Synology NAS su dviem LAN prievadais: kodėl nepavyksta VPN rankos paspaudimas

Nešiojamasis kompiuteris praneša apie TLS rankos paspaudimo nesėkmę, kuri skamba kaip sertifikato problema ir paprastai ja nėra. NAS su dviem Ethernet prievadais dažniausia priežastis yra maršrutizatoriaus peradresavimas, nukreiptas į adresą, kuriame paketas neklauso, o kliento pranešimas abiem atvejais identiškas. Paketas neatsako antrajame prievade vien todėl, kad abu kabeliai prijungti. Prieš kam nors iš naujo išduodant sertifikatą, įrodykite, kad paketas apskritai pasiekia NAS.

Ką praneša klientas ir kas iš tikrųjų įvyko

OpenVPN kliento rankos paspaudimo nesėkmė yra bendras pavadinimas. Ji apima sertifikato neatitikimą, transporto neatitikimą, kito prievado klausytoją ir peradresavimą, kuris nieko nepristatė. Todėl pranešimas kaip atspirties taškas yra bevertis, o naudingas tik kaip patvirtinimas. Traktuokite jį kaip teiginį, kad sesija nebuvo sukurta, ir nieko konkretesnio.

Prievadas ir susietas adresas yra du faktai, lemiantys, ar paketas apskritai atvyks.

Užsirašykite abu prieš ką nors keisdami, nes tikėtinas pataisymas, pritaikytas ne tam sluoksniui, yra kelias, kuriuo penkiolikos minučių problema tampa visu pusiaudieniu. Pažymėkite sąsają, joje esantį adresą, prievadą ir transportą. Šios keturios reikšmės yra visas įeinantis kelias, o kitame skyriuje paaiškinama, kur kiekviena iš jų gyvena.

Raskite adresą, kuriame paketas klauso

DSM numeruoja Ethernet prievadus ir kiekvienas turi savo adresą. Puslapis VPN Server nurodo sąsają, kurią naudoja OpenVPN paslauga, o tinklo skydelis rodo tame sąsajoje sukonfigūruotą adresą. Skaitykite juos šia tvarka, nuo paslaugos į išorę, kad aprašytumėte tai, kas klauso, o ne tai, ką manote turėtų naudoti.

Paslauga susieja vieną adresą. Tai, kad abu prievadai prijungti ir aktyvūs, nepriverčia paslaugos atsakyti antrajame. Statinis adresas vienoje sąsajoje šalia DHCP adreso kitoje duoda dvi panašias reikšmes, kurias vienu žvilgsniu lengva supainioti, ypač kai jos skiriasi tik paskutiniu oktetu. Nukopijuokite adresą iš skydelio, o ne įveskite jį iš atminties. Tada NAS įsitikinkite, kas iš tikrųjų susieta su prievadu.

sudo ss -lunp | grep 1194

Jei ši išvestis nurodo adresą, kurio nesitikėjote, peradresavimas nukreiptas į netinkamą sąsają ir visa kita čia yra buhalterija. Sutaisykite taisyklę prieš skaitydami toliau, kitaip galiausiai derinsite sertifikatą dėl paketo, kuris niekada neišėjo iš maršrutizatoriaus.

Sutaisykite peradresavimą, tada stebėkite skaitiklį

Redaguokite esamą peradresavimo taisyklę, o ne pridėkite antrą tam pačiam išoriniam prievadui. Dvi taisyklės gali egzistuoti kartu maršrutizatoriaus lentelėje ir visada laimi tik viena, o tai paverčia derinimo sesiją ginču, kuri yra tikroji. Nukreipkite vidinį adresą į reikšmę, kurią perskaitėte iš NAS, ir palikite vidinį prievadą atitinkantį tai, ko klauso paslauga.

Jei DSM gauna tą adresą per DHCP, pirmiausia sukurkite rezervaciją. Nuomos pasikeitimas tyliai sugriauna peradresavimą, kuris vakar veikė.

sudo tcpdump -i any -n udp port 1194

Pradėkite įrašymą prieš klientui bandant prisijungti, ir skaitykite šaltinio adresą tame, kas pasirodys. Visiškas niekas reiškia, kad kažkas kelyje jį išmetė: peradresavimas, DSM užkarda ar sąsaja, į kurią jis buvo nukreiptas, ir sertifikatai negali būti priežastis, kol tai galioja. Kažkas, kas ateina iš kliento viešojo adreso be atsakymo, reiškia, kad NAS gavo užklausą ir nusprendė neatsakyti. Tai skirtingos išvados, ir tik antroji nukreipia jus atgal į paties paketo nustatymus.

Tik tada žiūrėkite sertifikatus ir transportą

Kai paketai atvyksta, iš naujo eksportuokite profilį po bet kokio sertifikato pakeitimo, nes senas failas vis dar turi instituciją, su kuria buvo sukurtas. Rankiniu būdu redaguotas profilis kitam transportui palieka klientą laukti neegzistuojančio klausytojo, ir jis praneša tą pačią bendrą nesėkmę kaip ir visa kita. Palyginkite transportą profilio viduje su transportu, kuriam paketas nustatytas tarnauti. Du profiliai dviem transportams yra teisėtas sprendimas, o vienas profilis, redaguotas abiem, nėra.

Paskutiniu žingsniu išbandykite už savo tinklo ribų, nes ryšys iš LAN vidaus gali pavykti keliu, kuris niekada neliečia peradresavimo.

Laikykite eksportuotą profilį, sąsajos adresą ir peradresavimo taisyklę kartu vienoje pastaboje. Kai adresas pasikeičia, ta pastaba yra skirtumas tarp pataisymo ir pasikartojimo. Niekas šiame kelyje nereikalavo iš naujo įdiegti paketo, ką verta atsiminti prieš kaltinant kitą paleidimą.