Synology NAS ar diviem LAN portiem: kāpēc VPN rokasspiediens neizdodas

Klēpjdators ziņo par TLS rokasspiediena kļūmi, kas izklausās pēc sertifikāta problēmas un parasti tā nav. NAS ar diviem Ethernet portiem visbiežākais cēlonis ir maršrutētāja pāradresācija, kas vērsta uz adresi, kurā pakete neklausās, un klienta ziņojums abos gadījumos ir identisks. Pakete neatbild uz otro portu tikai tāpēc, ka abi kabeļi ir pievienoti. Pirms kāds atkārtoti izsniedz sertifikātu, pierādiet, ka pakete vispār sasniedz NAS.

Ko klients ziņo un kas patiesībā notika

OpenVPN klienta rokasspiediena kļūme ir vispārīgs apzīmējums. Tā aptver sertifikāta neatbilstību, transporta neatbilstību, klausītāju citā portā un pāradresāciju, kas neko nenogādāja. Tāpēc ziņojums kā sākumpunkts ir nederīgs un noderīgs tikai kā apstiprinājums. Uztveriet to kā apgalvojumu, ka sesija netika izveidota, un neko konkrētāku.

Ports un piesaistītā adrese ir divi fakti, kas nosaka, vai pakete vispār ieradīsies.

Pierakstiet abus, pirms kaut ko maināt, jo ticams labojums, kas piemērots nepareizajam slānim, ir ceļš, kā piecpadsmit minūšu problēma kļūst par visu pēcpusdienu. Atzīmējiet saskarni, adresi uz tās, portu un transportu. Šīs četras vērtības ir viss ienākošais ceļš, un nākamā sadaļa paskaidro, kur katra no tām dzīvo.

Atrodiet adresi, kurā pakete klausās

DSM numurē Ethernet portus, un katram ir sava adrese. Lapa VPN Server nosauc saskarni, ko izmanto OpenVPN pakalpojums, un tīkla panelis parāda šajā saskarnē konfigurēto adresi. Lasiet tās šajā secībā, no pakalpojuma uz āru, lai aprakstītu to, kas klausās, nevis to, ko pieņemat, ka tam būtu jāizmanto.

Pakalpojums piesaista vienu adresi. Tas, ka abi porti ir savienoti un aktīvi, nepadara pakalpojumu atbildošu uz otro. Statiska adrese vienā saskarnē blakus DHCP adresei otrā dod divas līdzīgas vērtības, kuras vienā mirklī ir viegli sajaukt, it īpaši, ja tās atšķiras tikai pēdējā oktetā. Nokopējiet adresi no paneļa, nevis ierakstiet to no atmiņas. Pēc tam NAS pārbaudiet, kas patiešām ir piesaistīts portam.

sudo ss -lunp | grep 1194

Ja šī izvade nosauc adresi, kuru negaidījāt, pāradresācija ir vērsta uz nepareizo saskarni un viss pārējais šeit ir grāmatvedība. Salabojiet noteikumu, pirms lasāt tālāk, citādi beigās atkļūdosiet sertifikātu tāpēc, ka pakete nekad nav atstājusi maršrutētāju.

Salabojiet pāradresāciju, tad vērojiet skaitītāju

Rediģējiet esošo pāradresācijas noteikumu, nevis pievienojiet otru tam pašam ārējam portam. Divi noteikumi var pastāvēt blakus maršrutētāja tabulā, un vienmēr uzvar tikai viens, kas atkļūdošanas sesiju pārvērš strīdā par to, kurš ir īstais. Novirziet iekšējo adresi uz vērtību, ko nolasījāt no NAS, un atstājiet iekšējo portu atbilstošu tam, kurā pakalpojums klausās.

Ja DSM iegūst šo adresi DHCP ceļā, vispirms izveidojiet rezervāciju. Nomas maiņa klusi salauž pāradresāciju, kas vakar darbojās.

sudo tcpdump -i any -n udp port 1194

Sāciet ierakstu, pirms klients mēģina savienoties, un lasiet avota adresi visā, kas parādās. Pilnīgs nekas nozīmē, ka kaut kas ceļā to izmeta: pāradresācija, DSM ugunsmūris vai saskarne, uz kuru tas bija vērsts, un sertifikāti nevar būt cēlonis, kamēr tas tā ir. Kaut kas, kas ierodas no klienta publiskās adreses bez atbildes, nozīmē, ka NAS saņēma pieprasījumu un izvēlējās neatbildēt. Tie ir dažādi atradumi, un tikai otrais sūta jūs atpakaļ uz pašas paketes iestatījumiem.

Tikai tad skatieties sertifikātus un transportu

Kad paketes ierodas, atkārtoti eksportējiet profilu pēc jebkuras sertifikāta izmaiņas, jo vecais fails joprojām nes to iestādi, ar kuru tas tika izveidots. Ar roku rediģēts profils citam transportam liek klientam gaidīt neesošu klausītāju, un tas ziņo to pašu vispārīgo kļūmi kā viss pārējais. Salīdziniet transportu profila iekšienē ar transportu, kuru pakete ir iestatīta apkalpot. Divi profili diviem transportiem ir likumīgs dizains, un viens profils, kas rediģēts abiem, nav.

Pēdējā solī pārbaudiet ārpus sava tīkla, jo savienojums no LAN iekšienes var izdoties pa ceļu, kas nekad neskar pāradresāciju.

Glabājiet eksportēto profilu, saskarnes adresi un pāradresācijas noteikumu kopā vienā piezīmē. Kad adrese mainās, šī piezīme ir atšķirība starp labojumu un atkārtojumu. Nekas šajā ceļā neprasīja paketes pārinstalēšanu, ko ir vērts atcerēties, pirms tiek vainota nākamā pārstartēšana.