OpenVPN-handshake á Synology mistekst? Athugaðu LAN-einsendinguna

Fartölvan þín tilkynnir að TLS-handshakið hafi mistekist, svo freistingin er að endurbyggja skírteinin. Spurðu fyrst óskemmtilegri spurningar: á hvaða Ethernet-porti hlustar Synology í raun? NAS með tveimur LAN-portum hefur tvö vistföng, og VPN Server-pakki DSM bindur OpenVPN-hlustarann sinn við annað þeirra. Þegar beinirinn sendir 1194 á hitt vistfangið nær ekkert pakki nokkurn tíma til þjónustunnar, og biðlarinn hefur ekkert til að semja um.

Villutextinn er villandi því hann lýsir því síðasta sem biðlarinn reyndi, ekki því fyrsta sem fór úrskeiðis. Tvær mínútur að bera saman pakkasíðuna og beinaregluna leysa málið.

Finndu vistfangið sem hlustarinn er bundinn við

DSM merkir portin sín LAN 1 og LAN 2, og hvert þeirra ber sér vistfang og undirnet. Opnaðu VPN Server, lestu tengið sem nefnt er á OpenVPN-flipanum, opnaðu svo Stjórnborðið og skrifaðu niður IPv4-vistfangið sem DSM hefur á sama tengi. Þessi tvö gildi, ekki vélarheiti NAS-ins, er það sem einsendingin þarf að nefna.

Önnur tengd snúra býr ekki til annan hlustara. Báðar tengingar geta birst sem tengdar á meðan aðeins eitt vistfang tekur við umferðinni, og þegar bæði tengin eru í sama undirneti munar einum tölustaf sem enginn les aftur áður en regla er vistuð.

Skoðaðu sokkinn sjálfan í gegnum SSH, því það er eini staðurinn sem sýnir við hvað daemoninn bauð sig í raun, ekki hvað stillingasíðan hyggst.

sudo netstat -anp | grep 1194

Breyttu fyrirliggjandi einsendingu í stað þess að bæta annarri við

Tvær reglur fyrir eina ytri port leyfa beininum að velja frjálst, og hverja hann velur getur breyst eftir fastbúnaðaruppfærslu eða endurræsingu. Opnaðu regluna sem þegar er til, breyttu innra vistfangi hennar, vistaðu, opnaðu hana svo aftur og lestu gildið. Að nefna regluna eftir þjónustunni hjálpar, því listi yfir fimm eins einsendingar er leiðin sem sú ranga lifir af.

external 1194/udp  ->  192.0.2.20:1194/udp

Hafðu innra portið jafnt hlustunarportinu, og hafðu samskiptaregluna samkvæma. UDP 1194 er sjálfgefni hlustarinn, en TCP-snið þarf sinn eigin hlustara á pakkahliðinni og samsvarandi einsendingu í beininum. Að senda TCP á þjónustu sem hlustar aðeins á UDP gefur þögn, ekki villu.

Ef vistfang NAS-ins kemur frá DHCP skaltu taka það frá áður en reglan er vistuð. Þegar leigan rennur út er vistfanginu úthlutað aftur, einsendingin heldur áfram að benda á gamla gildið, og handshakið byrjar að mistakast á degi sem enginn snerti NAS-ið. Statísk uppsetning á NAS-hliðinni leysir sama vandamál, að því tilskildu að vistfangið sé utan DHCP-sviðs beinisins.

Sannaðu hvort pakkarnir berist yfirhöfuð

Byrjaðu á að taka upp á NAS-inu, tengstu svo frá biðlinum, og lestu upprunavistfangið í úttakinu. Upptaka sem byrjuð er eftir mistökin sýnir ekkert og sannar ekkert.

sudo tcpdump -i any -n udp port 1194

Þögn þýðir að umferðin dó fyrir þjónustuna: rangt innra vistfang, lokað port á eldvegg DSM, eða tengi sem er stjórnunarlega niðri. Pakkar í úttakinu þýða að einsendingin virki, og afgangsvillan liggur ofan við netlagið, sem er mun minna leitarsvæði.

Upptakan nefnir líka tengið sem pakkinn kom á, og þessi eina smáatriði aðgreinir reglu sem beinist að röngu porti frá reglu sem beinist að porti sem er ekki uppi. Fylgstu með eigin teljara beinisins á sama tilraun ef hann sýnir einn. Teljari sem hreyfist ekki á meðan upptakan helst tóm bendir á beininn, en teljari sem hreyfist með tóma upptöku bendir á leiðina milli tækjanna tveggja.

Þegar pakkarnir berast, hættu að kenna einsendingunni um

Sniðið er næsti grunsamlegi, og venjulega ástæðan er aldur. Útflutt .ovpn skrá inniheldur valdið og efnið frá útflutningsstundu, svo pakki sem skírteini hans var skipt út síðar mun hafna biðli sem enn ber gamla afritið.

Flutningurinn er hinn ósamræmið sem er þess virði að athuga sérstaklega, því sniðinu og pakkanum er breytt á ólíkum stöðum. Að breyta sniði úr UDP í TCP án þess að skipta um pakka lætur biðlarann bíða eftir hlustara sem er ekki til, og biðlarinn tilkynnir sama almenna handshaketextann og hann tilkynnir fyrir allt annað. Lestu proto línuna í skránni, skoðaðu svo samskiptaregluna sem valin er á þjónasíðunni, og komstu aðeins þá að því að þær stemmi. Að lesa eldveggjarreglur DSM er þriðja prófið: reglu sem leyfir portið frá staðbundnu undirneti en ekki frá internetinu er auðvelt að skilja eftir eftir prófanir, og hún gefur tengingu sem virkar frá eldhúsinu og mistekst alls staðar annars staðar.

Prófaðu leiðina sem fjartengdur notandi fer í raun

Biðlari innan sama LAN getur náð í NAS án þess að snerta einsendinguna nokkurn tíma, svo það sannar ekkert um fjaraðgang. Notaðu síma með Wi-Fi slökkt, eða spurðu einhvern utan netsins, og fylgstu með teljara beinisins á meðan á þeirri tilraun stendur. Ef fjartilraunin mistekst en sú staðbundna tekst, eru einsendingin eða eldveggurinn enn í myndinni.

Skráðu virka stöðu á meðan hún virkar: ytra port, innra vistfang, samskiptareglu, pakkatengi, og heiti sniðsins og útflutningsdag. Þegar handshakið mistekst aftur er munurinn á þeirri athugasemd og núverandi uppsetningu villan, og enginn þarf að uppgötva aftur hvort portanna tveggja þjónustan notar.