LAN 포트가 두 개인 Synology NAS: VPN 핸드셰이크가 실패하는 이유

노트북이 TLS 핸드셰이크 실패를 보고합니다. 인증서 문제처럼 들리지만 보통은 그렇지 않습니다. Ethernet 포트가 두 개인 NAS에서 가장 흔한 원인은 패키지가 수신 대기하지 않는 주소를 향한 라우터 포워딩이며, 클라이언트 메시지는 두 경우 모두 같습니다. 케이블이 두 개 꽂혀 있다는 이유만으로 패키지가 두 번째 포트에서 응답하지는 않습니다. 누군가 인증서를 다시 발급하기 전에 패킷이 NAS에 도달하는지부터 증명하십시오.

클라이언트가 보고하는 것과 실제로 일어난 일

OpenVPN 클라이언트의 핸드셰이크 실패는 포괄적인 표현입니다. 인증서 불일치, 전송 방식 불일치, 다른 포트의 수신 대기자, 아무것도 전달하지 않은 포워딩을 모두 포함합니다. 그래서 이 메시지는 출발점으로 쓸모가 없고 확인용으로만 유용합니다. 세션이 성립하지 않았다는 진술로 받아들이고, 그보다 구체적인 의미는 두지 마십시오.

포트와 바인딩된 주소, 이 두 가지 사실이 패킷이 도달하는지를 결정합니다.

무엇이든 바꾸기 전에 둘 다 적어 두십시오. 그럴듯한 수정을 잘못된 계층에 적용하면 십오 분짜리 문제가 반나절이 되기 때문입니다. 인터페이스, 그 위의 주소, 포트, 전송 방식을 기록하십시오. 이 네 값이 전체 인바운드 경로이며, 다음 절에서 각각이 어디에 있는지 설명합니다.

패키지가 수신 대기하는 주소 찾기

DSM은 Ethernet 포트에 번호를 붙이고 각 포트는 자체 주소를 가집니다. VPN Server 페이지는 OpenVPN 서비스가 사용하는 인터페이스를 알려 주고, 네트워크 패널은 그 인터페이스에 설정된 주소를 보여 줍니다. 서비스에서 바깥으로 향하는 이 순서로 읽어야 사용해야 한다고 가정한 것이 아니라 실제로 수신 대기하는 것을 설명하게 됩니다.

서비스는 하나의 주소에 바인딩됩니다. 두 포트가 모두 연결되어 활성 상태라는 사실이 서비스가 두 번째 포트에서 응답하게 만들지는 않습니다. 한 인터페이스의 고정 주소 옆에 다른 인터페이스의 DHCP 주소가 있으면 한눈에 바꿔 보기 쉬운 비슷한 두 값이 생깁니다. 특히 마지막 옥텟만 다를 때 그렇습니다. 주소는 기억에 의존해 입력하지 말고 패널에서 복사하십시오. 그다음 NAS에서 무엇이 실제로 포트에 바인딩되었는지 확인하십시오.

sudo ss -lunp | grep 1194

그 출력이 예상하지 못한 주소를 보여 준다면 포워딩이 잘못된 인터페이스를 향하고 있으며, 여기서 나머지는 모두 장부 정리입니다. 더 읽기 전에 규칙을 고치십시오. 그렇지 않으면 라우터를 한 번도 떠나지 않은 패킷 때문에 인증서를 디버깅하게 됩니다.

포워딩을 고친 뒤 카운터 보기

같은 외부 포트에 두 번째 규칙을 추가하지 말고 기존 포워딩 규칙을 편집하십시오. 라우터 테이블에서 두 규칙이 공존할 수 있고 항상 하나만 이깁니다. 그래서 디버깅 세션이 어느 것이 진짜인지에 대한 논쟁으로 바뀝니다. 내부 주소를 NAS에서 읽은 값으로 향하게 하고, 내부 포트는 서비스가 수신 대기하는 값과 일치시키십시오.

DSM이 그 주소를 DHCP로 받는다면 먼저 예약을 만드십시오. 임대 변경은 어제까지 작동하던 포워딩을 조용히 깨뜨립니다.

sudo tcpdump -i any -n udp port 1194

클라이언트가 연결을 시도하기 전에 캡처를 시작하고, 나타나는 것의 출발지 주소를 읽으십시오. 아무것도 없다면 경로상의 무언가가 버린 것입니다. 포워딩, DSM 방화벽, 또는 목적지 인터페이스이며, 그 상태가 유지되는 한 인증서가 원인일 수 없습니다. 클라이언트의 공인 주소에서 응답 없이 무언가 도착한다면 NAS가 요청을 받고 응답하지 않기로 선택한 것입니다. 서로 다른 발견이며, 두 번째 경우만 패키지 자체의 설정으로 되돌립니다.

그때서야 인증서와 전송 방식을 보십시오

패킷이 도착하기 시작하면 인증서를 변경할 때마다 프로필을 다시 내보내십시오. 이전 파일은 생성 당시의 인증 기관을 여전히 담고 있기 때문입니다. 다른 전송 방식을 쓰려고 손으로 편집한 프로필은 존재하지 않는 수신 대기자를 기다리게 하고, 다른 모든 경우와 같은 일반적 실패를 보고합니다. 프로필 내부의 전송 방식과 패키지가 제공하도록 설정된 전송 방식을 비교하십시오. 두 전송 방식에 두 프로필은 정당한 설계이지만, 둘 모두를 위해 하나를 편집하는 것은 그렇지 않습니다.

마지막 단계로 자신의 네트워크 바깥에서 시험하십시오. LAN 내부에서의 연결은 포워딩을 전혀 거치지 않는 경로로 성공할 수 있습니다.

내보낸 프로필, 인터페이스 주소, 포워딩 규칙을 한 노트에 함께 보관하십시오. 주소가 바뀔 때 그 노트가 수정과 재연의 차이를 만듭니다. 이 경로에서는 패키지를 다시 설치할 일이 없었으며, 다음 재부팅이 탓을 받기 전에 기억할 만합니다.