Synology NAS со два LAN порта: зошто ракувањето со VPN не успева

Преносниот компјутер пријавува неуспех на TLS ракување, што звучи како проблем со сертификат и обично не е. На NAS со два Ethernet порта најчестата причина е препраќање на рутерот насочено кон адресата на која пакетот не слуша, а пораката на клиентот е идентична во двата случаи. Пакетот не одговара на вториот порт само затоа што двата кабли се приклучени. Пред некој повторно да издаде сертификат, докажете дека пакет воопшто стигнува до NAS.

Што пријавува клиентот и што навистина се случило

Неуспехот на ракување од OpenVPN клиент е општ поим. Опфаќа несовпаѓање на сертификат, несовпаѓање на транспорт, слушател на друг порт и препраќање што ништо не доставило. Затоа пораката е бескорисна како почетна точка и корисна само како потврда. Третирајте ја како изјава дека сесијата не е воспоставена, и ништо поконкретно.

Портот и врзаната адреса се двата факти што одлучуваат дали пакет воопшто ќе пристигне.

Запишете ги двете пред да промените нешто, бидејќи веродостојна поправка применета на погрешниот слој е патот по кој проблем од петнаесет минути станува цело попладне. Забележете го интерфејсот, адресата на него, портот и транспортот. Тие четири вредности се целиот влезен пат, а следниот дел објаснува каде живее секоја од нив.

Најдете ја адресата на која пакетот слуша

DSM ги нумерира Ethernet портовите и секој носи своја адреса. Страницата VPN Server го наведува интерфејсот што го користи OpenVPN услугата, а мрежниот панел ја прикажува адресата конфигурирана на тој интерфејс. Читајте ги по тој редослед, од услугата кон надвор, за да опишете што слуша, наместо што претпоставувате дека треба да користи.

Услугата врзува една адреса. Тоа што двата порта се поврзани и активни не прави услугата да одговара на вториот. Статична адреса на еден интерфејс покрај DHCP адреса на другиот ви дава две слични вредности што лесно се заменуваат на прв поглед, особено кога се разликуваат само во последниот октет. Копирајте ја адресата од панелот, наместо да ја пишувате од меморија. Потоа на NAS потврдете што е навистина врзано за портот.

sudo ss -lunp | grep 1194

Ако овој излез наведе адреса што не сте ја очекувале, препраќањето е насочено кон погрешниот интерфејс и останатото овде е книговодство. Поправете го правилото пред да читате понатаму, инаку на крајот ќе го дебагирате сертификатот поради пакет што никогаш не го напуштил рутерот.

Поправете го препраќањето, потоа гледајте го бројачот

Уредувајте го постоечкото правило за препраќање, наместо да додадете второ за истиот надворешен порт. Две правила можат да постојат заедно во табелата на рутерот и секогаш победува само едно, што ја претвора сесијата за дебагирање во расправа за тоа кое е вистинското. Насочете ја внатрешната адреса кон вредноста што ја прочитавте од NAS, и оставете внатрешниот порт да одговара на тоа што услугата го слуша.

Ако DSM ја добива таа адреса преку DHCP, прво создадете резервација. Промената на закупот тивко го крши препраќањето што работело вчера.

sudo tcpdump -i any -n udp port 1194

Започнете со снимање пред клиентот да се обиде да се поврзе, и читајте ја изворната адреса во она што ќе се појави. Целосно ништо значи дека нешто по патот го отфрлило: препраќањето, ѕидот за заштита на DSM или интерфејсот кон кој било насочено, и сертификатите не можат да бидат причина додека тоа важи. Нешто што доаѓа од јавната адреса на клиентот без одговор значи дека NAS го примил барањето и избрал да не одговори. Тоа се различни наоди, и само вториот ве враќа во поставките на самиот пакет.

Дури тогаш погледнете сертификати и транспорт

Штом пристигнат пакети, повторно извезете го профилот по секоја промена на сертификат, бидејќи старата датотека уште го носи органот со кој е создадена. Рачно уреден профил за друг транспорт го остава клиентот да чека слушател што не постои, и пријавува ист општ неуспех како и останатото. Споредете го транспортот во профилот со транспортот што пакетот е поставен да го служи. Два профила за два транспорти се легитимен дизајн, а еден профил уреден за двата не е.

Тестирајте од надвор од сопствената мрежа како последен чекор, бидејќи врската од внатрешноста на LAN може да успее по пат што никогаш не го допира препраќањето.

Чувајте го извезениот профил, адресата на интерфејсот и правилото за препраќање заедно во една белешка. Кога адресата се менува, таа белешка е разликата меѓу поправка и повторување. Ништо на овој пат не бараше повторно инсталирање на пакет, што вреди да се запамети пред следното рестартирање да биде обвинето.