք կանոնը նախքան հետագա կարդալը, այլապես ի վերջո կզբաղվեք վկայագրի վրիպազերծմամբ մի փաթեթի պատճառով, որը երբեք չի լքել երթուղիչը։

Ուղղեք վերահասցեավորումը, ապա դիտեք հաշվիչը

Խմբագրեք գոյություն ունեցող վերահասցեավորման կանոնը՝ նույն արտաքին պորտի համար երկրորդ ավելացնելու փոխարեն։ Երկու կանոն կարող են գոյակցել երթուղիչի աղյուսակում, և միշտ հաղթում է միայն մեկը, ինչը վրիպազերծման նստաշրջանը վերածում է վեճի այն մասին, թե որն է իրականը։ Ուղղեք ներքին հասցեն այն արժեքին, որը կարդացել եք NAS-ից, և թողեք ներքին պորտը համապատասխանի այն բանին, ինչ լսում է ծառայությունը։

Եթե DSM-ը ստանում է այդ հասցեն DHCP-ով, նախ ստեղծեք ամրագրում։ Վարձակալության փոփոխությունը լուռ կոտրում է երեկ աշխատած վերահասցեավորումը։

sudo tcpdump -i any -n udp port 1194

Սկսեք գրանցումը նախքան հաճախորդը կփորձի միանալ, և կարդացեք աղբյուրի հասցեն այն ամենում, ինչ հայտնվում է։ Ամբողջական ոչինչ նշանակում է, որ ճանապարհին ինչ-որ բան այն դեն է նետել՝ վերահասցեավորումը, DSM-ի հրդեհապատը կամ այն ինտերֆեյսը, որին ուղղված էր, և վկայագրերը չեն կարող պատճառ լինել, քանի դեռ դա այդպես է։ Հաճախորդի հանրային հասցեից առանց պատասխանի ինչ-որ բան գալը նշանակում է, որ NAS-ը ստացել է հարցումը և ընտրել չպատասխանել։ Դրանք տարբեր գտածոներ են, և միայն երկրորդն է ձեզ հետ ուղարկում փաթեթի սեփական կարգավորումներին։

Միայն այդ ժամանակ նայեք վկայագրերին և տրանսպորտին

Հենց փաթեթները ժամանեն, վերարտահանեք պրոֆիլը ցանկացած վկայագրի փոփոխությունից հետո, որովհետև հին ֆայլը դեռ կրում է այն մարմինը, որով այն ստեղծվել է։ Ձեռքով խմբագրված պրոֆիլը այլ տրանսպորտի համար հաճախորդին թողնում է սպասելու գոյություն չունեցող լսողի, և այն հաղորդում է նույն ընդհանուր ձախողումը, ինչ մնացած ամեն ինչ։ Համեմատեք պրոֆիլի ներսում եղած տրանսպորտը այն տրանսպորտի հետ, որը փաթեթը կարգավորված է սպասարկել։ Երկու տրանսպորտի համար երկու պրոֆիլ օրինական ձևավորում է, և մեկ պրոֆիլը, որը խմբագրվել է երկուսի համար, այդպիսին չէ։

Փորձարկեք ձեր սեփական ցանցից դուրս՝ որպես վերջին քայլ, քանի որ LAN-ի ներսից միացումը կարող է հաջողվել մի ուղով, որը երբեք չի դիպչում վերահասցեավորմանը։

Պահեք արտահանված պրոֆիլը, ինտերֆեյսի հասցեն և վերահասցեավորման կանոնը միասին մեկ նշումի մեջ։ Երբ հասցեն փոխվում է, այդ նշումը տարբերությունն է ուղղման և կրկնության միջև։ Այս ուղու վրա ոչինչ չպահանջեց փաթեթի վերատեղադրում, ինչը արժե հիշել նախքան հաջորդ վերագործարկումը մեղադրելը։