Synology-де OpenVPN қол алысуы сәтсіз? LAN-ға жіберуді тексеріңіз

Ноутбугіңіз TLS қол алысуы сәтсіз аяқталғанын хабарлайды, сондықтан сертификаттарды қайта жасауға қызығушылық туады. Бұған дейін қарапайым сұрақ қойыңыз: Synology шын мәнінде қай Ethernet портында тыңдайды? Екі LAN порты бар NAS-тың екі мекенжайы болады, ал DSM-дегі VPN Server пакеті өзінің OpenVPN тыңдаушысын солардың біреуіне байлайды. Маршрутизатор 1194-ті басқа мекенжайға жібергенде, бірде-бір пакет қызметке жетпейді, ал клиенттің келіссөз жүргізетін ештеңесі жоқ.

Қате мәтіні шатастырады, өйткені ол клиенттің ең соңғы сынағанын сипаттайды, алғашқы не бұзылғанын емес. Пакет бетін маршрутизатор ережесімен салыстыруға екі минут жетеді.

Тыңдаушы байланған мекенжайды табыңыз

DSM порттарын LAN 1 және LAN 2 деп атайды, әрқайсысының жеке мекенжайы мен ішкі желісі бар. VPN Server-ді ашыңыз, OpenVPN қосымшасында аталған интерфейсті оқыңыз, содан кейін Басқару панелін ашып, DSM-нің сол интерфейстегі IPv4 мекенжайын жазып алыңыз. Жіберудің атауы керек нәрсе — NAS хост атауы емес, дәл осы екі мән.

Екінші қосылған кабель екінші тыңдаушы жасамайды. Екі байланыс та қосылған болып көрінуі мүмкін, бірақ трафикті тек бір мекенжай қабылдайды, ал екі интерфейс бір ішкі желіде болса, екі мекенжай ереже сақталмай тұрып ешкім қайта оқымайтын бір цифрмен ерекшеленеді.

SSH арқылы сокеттің өзіне қараңыз, өйткені демонның шынымен неге байланғанын, параметрлер бетінің нені көздейтінін емес, тек осы жерден көруге болады.

sudo netstat -anp | grep 1194

Жаңасын қосудың орнына бар жіберуді өңдеңіз

Бір сыртқы порт үшін екі ереже маршрутизаторға таңдау еркіндігін береді, ал қайсысын таңдайтыны микробағдарлама жаңартылғаннан немесе қайта іске қосылғаннан кейін өзгеруі мүмкін. Бар ережені ашыңыз, оның ішкі мекенжайын өзгертіңіз, сақтаңыз, содан кейін оны қайта ашып, мәнін оқыңыз. Ережені қызмет атымен атау көмектеседі, өйткені бес бірдей жіберу тізімі — қатесінің тірі қалу тәсілі.

external 1194/udp  ->  192.0.2.20:1194/udp

Ішкі портты тыңдау портына тең ұстаңыз және протоколды бірізді ұстаңыз. UDP 1194 — әдепкі тыңдаушы, ал TCP профиліне пакет жағында өзінің тыңдаушысы және маршрутизаторда сәйкес жіберу қажет. Тек UDP-де тыңдайтын қызметке TCP жіберу қате емес, үнсіздік береді.

Егер NAS мекенжайы DHCP-тен келсе, ереже сақталмай тұрып оны қосалқыға алыңыз. Жалдау мерзімі біткенде мекенжай қайта тағайындалады, жіберу ескі мәнге сілтеуді жалғастырады, ал қол алысу NAS-қа ешкім тимеген күні сәтсіз бола бастайды. NAS жағындағы статикалық конфигурация сол мәселені шешеді, бірақ мекенжай маршрутизатордың DHCP ауқымынан тыс болуы шарт.

Пакеттердің жалпы жететінін дәлелдеңіз

Алдымен NAS-та түсіруді бастаңыз, содан кейін клиенттен қосылыңыз және шығыстағы бастау мекенжайын оқыңыз. Ақаудан кейін басталған түсіру ештеңе көрсетпейді және ештеңені дәлелдемейді.

sudo tcpdump -i any -n udp port 1194

Үнсіздік трафиктің қызметке жетпей өлгенін білдіреді: қате ішкі мекенжай, DSM қақпағында жабық порт немесе әкімшілік түрде өшірілген интерфейс. Шығыста пакеттер болса, жіберу жұмыс істейді, ал қалған ақау желі қабатынан жоғары, бұл әлдеқайда шағын іздеу аймағы.

Түсіру пакет келген интерфейсті де атайды, және дәл осы бір бөлшек қате портқа бағытталған ережені қосылмаған портқа бағытталған ережеден ажыратады. Сол әрекет кезінде маршрутизатордың өз санауышын да бақылаңыз, егер ол көрсетсе. Түсіру бос қалғанда қозғалмайтын санауыш маршрутизаторға меңзейді, ал бос түсірумен қозғалатын санауыш екі құрылғы арасындағы жолға меңзейді.

Пакеттер келгенде, жіберуді кінәлауды доғарыңыз

Профиль — келесі күдікті, ал әдеттегі себеп — ескіру. Экспортталған .ovpn файлы экспорт сәтіндегі орган мен материалды қамтиды, сондықтан сертификаты кейінірек ауыстырылған пакет ескі көшірмені әлі алып жүрген клиенттен бас тартады.

Тасымалдау — бұдан былай айқын тексеруге тұрарлық келесі сәйкессіздік, өйткені профиль мен пакет әр жерде өңделеді. Профильді UDP-ден TCP-ге пакетті ауыстырмай өзгерту клиентті жоқ тыңдаушыны күтуге қалдырады, ал клиент қалған барлық нәрсе үшін айтатын сол жалпы қол алысу мәтінін айтады. Файлдағы proto жолын оқыңыз, содан кейін сервер бетінде таңдалған протоколды қараңыз, тек содан кейін олардың сәйкес екенін қорытындылаңыз. DSM қақпа ережелерін оқу — үшінші тексеру: портқа жергілікті ішкі желіден рұқсат беріп, интернеттен бермейтін ережені сынақтан кейін қалдыру оңай, ал ол ас үйден жұмыс істеп, қалған барлық жерден сәтсіз болатын қосылым туғызады.

Қашықтағы пайдаланушы шынымен жүретін жолды сынаңыз

Сол LAN ішіндегі клиент жіберуді мүлдем ұстамай-ақ NAS-қа жете алады, сондықтан бұл қашықтағы қатынас туралы ештеңе дәлелдемейді. Wi-Fi өшірілген телефонды пайдаланыңыз немесе желіден тыс адамнан сұраңыз және сол әрекет кезінде маршрутизатор санауышын бақылаңыз. Қашықтағы әрекет сәтсіз болып, жергіліктісі сәтті болса, жіберу немесе қақпа әлі де ойында.

Жұмыс істеп тұрған күйде оны жазып алыңыз: сыртқы порт, ішкі мекенжай, протокол, пакет интерфейсі, сондай-ақ профиль атауы мен экспорт күні. Қол алысу қайтадан сәтсіз болса, сол жазба мен ағымдағы конфигурация арасындағы айырмашылық — ақау, және қызметтің екі порттың қайсысын қолданатынын ешкім қайта ашуға мәжбүр емес.