दुई LAN पोर्ट भएको Synology NAS: VPN ह्यान्डसेक किन असफल हुन्छ

ल्यापटपले TLS ह्यान्डसेक असफलताको रिपोर्ट गर्छ, जुन प्रमाणपत्रको समस्या जस्तो सुनिन्छ र सामान्यतया हुँदैन। दुई Ethernet पोर्ट भएको NAS मा सबैभन्दा सामान्य कारण प्याकेजले नसुन्ने ठेगानातर्फ लक्षित राउटर फर्वार्ड हो, र क्लाइन्टको सन्देश दुवै अवस्थामा एउटै हुन्छ। दुवै केबल जोडिएको मात्र कारणले प्याकेज दोस्रो पोर्टमा जवाफ दिँदैन। कसैले प्रमाणपत्र पुनः जारी गर्नुअघि, प्याकेट NAS सम्म पुग्छ भन्ने प्रमाणित गर्नुहोस्।

क्लाइन्टले के रिपोर्ट गर्छ र वास्तवमा के भयो

OpenVPN क्लाइन्टको ह्यान्डसेक असफलता एउटा सामान्य शब्द हो। यसले प्रमाणपत्रको अमिल्दोता, ट्रान्सपोर्टको अमिल्दोता, अर्को पोर्टमा सुन्ने र केही पनि नपुर्‍याउने फर्वार्ड समेट्छ। त्यसैले सन्देश सुरुवाती विन्दुको रूपमा बेकार छ र पुष्टिको रूपमा मात्र उपयोगी छ। यसलाई सत्र स्थापना भएन भन्ने कथनको रूपमा लिनुहोस्, र त्यसभन्दा बढी विशिष्ट केही होइन।

पोर्ट र बाँधिएको ठेगाना ती दुई तथ्य हुन् जसले प्याकेट कहिल्यै पुग्छ कि पुग्दैन भनेर निर्धारण गर्छन्।

केही परिवर्तन गर्नुअघि दुवै लेख्नुहोस्, किनकि गलत तहमा लगाइएको विश्वसनीय सुधार पन्ध्र मिनेटको समस्यालाई पूरै दिउँसो बनाउने बाटो हो। इन्टरफेस, त्यसमाथिको ठेगाना, पोर्ट र ट्रान्सपोर्ट नोट गर्नुहोस्। ती चार मान नै सम्पूर्ण आगमन बाटो हुन्, र अर्को खण्डले प्रत्येक कहाँ बस्छ भनेर व्याख्या गर्छ।

प्याकेजले सुन्ने ठेगाना खोज्नुहोस्

DSM ले Ethernet पोर्टहरूलाई क्रमाङ्क दिन्छ र प्रत्येकको आफ्नै ठेगाना हुन्छ। VPN Server पृष्ठले OpenVPN सेवाले प्रयोग गर्ने इन्टरफेसको नाम दिन्छ, र नेटवर्क प्यानलले त्यो इन्टरफेसमा कन्फिगर गरिएको ठेगाना देखाउँछ। तिनीहरूलाई यही क्रममा, सेवाबाट बाहिरतिर पढ्नुहोस्, ताकि तपाईंले प्रयोग गर्नुपर्ने भनी अनुमान गरेको होइन, वास्तवमा के सुनिरहेको छ त्यसको वर्णन गर्नुहुन्छ।

सेवाले एउटा ठेगाना बाँध्छ। दुवै पोर्ट जोडिएका र सक्रिय हुनुले सेवालाई दोस्रोमा जवाफ दिन बाध्य पार्दैन। एउटा इन्टरफेसमा स्थिर ठेगाना र अर्कोमा DHCP ठेगाना हुँदा तपाईंले एकै नजरमा भ्रमित हुने दुई समान मान पाउनुहुन्छ, विशेषगरी जब ती अन्तिम अक्टेटमा मात्र फरक हुन्छन्। ठेगाना सम्झनाबाट टाइप नगरी प्यानलबाट प्रतिलिपि गर्नुहोस्। त्यसपछि NAS मा पोर्टसँग वास्तवमा के बाँधिएको छ भनी पुष्टि गर्नुहोस्।

sudo ss -lunp | grep 1194

यदि त्यो आउटपुटले तपाईंले नअपेक्षा गरेको ठेगाना देखायो भने, फर्वार्ड गलत इन्टरफेसतर्फ छ र यहाँको बाँकी सबै हिसाब हो। अगाडि पढ्नुअघि नियम सुधार्नुहोस्, नत्र राउटरबाट कहिल्यै ननिस्केको प्याकेटका लागि प्रमाणपत्र डिबग गर्दै अन्त्य हुनेछ।

फर्वार्ड सुधार्नुहोस्, त्यसपछि काउन्टर हेर्नुहोस्

त्यही बाह्य पोर्टका लागि दोस्रो थप्नुको सट्टा विद्यमान फर्वार्ड नियम सम्पादन गर्नुहोस्। राउटरको तालिकामा दुई नियम सँगै रहन सक्छन् र सधैं एउटा मात्र जित्छ, जसले डिबगिङ सत्रलाई कुन साँचो हो भन्ने बहसमा बदल्छ। आन्तरिक ठेगानालाई तपाईंले NAS बाट पढेको मानतर्फ निर्देशित गर्नुहोस्, र आन्तरिक पोर्टलाई सेवाले सुन्नेसँग मिल्न दिनुहोस्।

यदि DSM ले त्यो ठेगाना DHCP मार्फत लिन्छ भने, पहिले आरक्षण सिर्जना गर्नुहोस्। लिज परिवर्तनले हिजो काम गरेको फर्वार्ड चुपचाप तोड्छ।

sudo tcpdump -i any -n udp port 1194

क्लाइन्टले जोडिन प्रयास गर्नुअघि क्याप्चर सुरु गर्नुहोस्, र देखिने जुनसुकै कुरामा स्रोत ठेगाना पढ्नुहोस्। केही पनि नहुनु भनेको बाटोमा कसैले त्यसलाई फ्याँक्यो: फर्वार्ड, DSM फायरवाल वा त्यो लक्षित इन्टरफेस, र यो रहुन्जेल प्रमाणपत्र कारण हुन सक्दैन। क्लाइन्टको सार्वजनिक ठेगानाबाट जवाफबिना केही आउनु भनेको NAS ले अनुरोध प्राप्त गर्‍यो र जवाफ नदिने छनोट गर्‍यो। यी फरक निष्कर्ष हुन्, र दोस्रोले मात्र तपाईंलाई प्याकेजकै सेटिङतर्फ फर्काउँछ।

त्यसपछि मात्र प्रमाणपत्र र ट्रान्सपोर्ट हेर्नुहोस्

प्याकेट आएपछि कुनै पनि प्रमाणपत्र परिवर्तनपछि प्रोफाइल पुनः निर्यात गर्नुहोस्, किनकि पुरानो फाइलले अझै त्यो अधिकार निकाय बोकेको हुन्छ जसले यो सिर्जना गर्‍यो। अर्को ट्रान्सपोर्टका लागि हातले सम्पादित प्रोफाइलले क्लाइन्टलाई नभएको श्रोताको प्रतीक्षामा राख्छ, र अरू सबैजस्तै त्यही सामान्य असफलता रिपोर्ट गर्छ। प्रोफाइलभित्रको ट्रान्सपोर्टलाई प्याकेजले सेवा दिन तोकिएको ट्रान्सपोर्टसँग तुलना गर्नुहोस्। दुई ट्रान्सपोर्टका लागि दुई प्रोफाइल वैध डिजाइन हो, र दुवैका लागि सम्पादित एउटा प्रोफाइल त्यस्तो होइन।

अन्तिम चरणको रूपमा आफ्नै नेटवर्कबाहिरबाट परीक्षण गर्नुहोस्, किनकि LAN भित्रबाट जडान फर्वार्डलाई कहिल्यै नछुने बाटोबाट सफल हुन सक्छ।

निर्यात गरिएको प्रोफाइल, इन्टरफेसको ठेगाना र फर्वार्ड नियम एउटै नोटमा सँगै राख्नुहोस्। ठेगाना बदलिँदा त्यो नोट सुधार र पुनरावृत्तिबीचको फरक हो। यो बाटोमा कुनै पनि कुराले प्याकेज पुनः स्थापना गर्न आवश्यक परेन, जुन अर्को रिबुटलाई दोष दिनुअघि सम्झन लायक छ।