OpenVPN-Handshake op Synology schläit fehl? Kontrolléiert d'LAN-Weiderleedung

Ären Laptop mellt, datt den TLS-Handshake gescheitert ass, dofir ass d'Versuchung d'Zertifikater nei opzebauen. Frot virdru méi langweileg: op wéi engem Ethernet-Port lauschtert d'Synology eigentlech? En NAS mat zwee LAN-Porte huet zwou Adressen, a säi VPN Server-Pak vum DSM bënnt säin OpenVPN-Lauschterer un eng dovun. Wann de Router 1194 op déi aner Adress weiderleet, erreecht keen Pak d'Service, an de Client huet näischt fir ze verhandelen.

Den Feelertext féiert an d'Ier, well en dat Lescht beschreift, wat de Client probéiert huet, net dat Éischt, wat schief gaang ass. Zwee Minutten d'Pakessäit mat der Routerregel ze vergläichen entscheeden et.

Fannt d'Adress, un déi de Lauschterer gebonnen ass

DSM nennt seng Porten LAN 1 a LAN 2, an all huet eng eege Adress a Subnet. Maacht VPN Server op, liest d'Schnittstell, déi am OpenVPN-Tab genannt gëtt, maacht duerno d'Kontrollpanel op a schreift d'IPv4-Adress op, déi DSM op derselwechter Schnittstell huet. Genau dës zwee Wäerter, net den Hostnumm vum NAS, muss d'Weiderleedung nennen.

En zweete Kabel deen ugeschloss ass schaaft keen zweeten Empfänger. Béid Verbindunge kënnen als verbonne gewise ginn, während nëmmen eng Adress den Traffic unhëlt, a wann béid Schnittstelle am selwechte Subnet sinn, ënnerscheede sech déi zwou Adressen ëm eng Ziffer, déi kee virum Späichere vun enger Regel nach eng Kéier liest.

Kuckt de Socket selwer iwwer SSH un, well dat ass déi eenzeg Plaz, déi weist, u wat den Daemon sech tatsächlech gebonnen huet, an net wat d'Astellungsäit wëll.

sudo netstat -anp | grep 1194

Ännert déi existent Weiderleedung, amplaz eng aner bäizesetzen

Zwou Regelen fir een externen Port loossen dem Router fräi Wiel, an déi hie wielt kann sech no engem Firmwareupdate oder engem Neistart änneren. Maacht d'Regel op, déi et schonn gëtt, ännert hir intern Adress, späichert, maacht se duerno nees op a liest de Wäert. Et hëlleft, d'Regel nom Service ze nennen, well eng Lëscht vu fënnef identesche Weiderleedunge ass de Wee, wéi déi falsch iwwerlieft.

external 1194/udp  ->  192.0.2.20:1194/udp

Halt den internen Port gläich mam Lauschport, a halt de Protokoll konsequent. UDP 1194 ass de Standard-Lauschterer, während en TCP-Profil säin eegenen Empfänger op der Pakessäit an eng entspriechend Weiderleedung um Router brauch. TCP op e Service weiderzeleeden, deen nëmmen op UDP lauschtert, gëtt Stille, keen Fehler.

Wann d'NAS-Adress vum DHCP kënnt, reservéiert se, ier d'Regel gespäichert gëtt. Wann d'Lease ofleeft, gëtt d'Adress nei zougewisen, d'Weiderleedung weist weider op den ale Wäert, an den Handshake fänkt un ze scheiteren op engem Dag, wou keen den NAS beréiert huet. Eng statesch Konfiguratioun op der NAS-Säit léist dee selwechte Problem, soulaang d'Adress ausserhalb vum DHCP-Beräich vum Router läit.

Beweist, ob d'Päck iwwerhaapt ukommen

Startt fir d'éischt eng Opnam um NAS, verbënnt Iech duerno vum Client, a liest d'Quelladress an der Ausgab. Eng Opnam, déi nom Feeler gestart ass, weist näischt a beweist näischt.

sudo tcpdump -i any -n udp port 1194

Stille bedeit, datt den Traffic virum Service gestuerwen ass: eng falsch intern Adress, en zouenen Port an der DSM-Firewall, oder eng Schnittstell, déi administrativ ausgeschalt ass. Päck an der Ausgab bedeiten, datt d'Weiderleedung fonctionnéiert, an de Rescht vum Feeler läit iwwer der Netzwierkschicht, wat e vill méi klengt Sichgebitt ass.

D'Opnam nennt och d'Schnittstell, op där de Pak ukomm ass, an dës eenzeg Detail trennt eng Regel, déi op de falschen Port geriicht ass, vun enger Regel, déi op e Port geriicht ass, deen net op ass. Kuckt wärend dem selwechten Versuch de Compteur vum Router selwer un, wann en een weist. E Compteur, dee sech net beweegt, wärend d'Opnam eidel bleift, deit op de Router, während e Compteur, dee sech mat enger eideler Opnam beweegt, op de Wee tëschent den zwou Apparater deit.

Wann d'Päck ukommen, gitt op, d'Weiderleedung ze beschëllegen

De Profil ass deen nächste Verdächtegen, an de gewéinlechen Grond ass den Alter. Eng exportéiert .ovpn-Datei enthält d'Autoritéit an d'Material vum Moment vum Export, dofir wäert e Pak, deem säin Zertifikat spéider ersat gouf, e Client ofleenen, dee nach déi al Kopie dréit.

Den Transport ass déi aner Ongereimtheet, déi et derwäert ass, se ausdrécklech ze kontrolléieren, well de Profil an de Pak op verschiddene Plazen geännert ginn. E Profil vun UDP op TCP ëmstellen, ouni de Pak ze wiesselen, léisst de Client op en Empfänger waarden, deen et net gëtt, an de Client mellt dee selwechte genereschen Handshaketext, deen en och fir alles anescht mellt. Liest d'proto-Linn an der Datei, kuckt duerno de Protokoll, deen op der Serversäit gewielt ass, a schléisst eréischt duerno, datt se iwwerenee stëmmen. D'Firewallregelen vum DSM ze liesen ass déi drëtt Kontroll: eng Regel, déi de Port aus dem lokale Subnet awer net aus dem Internet erlaabt, bleift no den Tester liicht leien, an et entsteet eng Verbindung, déi aus der Kiche fonctionnéiert an iwwerall soss scheitert.

Test de Wee, deen en Remote-Benotzer wierklech hëlt

E Client am selwechte LAN kann den NAS erreechen, ouni je d'Weiderleedung unzeréieren, dofir beweist dat näischt iwwer Remote-Zougang. Benotzt en Telefon mat ausgeschaltenem Wi-Fi, oder frot een ausserhalb vum Netzwierk, a kuckt wärend deem Versuch de Compteur vum Router un. Wa vum Fernversuch scheitert, während de lokalen een gewënnt, sinn d'Weiderleedung oder d'Firewall nach am Bild.

Schreift de funktionéierende Zoustand op, wärend en fonctionnéiert: externen Port, intern Adress, Protokoll, Pak-Schnittstell, an den Numm vum Profil an den Exportdatum. Wann den Handshake nees scheitert, ass den Ënnerscheed tëschent där Notiz an der aktueller Konfiguratioun de Feeler, an et muss kee nees erausfannen, wéi engen vun den zwee Porten de Service benotzt.