NAS Synology dengan dua port LAN: mengapa jabat tangan VPN gagal

Komputer riba melaporkan kegagalan jabat tangan TLS, yang kedengaran seperti masalah sijil dan biasanya bukan. Pada NAS dengan dua port Ethernet, punca paling biasa ialah penghantaran router yang ditujukan ke alamat yang paket tidak mendengar, dan mesej klien adalah sama dalam kedua-dua kes. Paket tidak menjawab pada port kedua hanya kerana kedua-dua kabel dipasang. Sebelum sesiapa mengeluarkan semula sijil, buktikan bahawa paket benar-benar sampai ke NAS.

Apa yang dilaporkan klien dan apa yang sebenarnya berlaku

Kegagalan jabat tangan daripada klien OpenVPN ialah istilah umum. Ia merangkumi ketidakpadanan sijil, ketidakpadanan pengangkutan, pendengar pada port lain dan penghantaran yang tidak menyampaikan apa-apa. Itulah sebabnya mesej itu tidak berguna sebagai titik permulaan dan berguna hanya sebagai pengesahan. Anggap ia sebagai pernyataan bahawa sesi tidak terbentuk, dan tiada yang lebih khusus.

Port dan alamat terikat ialah dua fakta yang menentukan sama ada paket akan tiba.

Catat kedua-duanya sebelum mengubah apa-apa, kerana pembetulan munasabah yang digunakan pada lapisan yang salah ialah cara masalah lima belas minit menjadi seluruh petang. Catat antara muka, alamat padanya, port dan pengangkutan. Empat nilai itu ialah keseluruhan laluan masuk, dan bahagian seterusnya menerangkan di mana setiap satu berada.

Cari alamat tempat paket mendengar

DSM menomborkan port Ethernet dan setiap satu membawa alamatnya sendiri. Halaman VPN Server menamakan antara muka yang digunakan oleh perkhidmatan OpenVPN, dan panel rangkaian menunjukkan alamat yang dikonfigurasikan pada antara muka itu. Bacalah mengikut urutan itu, daripada perkhidmatan ke luar, supaya anda menerangkan apa yang mendengar dan bukannya apa yang anda anggap sepatutnya digunakan.

Perkhidmatan mengikat satu alamat. Kedua-dua port bersambung dan aktif tidak membuatkan perkhidmatan menjawab pada port kedua. Alamat statik pada satu antara muka di sebelah alamat DHCP pada yang lain memberi anda dua nilai serupa yang mudah tertukar pada pandangan pertama, terutamanya apabila ia berbeza hanya pada oktet terakhir. Salin alamat daripada panel dan bukannya menaipnya daripada ingatan. Kemudian sahkan pada NAS apa yang sebenarnya terikat pada port.

sudo ss -lunp | grep 1194

Jika output itu menamakan alamat yang anda tidak jangkakan, penghantaran ditujukan kepada antara muka yang salah dan segala-galanya di sini hanyalah perakaunan. Betulkan peraturan sebelum membaca lebih jauh, jika tidak anda akan berakhir menyahpepijat sijil kerana paket yang tidak pernah meninggalkan router.

Betulkan penghantaran, kemudian perhatikan pembilang

Sunting peraturan penghantaran sedia ada dan bukannya menambah satu lagi untuk port luaran yang sama. Dua peraturan boleh wujud bersama dalam jadual router dan hanya satu yang menang, yang mengubah sesi nyahpepijat menjadi perdebatan tentang mana yang sebenar. Halakan alamat dalaman kepada nilai yang anda baca daripada NAS, dan biarkan port dalaman sepadan dengan apa yang perkhidmatan dengar.

Jika DSM memperoleh alamat itu melalui DHCP, cipta tempahan terlebih dahulu. Perubahan pajakan memecahkan penghantaran yang berfungsi semalam secara senyap.

sudo tcpdump -i any -n udp port 1194

Mulakan tangkapan sebelum klien cuba menyambung, dan baca alamat sumber dalam apa sahaja yang muncul. Tiada apa-apa sama sekali bermakna sesuatu di laluan membuangnya: penghantaran, tembok api DSM atau antara muka yang dituju, dan sijil tidak boleh menjadi punca selagi itu berlaku. Sesuatu yang datang daripada alamat awam klien tanpa balasan bermakna NAS menerima permintaan dan memilih untuk tidak menjawab. Itu penemuan yang berbeza, dan hanya yang kedua menghantar anda kembali ke tetapan paket itu sendiri.

Hanya selepas itu semak sijil dan pengangkutan

Sebaik sahaja paket tiba, eksport semula profil selepas sebarang perubahan sijil, kerana fail lama masih membawa autoriti yang dengannya ia dicipta. Profil yang disunting tangan untuk pengangkutan lain membiarkan klien menunggu pendengar yang tidak wujud, dan ia melaporkan kegagalan umum yang sama seperti yang lain. Bandingkan pengangkutan di dalam profil dengan pengangkutan yang paket ditetapkan untuk melayani. Dua profil untuk dua pengangkutan ialah reka bentuk yang sah, dan satu profil yang disunting untuk kedua-duanya bukan.

Uji dari luar rangkaian anda sendiri sebagai langkah terakhir, kerana sambungan dari dalam LAN boleh berjaya melalui laluan yang tidak pernah menyentuh penghantaran.

Simpan profil yang dieksport, alamat antara muka dan peraturan penghantaran bersama dalam satu nota. Apabila alamat berubah, nota itu ialah perbezaan antara pembetulan dan ulangan. Tiada apa-apa di laluan ini memerlukan pemasangan semula paket, yang wajar diingati sebelum but seterusnya dipersalahkan.