Handshake OpenVPN di Synology Gagal? Periksa Penerusan LAN

Laptop Anda melaporkan bahwa handshake TLS gagal, jadi godaannya adalah membangun ulang sertifikat. Sebelum itu, ajukan pertanyaan yang lebih membosankan: port Ethernet mana yang sebenarnya didengarkan Synology? NAS dengan dua port LAN memiliki dua alamat, dan paket VPN Server di DSM mengikat pendengar OpenVPN-nya ke salah satunya. Saat router meneruskan 1194 ke alamat yang lain, tidak ada paket yang pernah mencapai layanan, dan klien tidak punya apa pun untuk dinegosiasikan.

Teks galat menyesatkan karena menjelaskan hal terakhir yang dicoba klien, bukan hal pertama yang salah. Dua menit membandingkan halaman paket dengan aturan router menyelesaikannya.

Temukan alamat tempat pendengar terikat

DSM memberi label portnya sebagai LAN 1 dan LAN 2, dan masing-masing membawa alamat serta subnet terpisah. Buka VPN Server, baca antarmuka yang disebut pada tab OpenVPN, lalu buka Panel Kontrol dan catat alamat IPv4 yang dimiliki DSM pada antarmuka yang sama. Dua nilai itulah, bukan nama host NAS, yang harus disebut penerusan.

Kabel kedua yang dicolokkan tidak membuat pendengar kedua. Kedua tautan bisa tampak tersambung sementara hanya satu alamat menerima lalu lintas, dan saat kedua antarmuka berada di subnet yang sama, kedua alamat berbeda satu digit yang tidak dibaca ulang siapa pun sebelum aturan disimpan.

Lihat socket itu sendiri lewat SSH, karena hanya di sinilah terlihat ke apa daemon benar-benar terikat, bukan apa yang dimaksudkan halaman pengaturan.

sudo netstat -anp | grep 1194

Sunting penerusan yang ada alih-alih menambah yang baru

Dua aturan untuk satu port eksternal membuat router bebas memilih, dan pilihan itu bisa berubah setelah pembaruan firmware atau reboot. Buka aturan yang sudah ada, ubah alamat internalnya, simpan, lalu buka lagi dan baca nilainya. Menamai aturan menurut layanan membantu, karena daftar lima penerusan identik adalah cara yang salah bertahan.

external 1194/udp  ->  192.0.2.20:1194/udp

Jaga port internal sama dengan port pendengar, dan jaga protokolnya konsisten. UDP 1194 adalah pendengar bawaan, sedangkan profil TCP butuh pendengarnya sendiri di sisi paket dan penerusan yang cocok di router. Meneruskan TCP ke layanan yang hanya mendengarkan UDP menghasilkan kesunyian, bukan galat.

Jika alamat NAS berasal dari DHCP, pesan dulu sebelum aturan disimpan. Kedaluwarsa sewa menetapkan ulang alamat, penerusan tetap menunjuk nilai lama, dan handshake mulai gagal pada hari ketika tidak ada yang menyentuh NAS. Konfigurasi statis di sisi NAS menyelesaikan masalah yang sama, asalkan alamatnya berada di luar rentang DHCP router.

Buktikan apakah paket benar-benar tiba

Mulai tangkapan di NAS lebih dulu, lalu sambungkan dari klien, dan baca alamat sumber pada keluarannya. Tangkapan yang dimulai setelah kegagalan tidak menunjukkan apa pun dan tidak membuktikan apa pun.

sudo tcpdump -i any -n udp port 1194

Kesunyian berarti lalu lintas mati sebelum layanan: alamat internal salah, port tertutup di firewall DSM, atau antarmuka yang dimatikan secara administratif. Paket pada keluaran berarti penerusan bekerja, dan sisa gangguannya berada di atas lapisan jaringan, yang merupakan area pencarian jauh lebih kecil.

Tangkapan juga menyebut antarmuka tempat paket tiba, dan satu detail itulah yang memisahkan aturan yang diarahkan ke port salah dari aturan yang diarahkan ke port yang tidak aktif. Pantau penghitung milik router selama percobaan yang sama jika ia menampilkannya. Penghitung yang tidak bergerak sementara tangkapan tetap kosong menunjuk ke router, sedangkan penghitung yang bergerak dengan tangkapan kosong menunjuk ke jalur antara kedua perangkat.

Saat paket tiba, berhenti menyalahkan penerusan

Profil adalah tersangka berikutnya, dan alasan umumnya adalah usia. Berkas .ovpn yang diekspor memuat otoritas dan materi dari saat ekspor, jadi paket yang sertifikatnya diganti belakangan akan menolak klien yang masih membawa salinan lama.

Transport adalah ketidakcocokan lain yang layak diperiksa secara eksplisit, karena profil dan paket disunting di tempat berbeda. Mengubah profil dari UDP ke TCP tanpa mengganti paket membuat klien menunggu pendengar yang tidak ada, dan klien melaporkan teks handshake generik yang sama seperti untuk semua hal lain. Baca baris proto di berkas, lalu lihat protokol yang dipilih di halaman server, dan baru setelah itu simpulkan keduanya cocok. Membaca aturan firewall DSM adalah pemeriksaan ketiga: aturan yang mengizinkan port dari subnet lokal tetapi tidak dari internet mudah tertinggal setelah pengujian, dan menghasilkan koneksi yang bekerja dari dapur dan gagal dari mana pun selain itu.

Uji jalur yang benar-benar dilalui pengguna jarak jauh

Klien di dalam LAN yang sama dapat mencapai NAS tanpa pernah menyentuh penerusan, jadi itu tidak membuktikan apa pun tentang akses jarak jauh. Gunakan ponsel dengan Wi-Fi dimatikan, atau tanyakan kepada seseorang di luar jaringan, dan pantau penghitung router selama percobaan itu. Jika percobaan jarak jauh gagal sementara yang lokal berhasil, penerusan atau firewall masih ada dalam gambar.

Catat keadaan yang berfungsi selama masih berfungsi: port eksternal, alamat internal, protokol, antarmuka paket, serta nama profil dan tanggal ekspor. Saat handshake gagal lagi, selisih antara catatan itu dan konfigurasi saat ini adalah gangguannya, dan tidak ada yang perlu menemukan ulang port mana dari dua port yang dipakai layanan.