Synology NAS mat zwou LAN-Porten: firwat de VPN-Handshake feelt

Den Laptop mellt en TLS-Handshake-Fehler, wat no engem Zertifikatsproblem kléngt an et normalerweis net ass. Op engem NAS mat zwou Ethernet-Porten ass déi heefegst Ursaach eng Router-Weiderleitung, déi op d'Adress weist, op där de Pak net lauschtert, an d'Noriicht vum Client ass a béide Fäll identesch. De Pak äntwert net op der zweeter Port just well béid Kabelen agepluggt sinn. Ier een en Zertifikat nei ausstellt, bewaist datt e Pak iwwerhaapt den NAS erreecht.

Wat de Client mellt a wat tatsächlech geschitt ass

En Handshake-Fehler vun engem OpenVPN-Client ass en allgemengen Ausdrock. En deckt eng Zertifikatsdifferenz, eng Transportdifferenz, eng Lauschterer op enger anerer Port an eng Weiderleitung, déi näischt geliwwert huet. Dofir ass d'Noriicht als Ausgangspunkt onbrauchbar an nëmme wéi eng Bestätegung nëtzlech. Behandelt se wéi eng Ausso, datt d'Sessioun net entstanen ass, an näischt méi Geneeës.

D'Port an d'gebonne Adress sinn déi zwou Tatsaachen, déi entscheeden, ob e Pak iwwerhaapt ukënnt.

Schreift béides op, ier Dir eppes ännert, well eng plausibel Korrektur op der falscher Schicht ass de Wee, wéi aus engem fofzéng-Minutte-Problem en ganze Nomëtteg gëtt. Notéiert d'Interface, d'Adress drop, d'Port an den Transport. Déi véier Wäerter sinn de ganzen Agehspad, an den nächsten Abschnitt erkläert, wou jiddweree vun hinnen wunnt.

Fannt d'Adress, op där de Pak lauschtert

DSM nummeréiert d'Ethernet-Porten an jiddweree dréit seng eegen Adress. D'Säit VPN Server nennt d'Interface, déi den OpenVPN-Service benotzt, an den Netzwierkpanel weist d'Adress, déi op där Interface konfiguréiert ass. Liest se an där Reihenfolg, vum Service no baussen, sou datt Dir beschreift, wat lauschtert, amplaz wat Dir unhëlt, datt et sollt benotzen.

De Service bënnt eng Adress. Datt béid Porten ugeschloss an aktiv sinn, mécht net, datt de Service op der zweeter äntwert. Eng statesch Adress op enger Interface nieft enger DHCP-Adress op der anerer gëtt Iech zwee ähnlech Wäerter, déi een op ee Bléck liicht verwiesselt, besonnesch wann se sech nëmmen am leschten Oktett ënnerscheeden. Kopéiert d'Adress aus dem Panel amplaz se aus dem Gediechtnes ze tippen. Bestätegt duerno um NAS, wat tatsächlech un d'Port gebonnen ass.

sudo ss -lunp | grep 1194

Wann déi Ausgab eng Adress nennt, déi Dir net erwaart hutt, weist d'Weiderleitung op déi falsch Interface an alles anescht hei ass Buchhaltung. Reparéiert d'Reegel, ier Dir weider liest, soss debuggt Dir um Enn en Zertifikat wéinst engem Pak, deen den Router ni verlooss huet.

Reparéiert d'Weiderleitung an da kuckt op den Zähler

Ännert déi bestehend Weiderleitungsreegel amplaz eng zweet fir déi selwecht extern Port derbäizemaachen. Zwou Reegele kënnen an der Tabell vun engem Router niewenteneen existéieren an ëmmer gewënnt just eng, wat eng Debug-Sessioun an eng Diskussioun ëmwannele kann, wéi eng déi richteg ass. Richt d'intern Adress op de Wäert, deen Dir vum NAS geliest hutt, a loosst d'intern Port zu deem passen, op wat de Service lauschtert.

Wann DSM déi Adress iwwer DHCP kritt, erstellt fir d'éischt eng Reservatioun. Eng Ännerung vum Lease brécht stil en Weiderleitung, déi gëschter funktionéiert huet.

sudo tcpdump -i any -n udp port 1194

Fänkt d'Opnam un, ier de Client probéiert sech ze verbannen, a liest d'Quelladress an allem, wat erschéngt. Ganz näischt heescht, datt eppes um Wee et verworf huet: d'Weiderleitung, d'DSM-Firewall oder d'Interface, op déi et gezilt war, an Zertifikater kënnen net d'Ursaach sinn, soulaang dat hält. Eppes, wat vun der ëffentlecher Adress vum Client ouni Äntwert kënnt, heescht, datt den NAS d'Ufro kritt huet an decidéiert huet, net ze äntweren. Dat sinn ënnerschiddlech Befonner, an nëmmen déi zweet schéckt Iech zréck an d'Astellungen vum Pak selwer.

Eréischt dann kuckt Zertifikater an Transport

Soubal Päck ukommen, exportéiert de Profil nei no all Zertifikatsännerung, well déi al Datei nach ëmmer d'Autoritéit dréit, mat där se erstallt gouf. En hand-edited Profil fir en aneren Transport léisst de Client op enger Lauschterer waarden, déi et net gëtt, an et mellt deeselwechte generesche Fehler wéi alles anescht. Vergläicht den Transport am Profil mat deem Transport, dee vum Pak soll zerwéiert ginn. Zwee Profiler fir zwee Transporte sinn en legitime Design, an een Profil, deen fir béides geännert gouf, ass et net.

Test als leschte Schrëtt vun baussen Ärem eegene Netzwierk, well eng Verbindung vun der LAN bannen duerch ee Wee ka geléngen, deen d'Weiderleitung ni beréiert.

Halt den exportéierte Profil, d'Adress vun der Interface an d'Weiderleitungsreegel zesummen an enger Notiz. Wann eng Adress sech ännert, ass déi Notiz den Ënnerscheed tëscht enger Reparatur an enger Widderhuelung. Näischt op dësem Wee huet eng Neiinstallatioun vum Pak verlaangt, wat et wäert ass ze erënneren, ier den nächsten Neistart beschëllegt gëtt.