OpenVPN rokasspiediens Synology neizdodas? Pārbaudiet LAN pāradresāciju

Jūsu klēpjdators ziņo, ka TLS rokasspiediens neizdevās, tāpēc kārdinājums ir pārbūvēt sertifikātus. Pirms tam uzdodiet garlaicīgāku jautājumu: kurā Ethernet portā Synology patiešām klausās? NAS ar diviem LAN portiem ir divas adreses, un DSM VPN Server pakotne piesaista savu OpenVPN klausītāju vienai no tām. Kad maršrutētājs pārsūta 1194 uz otru adresi, neviens pakets nekad nesasniedz pakalpojumu, un klientam nav ar ko sarunāties.

Kļūdas teksts maldina, jo apraksta pēdējo, ko klients mēģināja, nevis pirmo, kas nogāja greizi. Divas minūtes, salīdzinot pakotnes lapu ar maršrutētāja noteikumu, to atrisina.

Atrodiet adresi, kurai klausītājs ir piesaistīts

DSM savus portus sauc par LAN 1 un LAN 2, un katram ir sava adrese un apakštīkls. Atveriet VPN Server, izlasiet saskarni, kas nosaukta OpenVPN cilnē, pēc tam atveriet Vadības paneli un pierakstiet IPv4 adresi, kāda DSM ir tajā pašā saskarnē. Tieši šīs divas vērtības, nevis NAS resursdatora nosaukums, ir tas, kas pāradresācijai jānosauc.

Otrs pievienots kabelis nerada otru klausītāju. Abi savienojumi var izskatīties pievienoti, kamēr tikai viena adrese pieņem satiksmi, un, ja abas saskarnes atrodas vienā apakštīklā, abas adreses atšķiras ar vienu ciparu, ko neviens pirms noteikuma saglabāšanas vēlreiz neizlasa.

Apskatiet pašu ligzdu caur SSH, jo šī ir vienīgā vieta, kas parāda, kam dēmons patiešām piesaistījās, nevis to, ko domā iestatījumu lapa.

sudo netstat -anp | grep 1194

Rediģējiet esošo pāradresāciju, nevis pievienojiet vēl vienu

Divi noteikumi vienam ārējam portam atstāj maršrutētājam brīvību izvēlēties, un tas, kuru tas izvēlēsies, var mainīties pēc aparātprogrammatūras atjauninājuma vai pārstartēšanas. Atveriet jau esošo noteikumu, nomainiet tā iekšējo adresi, saglabājiet, pēc tam atveriet to vēlreiz un nolasiet vērtību. Noteikuma nosaukšana pakalpojuma vārdā palīdz, jo piecu identisku pāradresāciju saraksts ir veids, kā nepareizais izdzīvo.

external 1194/udp  ->  192.0.2.20:1194/udp

Turiet iekšējo portu vienādu ar klausīšanās portu un turiet protokolu konsekventu. UDP 1194 ir noklusējuma klausītājs, savukārt TCP profilam ir vajadzīgs savs klausītājs pakotnes pusē un atbilstoša pāradresācija maršrutētājā. TCP pāradresēšana uz pakalpojumu, kas klausās tikai UDP, dod klusumu, nevis kļūdu.

Ja NAS adrese nāk no DHCP, rezervējiet to pirms noteikuma saglabāšanas. Kad noma beidzas, adrese tiek piešķirta no jauna, pāradresācija joprojām norāda uz veco vērtību, un rokasspiediens sāk neizdoties dienā, kad neviens NAS neaiztika. Statiska konfigurācija NAS pusē atrisina to pašu problēmu, ja vien adrese atrodas ārpus maršrutētāja DHCP diapazona.

Pierādiet, vai paketes vispār ierodas

Vispirms sāciet uztveršanu NAS, pēc tam pieslēdzieties no klienta un nolasiet avota adresi izvadā. Uztveršana, kas sākta pēc kļūmes, neko nerāda un neko nepierāda.

sudo tcpdump -i any -n udp port 1194

Klusums nozīmē, ka satiksme nomira pirms pakalpojuma: nepareiza iekšējā adrese, aizvērts ports DSM ugunsmūrī vai administratīvi izslēgta saskarne. Paketes izvadā nozīmē, ka pāradresācija darbojas, un atlikušā kļūme atrodas virs tīkla slāņa, kas ir daudz mazāka meklēšanas joma.

Uztveršana arī nosauc saskarni, pa kuru pakete ieradās, un šī vienīgā detaļa atdala noteikumu, kas vērsts uz nepareizo portu, no noteikuma, kas vērsts uz portu, kurš nav aktivizēts. Vērojiet paša maršrutētāja skaitītāju tajā pašā mēģinājumā, ja tas to rāda. Skaitītājs, kas nekustas, kamēr uztveršana paliek tukša, norāda uz maršrutētāju, bet skaitītājs, kas kustas ar tukšu uztveršanu, norāda uz ceļu starp abām ierīcēm.

Kad paketes ierodas, pārstājiet vainot pāradresāciju

Profils ir nākamais aizdomās turamais, un parastais iemesls ir vecums. Eksportēts .ovpn fails satur iestādi un materiālu no eksporta brīža, tāpēc pakotne, kuras sertifikāts vēlāk tika nomainīts, noraidīs klientu, kas joprojām nēsā veco kopiju.

Transports ir otra neatbilstība, ko ir vērts pārbaudīt tieši, jo profils un pakotne tiek rediģēti dažādās vietās. Profila maiņa no UDP uz TCP, pakotni nepārslēdzot, liek klientam gaidīt klausītāju, kura nav, un klients ziņo to pašu vispārīgo rokasspiediena tekstu, ko ziņo par visu pārējo. Izlasiet proto rindu failā, pēc tam apskatiet servera lapā izvēlēto protokolu, un tikai tad seciniet, ka tie sakrīt. DSM ugunsmūra noteikumu lasīšana ir trešā pārbaude: noteikumu, kas ļauj portam no vietējā apakštīkla, bet ne no interneta, ir viegli atstāt pēc testēšanas, un tas rada savienojumu, kas darbojas no virtuves un neizdodas visur citur.

Pārbaudiet ceļu, kuru attālināts lietotājs patiešām iet

Klients tajā pašā LAN var sasniegt NAS, pat neaizskarot pāradresāciju, tāpēc tas neko nepierāda par attālinātu piekļuvi. Izmantojiet tālruni ar izslēgtu Wi-Fi vai pajautājiet kādam ārpus tīkla, un vērojiet maršrutētāja skaitītāju šajā mēģinājumā. Ja attālinātais mēģinājums neizdodas, kamēr vietējais izdodas, pāradresācija vai ugunsmūris joprojām ir spēlē.

Pierakstiet darba stāvokli, kamēr tas darbojas: ārējais ports, iekšējā adrese, protokols, pakotnes saskarne, kā arī profila nosaukums un eksporta datums. Kad rokasspiediens atkal neizdosies, starpība starp šo pierakstu un pašreizējo konfigurāciju ir kļūme, un nevienam nav no jauna jāatklāj, kuru no diviem portiem pakalpojums izmanto.