Synology NAS b'żewġ portijiet LAN: għaliex il-handshake tal-VPN jonqos

Il-laptop jirrapporta falliment tal-handshake TLS, li jinstema' bħal problema taċ-ċertifikat u normalment mhijiex. Fuq NAS b'żewġ portijiet Ethernet, l-aktar kawża komuni hija forwarding tar-router immirat lejn l-indirizz li l-pakkett mhuwiex jisma' fuqu, u l-messaġġ tal-klijent huwa identiku fiż-żewġ każijiet. Il-pakkett ma jwieġeb fuq it-tieni port biss għax iż-żewġ kejbils huma mdaħħla. Qabel ma xi ħadd jerġa' joħroġ ċertifikat, ipprova li pakkett tasal sa NAS xorta waħda.

X'jirrapporta l-klijent u x'ġara tassew

Falliment tal-handshake minn klijent OpenVPN huwa isem ġenerali. Ikopri nuqqas ta' qbil taċ-ċertifikat, nuqqas ta' qbil tat-trasport, semmiegħ fuq port ieħor u forwarding li ma wassal xejn. Għalhekk il-messaġġ huwa inutli bħala punt tat-tluq u utli biss bħala konferma. Ittrattah bħala dikjarazzjoni li s-sessjoni ma ġietx stabbilita, u xejn aktar speċifiku.

Il-port u l-indirizz marbut huma ż-żewġ fatti li jiddeċiedu jekk pakkett jasalx xorta waħda.

Ikteb it-tnejn qabel ma tbiddel xejn, għax korrezzjoni plawżibbli applikata fuq is-saff żbaljat hija l-mod kif problema ta' ħmistax-il minuta ssir wara nofsinhar sħiħ. Innota l-interface, l-indirizz fuqha, il-port u t-trasport. Dawk l-erba' valuri huma l-passaġġ kollu tad-dħul, u s-sezzjoni li jmiss tispjega fejn tgħix kull waħda minnhom.

Sib l-indirizz li l-pakkett jisma' fuqu

DSM jinnumera l-portijiet Ethernet u kull waħda ġġorr l-indirizz tagħha. Il-paġna VPN Server issemmi l-interface li juża s-servizz OpenVPN, u l-pannell tan-netwerk juri l-indirizz konfigurat fuq dik l-interface. Aqrahom f'dik l-ordni, mis-servizz 'il barra, sabiex tiddeskrivi dak li qed jisma' minflok dak li taħseb li għandu juża.

Is-servizz jorbot indirizz wieħed. Il-fatt li ż-żewġ portijiet huma konnessi u attivi ma jagħmilx lis-servizz iwieġeb fuq it-tieni. Indirizz statiku fuq interface waħda ħdejn indirizz DHCP fuq l-oħra jagħtik żewġ valuri simili li jitħawdu faċilment b'daqqa t'għajn, speċjalment meta jkunu differenti biss fl-aħħar ottett. Ikkopja l-indirizz mill-pannell minflok ma tikteb mill-memorja. Imbagħad ikkonferma fuq in-NAS x'inhu tassew marbut mal-port.

sudo ss -lunp | grep 1194

Jekk dak l-output issemmi indirizz li ma kontx tistenna, il-forwarding hija mmirata lejn l-interface żbaljata u kull ħaġa oħra hawn hija kontabilità. Sewwi r-regola qabel ma taqra aktar, inkella tispiċċa tiddenubba ċertifikat minħabba pakkett li qatt ma ħareġ mir-router.

Sewwi l-forwarding, imbagħad ħares lejn il-kontatur

Editja r-regola tal-forwarding eżistenti minflok ma żżid it-tieni waħda għall-istess port estern. Żewġ regoli jistgħu jikkoeżistu fit-tabella tar-router u dejjem waħda biss tirbaħ, li tibdel sessjoni ta' debugging f'argument dwar liema hija vera. Idderieġi l-indirizz intern lejn il-valur li qrajt min-NAS, u ħalli l-port intern jaqbel ma' dak li jisma' s-servizz.

Jekk DSM jikseb dak l-indirizz permezz ta' DHCP, oħloq riżerva l-ewwel. Bidla fil-kirja tkisser bil-kwiet forwarding li kienet taħdem ilbieraħ.

sudo tcpdump -i any -n udp port 1194

Ibda l-qabda qabel ma l-klijent jipprova jgħaqqad, u aqra l-indirizz tas-sors f'kull ma jidher. Xejn xejn ifisser li xi ħaġa tul it-triq warrbitha: il-forwarding, il-firewall ta' DSM jew l-interface li kienet immirata lejha, u ċ-ċertifikati ma jistgħux ikunu l-kawża sakemm dan jibqa' hekk. Xi ħaġa li tasal mill-indirizz pubbliku tal-klijent mingħajr tweġiba tfisser li n-NAS irċieva t-talba u għażel li ma jwieġebx. Dawn huma sejbiet differenti, u t-tieni waħda biss tibgħat lura lejn is-settings tal-pakkett stess.

Hekk biss ħares lejn iċ-ċertifikati u t-trasport

Malli jaslu l-pakketti, erġa' esporta l-profil wara kull bidla fiċ-ċertifikat, għax il-fajl antik għadu jġorr l-awtorità li biha nħoloq. Profil editjat bl-idejn għal trasport differenti jħalli lill-klijent jistenna semmiegħ li ma jeżistix, u jirrapporta l-istess falliment ġeneriku bħal kull ħaġa oħra. Qabbel it-trasport ġewwa l-profil mat-trasport li l-pakkett huwa ssettjat biex iservi. Żewġ profili għal żewġ trasporti huma disinn leġittimu, u profil wieħed editjat għaż-żewġ mhuwiex.

Ittestja minn barra n-netwerk tiegħek bħala l-aħħar pass, għax konnessjoni minn ġewwa l-LAN tista' tirnexxi fuq passaġġ li qatt ma jmiss il-forwarding.

Żomm il-profil esportat, l-indirizz tal-interface u r-regola tal-forwarding flimkien f'nota waħda. Meta jinbidel indirizz, dik in-nota hija d-differenza bejn tiswija u ripetizzjoni. Xejn f'dan il-passaġġ ma kien jeħtieġ installazzjoni mill-ġdid ta' pakkett, li tiswa li tiftakar qabel ma jkun imħatteb l-istartjar mill-ġdid li jmiss.