L-handshake tal-OpenVPN fuq Synology qed ifalli? Iċċekkja t-trażmissjoni tal-LAN

Il-laptop tiegħek jirrapporta li l-handshake TLS falla, allura t-tentazzjoni hija li terġa' tibni ċ-ċertifikati. Qabel dan, staqsi mistoqsija aktar tedjanti: fuq liema port Ethernet is-Synology qed jisma' tassew? NAS b'żewġ portijiet LAN għandu żewġ indirizzi, u l-pakkett VPN Server tad-DSM jorbot il-listeners OpenVPN tiegħu ma' wieħed minnhom. Meta r-router jittrażmetti 1194 lejn l-indirizz l-ieħor, l-ebda pakkett ma jasal qatt għas-servizz, u l-klijent m'għandu xejn biex jiddiskuti.

It-test tal-iżball iqarraq għax jiddeskrivi l-aħħar ħaġa li pprova l-klijent, mhux l-ewwel waħda li marret ħażin. Żewġ minuti ta' tqabbil tal-paġna tal-pakkett mar-regola tar-router isolvuha.

Sib l-indirizz li miegħu huwa marbut il-listeners

DSM isemmi l-portijiet tiegħu bħala LAN 1 u LAN 2, u kull wieħed iġorr indirizz u sotto-netwerk separati. Iftaħ VPN Server, aqra l-interface imsemmija fit-tab OpenVPN, imbagħad iftaħ il-Pannell tal-Kontroll u nnota l-indirizz IPv4 li għandu DSM fuq dik l-istess interface. Dawn iż-żewġ valuri, mhux l-isem tal-host tal-NAS, huma li t-trażmissjoni għandha ssemmi.

Tieni kejbil imdaħħal ma joħloqx it-tieni listeners. Iż-żewġ konnessjonijiet jistgħu jidhru konnessi waqt li indirizz wieħed biss jaċċetta t-traffiku, u meta ż-żewġ interfaces ikunu fl-istess sotto-netwerk iż-żewġ indirizzi jvarjaw b'ċifra waħda li ħadd ma jaqra mill-ġdid qabel ma tiġi salvata regola.

Ħares lejn is-socket stess permezz ta' SSH, għax dan huwa l-uniku post li juri miegħu x'inhuma l-daemon verament marbut, mhux x'biħsiebu l-paġna tas-settings.

sudo netstat -anp | grep 1194

Editja t-trażmissjoni eżistenti minflok iżżid oħra

Żewġ regoli għal port estern wieħed iħallu r-router ħieles li jagħżel, u liema jagħżel jista' jinbidel wara aġġornament tal-firmware jew restart. Iftaħ ir-regola li diġà teżisti, ibdel l-indirizz intern tagħha, issejvja, imbagħad iftaħha mill-ġdid u aqra l-valur. L-isem tar-regola misluf mis-servizz jgħin, għax lista ta' ħames trażmissjonijiet identiċi hija l-mod kif tgħix dik żbaljata.

external 1194/udp  ->  192.0.2.20:1194/udp

Żomm il-port intern daqs il-port tal-listeners, u żomm il-protokoll konsistenti. UDP 1194 huwa l-listeners default, filwaqt li profil TCP jeħtieġ il-listeners tiegħu fuq in-naħa tal-pakkett u trażmissjoni li taqbel fuq ir-router. It-trażmissjoni ta' TCP lejn servizz li jisma' biss UDP tagħti silenzju, mhux żball.

Jekk l-indirizz tal-NAS jiġi mid-DHCP, irriżervah qabel ma tiġi salvata r-regola. L-iskadenza tal-kirja terġa' tassenja l-indirizz, it-trażmissjoni tibqa' tipponta lejn il-valur l-antik, u l-handshake jibda jonqos f'ġurnata li fiha ħadd ma mess il-NAS. Konfigurazzjoni statika fuq in-naħa tal-NAS issolvi l-istess problema, sakemm l-indirizz ikun barra mill-firxa DHCP tar-router.

Ipprova jekk il-pakketti jaslux xejn

Ibda qabda fuq il-NAS l-ewwel, imbagħad qabbad mill-klijent, u aqra l-indirizz tas-sors fl-output. Qabda mibdija wara l-falliment ma turi xejn u ma tipprova xejn.

sudo tcpdump -i any -n udp port 1194

Is-silenzju jfisser li t-traffiku miet qabel is-servizz: indirizz intern żbaljat, port magħluq fil-firewall tad-DSM, jew interface mitfija amministrattivament. Pakketti fl-output ifissru li t-trażmissjoni taħdem, u l-ħsara li tibqa' tinsab 'il fuq mis-saff tan-netwerk, li hija żona ta' tfittxija ħafna iżgħar.

Il-qabda ssemmi wkoll l-interface li wasal fuqha l-pakkett, u dak id-dettall wieħed jifred regola diretta lejn il-port żbaljat minn regola diretta lejn port li mhuwiex attiv. Osserva l-counter tar-router stess waqt l-istess attentat jekk juri wieħed. Counter li ma jiċċaqlaqx waqt li l-qabda tibqa' vojta jipponta lejn ir-router, filwaqt li counter li jiċċaqlaq b'qabda vojta jipponta lejn it-triq bejn iż-żewġ apparati.

Meta jaslu l-pakketti, tibqax tagħti l-ħtija lit-trażmissjoni

Il-profil huwa l-suspect li jmiss, u r-raġuni tas-soltu hija l-età. Fajl .ovpn esportat fih l-awtorità u l-materjal mill-mument tal-esportazzjoni, għalhekk pakkett li ċ-ċertifikat tiegħu nbidel aktar tard jirrifjuta klijent li għadu jġorr il-kopja l-antika.

It-trasport huwa d-diverġenza l-oħra li jiswa li tiġi ċċekkjata b'mod espliċitu, għax il-profil u l-pakkett jiġu editjati f'postijiet differenti. Il-bidla ta' profil minn UDP għal TCP mingħajr ma jinbidel il-pakkett tħalli lill-klijent jistenna listeners li ma jeżistix, u l-klijent jirrapporta l-istess test handshake ġeneriku li jirrapporta għal kollox ieħor. Aqra l-linja proto fil-fajl, imbagħad ħares lejn il-protokoll magħżul fil-paġna tas-server, u biss imbagħad ikkonkludi li jaqblu. Il-qari tar-regoli tal-firewall tad-DSM huwa t-tielet verifika: regola li tippermetti l-port mis-sotto-netwerk lokali iżda mhux mill-internet hija faċli li titħalla warajk wara t-testijiet, u tagħti konnessjoni li taħdem mill-kċina u tonqos minn kullimkien ieħor.

Ittestja t-triq li utent remot jagħmel tassew

Klijent fl-istess LAN jista' jasal għall-NAS mingħajr ma qatt imiss it-trażmissjoni, għalhekk ma jipprova xejn dwar aċċess remot. Uża telefon b'Wi-Fi mitfi, jew staqsi lil xi ħadd barra n-netwerk, u osserva l-counter tar-router waqt dak l-attentat. Jekk l-attentat remot jonqos filwaqt li dak lokali jirnexxi, it-trażmissjoni jew il-firewall għadhom fl-istampa.

Irrekordja l-istat li jaħdem waqt li jaħdem: port estern, indirizz intern, protokoll, interface tal-pakkett, u l-isem tal-profil u d-data tal-esportazzjoni. Meta l-handshake jonqos mill-ġdid, id-differenza bejn dik in-nota u l-konfigurazzjoni attwali hija l-ħsara, u ħadd m'għandu jerġa' jiskopri liema mill-portijiet tuża s-servizz.