NAS Synology dengan dua port LAN: mengapa handshake VPN gagal

Laptop melaporkan kegagalan handshake TLS, yang terdengar seperti masalah sertifikat dan biasanya bukan. Pada NAS dengan dua port Ethernet, penyebab paling umum adalah penerusan router yang diarahkan ke alamat yang tidak didengarkan paket, dan pesan klien identik dalam kedua kasus. Paket tidak menjawab di port kedua hanya karena kedua kabel terpasang. Sebelum siapa pun menerbitkan ulang sertifikat, buktikan bahwa paket sama sekali mencapai NAS.

Apa yang dilaporkan klien dan apa yang sebenarnya terjadi

Kegagalan handshake dari klien OpenVPN adalah sebutan umum. Itu mencakup ketidakcocokan sertifikat, ketidakcocokan transport, pendengar di port lain, dan penerusan yang tidak mengirimkan apa pun. Karena itu pesan tersebut tidak berguna sebagai titik awal dan hanya berguna sebagai konfirmasi. Perlakukan sebagai pernyataan bahwa sesi tidak terbentuk, dan tidak lebih spesifik.

Port dan alamat terikat adalah dua fakta yang menentukan apakah paket pernah tiba.

Catat keduanya sebelum mengubah apa pun, karena perbaikan masuk akal yang diterapkan pada lapisan yang salah adalah cara masalah lima belas menit menjadi sepanjang sore. Catat antarmuka, alamat di atasnya, port, dan transport. Keempat nilai itu adalah seluruh jalur masuk, dan bagian berikutnya menjelaskan di mana masing-masing berada.

Temukan alamat tempat paket mendengarkan

DSM memberi nomor port Ethernet dan masing-masing membawa alamatnya sendiri. Halaman VPN Server menyebutkan antarmuka yang digunakan layanan OpenVPN, dan panel jaringan menunjukkan alamat yang dikonfigurasi pada antarmuka itu. Bacalah dalam urutan itu, dari layanan ke luar, agar Anda menjelaskan apa yang mendengarkan, bukan apa yang Anda anggap seharusnya digunakan.

Layanan mengikat satu alamat. Kedua port tersambung dan aktif tidak membuat layanan menjawab di port kedua. Alamat statis pada satu antarmuka di samping alamat DHCP pada antarmuka lain memberi Anda dua nilai serupa yang mudah tertukar sekali pandang, terutama bila hanya berbeda pada oktet terakhir. Salin alamat dari panel alih-alih mengetiknya dari ingatan. Lalu pastikan di NAS apa yang benar-benar terikat ke port.

sudo ss -lunp | grep 1194

Jika keluaran itu menyebut alamat yang tidak Anda harapkan, penerusan diarahkan ke antarmuka yang salah dan semua hal lain di sini hanya pembukuan. Perbaiki aturannya sebelum membaca lebih jauh, atau Anda akan menghabiskan waktu men-debug sertifikat karena paket yang tidak pernah meninggalkan router.

Perbaiki penerusan, lalu pantau penghitungnya

Sunting aturan penerusan yang ada alih-alih menambahkan aturan kedua untuk port eksternal yang sama. Dua aturan bisa hidup berdampingan di tabel router dan hanya satu yang menang, yang mengubah sesi debug menjadi perdebatan tentang mana yang nyata. Arahkan alamat internal ke nilai yang Anda baca dari NAS, dan biarkan port internal cocok dengan apa yang didengarkan layanan.

Jika DSM memperoleh alamat itu lewat DHCP, buat reservasi lebih dulu. Perubahan sewa diam-diam merusak penerusan yang kemarin berfungsi.

sudo tcpdump -i any -n udp port 1194

Mulai menangkap sebelum klien mencoba terhubung, dan baca alamat sumber pada apa pun yang muncul. Tidak ada apa pun berarti sesuatu di sepanjang jalan membuangnya: penerusan, firewall DSM, atau antarmuka yang dituju, dan sertifikat tidak mungkin menjadi penyebab selama itu berlaku. Sesuatu yang datang dari alamat publik klien tanpa balasan berarti NAS menerima permintaan dan memilih untuk tidak menjawab. Itu temuan yang berbeda, dan hanya yang kedua yang mengirim Anda kembali ke pengaturan paket itu sendiri.

Baru setelah itu periksa sertifikat dan transport

Setelah paket tiba, ekspor ulang profil setelah setiap perubahan sertifikat, karena berkas lama masih membawa otoritas yang dengannya ia dibuat. Profil yang diedit tangan untuk transport lain membuat klien menunggu pendengar yang tidak ada, dan ia melaporkan kegagalan umum yang sama seperti yang lain. Bandingkan transport di dalam profil dengan transport yang diatur untuk dilayani paket. Dua profil untuk dua transport adalah desain yang sah, dan satu profil yang diedit untuk keduanya bukan.

Uji dari luar jaringan Anda sendiri sebagai langkah terakhir, karena koneksi dari dalam LAN bisa berhasil melalui jalur yang tidak pernah menyentuh penerusan.

Simpan profil yang diekspor, alamat antarmuka, dan aturan penerusan bersama dalam satu catatan. Saat alamat berubah, catatan itu adalah perbedaan antara perbaikan dan pengulangan. Tidak ada di jalur ini yang menuntut pemasangan ulang paket, yang layak diingat sebelum boot berikutnya disalahkan.