Synology NAS ორი LAN პორტით: რატომ ფეილდება VPN-ის ხელის ჩამორთმევა

ლეპტოპი იტყობინება TLS-ის ხელის ჩამორთმევის ჩავარდნაზე, რაც სერტიფიკატის პრობლემას ჰგავს და ჩვეულებრივ ასე არ არის. ორი Ethernet პორტის მქონე NAS-ზე ყველაზე ხშირი მიზეზია როუტერის გადამისამართება, რომელიც იმ მისამართზეა მიმართული, სადაც პაკეტი არ უსმენს, და კლიენტის შეტყობინება ორივე შემთხვევაში ერთნაირია. პაკეტი მეორე პორტზე არ პასუხობს მხოლოდ იმიტომ, რომ ორივე კაბელი შეერთებულია. სანამ ვინმე ხელახლა გამოსცემს სერტიფიკატს, დაამტკიცეთ, რომ პაკეტი საერთოდ აღწევს NAS-ამდე.

რას იტყობინება კლიენტი და რა მოხდა სინამდვილეში

OpenVPN-კლიენტის ხელის ჩამორთმევის ჩავარდნა ზოგადი ცნებაა. იგი მოიცავს სერტიფიკატის შეუსაბამობას, ტრანსპორტის შეუსაბამობას, სხვა პორტზე მსმენელს და გადამისამართებას, რომელმაც არაფერი მიიტანა. ამიტომ შეტყობინება უსარგებლოა საწყის წერტილად და სასარგებლოა მხოლოდ დადასტურებად. მიიღეთ ის როგორც განცხადება, რომ სესია არ დამყარდა, და არაფერი უფრო კონკრეტული.

პორტი და მიბმული მისამართი ის ორი ფაქტია, რომლებიც წყვეტს, მივა თუ არა პაკეტი საერთოდ.

ჩაწერეთ ორივე, სანამ რამეს შეცვლით, რადგან სწორ შრეზე გამოყენებული დამაჯერებელი შესწორება ის გზაა, რომლითაც თხუთმეტწუთიანი პრობლემა მთელ შუადღედ იქცევა. აღნიშნეთ ინტერფეისი, მასზე არსებული მისამართი, პორტი და ტრანსპორტი. ეს ოთხი მნიშვნელობა მთელი შემომავალი გზაა, და შემდეგი ნაწილი ხსნის, სად ცხოვრობს თითოეული მათგანი.

იპოვეთ მისამართი, რომელზეც პაკეტი უსმენს

DSM ნომრავს Ethernet პორტებს და თითოეულს თავისი მისამართი აქვს. VPN Server გვერდი ასახელებს ინტერფეისს, რომელსაც OpenVPN სერვისი იყენებს, ხოლო ქსელის პანელი აჩვენებს ამ ინტერფეისზე კონფიგურირებულ მისამართს. წაიკითხეთ ისინი ამ თანმიმდევრობით, სერვისიდან გარეთ, რომ აღწეროთ ის, რაც უსმენს, და არა ის, რაც ფიქრობთ, რომ უნდა გამოიყენოს.

სერვისი ერთ მისამართს აბამს. ის, რომ ორივე პორტი შეერთებული და აქტიურია, სერვისს მეორეზე პასუხის გაცემას არ აიძულებს. სტატიკური მისამართი ერთ ინტერფეისზე, DHCP მისამართის გვერდით მეორეზე, გაძლევთ ორ მსგავს მნიშვნელობას, რომლებიც ერთი შეხედვით ადვილად ირევა, განსაკუთრებით მაშინ, როცა ისინი მხოლოდ ბოლო ოქტეტში განსხვავდებიან. დააკოპირეთ მისამართი პანელიდან და ნუ აკრეფთ მეხსიერებიდან. შემდეგ დაადასტურეთ NAS-ზე, რა არის რეალურად მიბმული პორტზე.

sudo ss -lunp | grep 1194

თუ ეს გამომავალი ასახელებს მისამართს, რომელსაც არ ელოდით, გადამისამართება არასწორ ინტერფეისზეა მიმართული და აქ დანარჩენი ყველაფერი აღრიცხვაა. შეასწორეთ წესი, სანამ გააგრძელებთ კითხვას, თორემ საბოლოოდ სერტიფიკატს გამართავთ იმ პაკეტის გამო, რომელმაც როუტერი არასოდეს დატოვა.

შეასწორეთ გადამისამართება, შემდეგ დააკვირდით მრიცხველს

შეცვალეთ არსებული გადამისამართების წესი და ნუ დაამატებთ მეორეს იმავე გარე პორტისთვის. ორი წესი შეიძლება ერთდროულად არსებობდეს როუტერის ცხრილში და ყოველთვის მხოლოდ ერთი იმარჯვებს, რაც გამართვის სესიას რეალური წესის შესახებ კამათად აქცევს. მიმართეთ შიდა მისამართი NAS-იდან წაკითხულ მნიშვნელობას და დატოვეთ შიდა პორტი იმასთან შესაბამისობაში, რასაც სერვისი უსმენს.

თუ DSM ამ მისამართს DHCP-ით იღებს, ჯერ შექმენით დაჯავშნა. იჯარის ცვლილება ჩუმად ამტვრევს გადამისამართებას, რომელიც გუშინ მუშაობდა.

sudo tcpdump -i any -n udp port 1194

დაიწყეთ ჩაწერა მანამ, სანამ კლიენტი შეეცდება დაკავშირებას, და წაიკითხეთ წყაროს მისამართი ყველაფერში, რაც გამოჩნდება. სრული არაფერი ნიშნავს, რომ გზაზე რაღაცამ გადააგდო ის: გადამისამართებამ, DSM-ის ფაილვოლმა ან იმ ინტერფეისმა, რომელზეც იყო მიმართული, და სერტიფიკატები ვერ იქნება მიზეზი, სანამ ეს ასეა. კლიენტის საჯარო მისამართიდან პასუხის გარეშე რაღაცის მოსვლა ნიშნავს, რომ NAS-მა მოითხოვა და აირჩია არ უპასუხოს. ეს განსხვავებული დასკვნებია, და მხოლოდ მეორე გაბრუნებთ თავად პაკეტის პარამეტრებში.

მხოლოდ მაშინ შეხედეთ სერტიფიკატებსა და ტრანსპორტს

როგორც კი პაკეტები მოვა, ხელახლა გაიტანეთ პროფილი სერტიფიკატის ყოველი ცვლილების შემდეგ, რადგან ძველი ფაილი ჯერ კიდევ ატარებს იმ ორგანოს, რომლითაც შეიქმნა. ხელით რედაქტირებული პროფილი სხვა ტრანსპორტისთვის კლიენტს აჩერებს არარსებულ მსმენელზე ლოდინში და იმავე ზოგად ჩავარდნას იუწყება, რასაც ყველა დანარჩენი. შეადარეთ პროფილის შიგნით არსებული ტრანსპორტი იმ ტრანსპორტს, რომლის მომსახურებაზეც პაკეტია დაყენებული. ორი ტრანსპორტისთვის ორი პროფილი ლეგიტიმური დიზაინია, და ერთი პროფილი ორივესთვის რედაქტირებული არ არის.

საბოლოო ნაბიჯად გამოსცადეთ საკუთარი ქსელის გარედან, რადგან LAN-ის შიგნიდან კავშირი შეიძლება წარმატებული იყოს იმ გზით, რომელიც გადამისამართებას არასოდეს ეხება.

შეინახეთ გატანილი პროფილი, ინტერფეისის მისამართი და გადამისამართების წესი ერთად ერთ ჩანაწერში. როცა მისამართი იცვლება, ეს ჩანაწერია განსხვავება შესწორებასა და გამეორებას შორის. ამ გზაზე არაფერს დასჭირვებია პაკეტის ხელახლა დაყენება, რაც ღირს დასამახსოვრებლად სანამ შემდეგი გადატვირთვა დაადანაშაულდება.