Synology मा OpenVPN ह्यान्डशेक असफल हुन्छ? LAN फर्वार्ड जाँच्नुहोस्

तपाईंको ल्यापटपले TLS ह्यान्डशेक असफल भयो भनी जनाउँछ, त्यसैले प्रमाणपत्रहरू पुनः बनाउने प्रलोभन आउँछ। त्यसअघि अझ निरस प्रश्न सोध्नुहोस्: Synology वास्तवमा कुन Ethernet पोर्टमा सुनिरहेको छ? दुई LAN पोर्ट भएको NAS मा दुई ठेगाना हुन्छन्, र DSM को VPN Server प्याकेजले आफ्नो OpenVPN श्रोतालाई तीमध्ये एउटामा बाँध्छ। राउटरले 1194 अर्को ठेगानामा फर्वार्ड गर्दा कुनै प्याकेट सेवासम्म पुग्दैन, र क्लाइन्टसँग वार्ता गर्न केही हुँदैन।

त्रुटिको पाठ भ्रमित गर्छ, किनकि यसले क्लाइन्टले अन्तिम पटक प्रयास गरेको कुरा वर्णन गर्छ, पहिलो पटक के बिग्रियो भन्ने होइन। प्याकेज पृष्ठलाई राउटर नियमसँग तुलना गर्ने दुई मिनेटले यसलाई टुंग्याउँछ।

श्रोता बाँधिएको ठेगाना खोज्नुहोस्

DSM ले आफ्ना पोर्टहरूलाई LAN 1 र LAN 2 भन्छ, र प्रत्येकको छुट्टै ठेगाना र सबनेट हुन्छ। VPN Server खोल्नुहोस्, OpenVPN ट्याबमा उल्लेख गरिएको इन्टरफेस पढ्नुहोस्, त्यसपछि Control Panel खोलेर DSM सँग त्यही इन्टरफेसमा भएको IPv4 ठेगाना लेख्नुहोस्। फर्वार्डले NAS को होस्टनाम होइन, यी दुई मानहरूको नाम दिनुपर्छ।

दोस्रो केबल जोड्दा दोस्रो श्रोता बन्दैन। दुवै लिङ्क जोडिएको देखिन सक्छ, तर एउटा मात्र ठेगानाले ट्राफिक लिन्छ, र दुवै इन्टरफेस एउटै सबनेटमा भए दुई ठेगाना नियम सुरक्षित गर्नुअघि कसैले फेरि नपढ्ने एउटा अंकले मात्र फरक पर्छ।

SSH मार्फत सकेट आफैं हेर्नुहोस्, किनकि डेमन वास्तवमा कुनसँग बाँधियो भन्ने देखाउने एक मात्र ठाउँ यही हो, सेटिङ्स पृष्ठको मनसाय होइन।

sudo netstat -anp | grep 1194

नयाँ थप्नुको सट्टा भएको फर्वार्ड सम्पादन गर्नुहोस्

एउटा बाह्य पोर्टका लागि दुई नियमले राउटरलाई छान्ने स्वतन्त्रता दिन्छ, र कुन छान्छ भन्ने कुरा फर्मवेयर अद्यावधिक वा रिबुटपछि बदलिन सक्छ। पहिले नै भएको नियम खोल्नुहोस्, त्यसको आन्तरिक ठेगाना बदल्नुहोस्, सुरक्षित गर्नुहोस्, त्यसपछि फेरि खोलेर मान पढ्नुहोस्। नियमलाई सेवाको नाममा राख्नु सहयोगी हुन्छ, किनकि पाँच वटा एकै प्रकारका फर्वार्डको सूची नै गलत कुरा जीवित रहने तरिका हो।

external 1194/udp  ->  192.0.2.20:1194/udp

आन्तरिक पोर्टलाई सुन्ने पोर्टसँग बराबर राख्नुहोस्, र प्रोटोकल एकरूप राख्नुहोस्। UDP 1194 पूर्वनिर्धारित श्रोता हो, जबकि TCP प्रोफाइललाई प्याकेजतर्फ आफ्नै श्रोता र राउटरमा मिल्ने फर्वार्ड चाहिन्छ। UDP मात्र सुन्ने सेवामा TCP फर्वार्ड गर्दा त्रुटि होइन, मौनता मिल्छ।

यदि NAS को ठेगाना DHCP बाट आउँछ भने, नियम सुरक्षित गर्नुअघि त्यसलाई आरक्षित गर्नुहोस्। लिजको अवधि सकिँदा ठेगाना फेरि तोकिन्छ, फर्वार्ड पुरानो मानतिरै देखाइरहन्छ, र कसैले NAS छोएको नभएको दिन ह्यान्डशेक असफल हुन थाल्छ। NAS तर्फको स्थिर कन्फिगरेसनले त्यही समस्या समाधान गर्छ, तर ठेगाना राउटरको DHCP दायराबाहिर हुनुपर्छ।

प्याकेटहरू पुग्छन् कि पुग्दैनन् भनी प्रमाणित गर्नुहोस्

पहिले NAS मा क्याप्चर सुरु गर्नुहोस्, त्यसपछि क्लाइन्टबाट जोडिनुहोस्, र आउटपुटमा स्रोत ठेगाना पढ्नुहोस्। असफलतापछि सुरु गरिएको क्याप्चरले केही देखाउँदैन र केही प्रमाणित गर्दैन।

sudo tcpdump -i any -n udp port 1194

मौनताको अर्थ ट्राफिक सेवासम्म पुग्नुअघि नै मर्यो भन्ने हो: गलत आन्तरिक ठेगाना, DSM फायरवालमा बन्द पोर्ट, वा प्रशासनिक रूपमा बन्द इन्टरफेस। आउटपुटमा प्याकेट भए फर्वार्ड काम गरिरहेको छ, र बाँकी खराबी नेटवर्क तहभन्दा माथि छ, जो धेरै सानो खोज क्षेत्र हो।

क्याप्चरले प्याकेट आएको इन्टरफेसको पनि नाम दिन्छ, र त्यही एउटा विवरणले गलत पोर्टतिर लक्षित नियमलाई नखुलेको पोर्टतिर लक्षित नियमबाट अलग गर्छ। त्यही प्रयासका क्रममा राउटरको आफ्नै काउन्टर पनि हेर्नुहोस्, यदि त्यसले देखाउँछ भने। क्याप्चर खाली रहँदा नचल्ने काउन्टरले राउटरतिर संकेत गर्छ, जबकि खाली क्याप्चरसँग चल्ने काउन्टरले दुई उपकरणबीचको बाटोतिर संकेत गर्छ।

प्याकेट आएपछि फर्वार्डलाई दोष दिन छोड्नुहोस्

अर्को शंकास्पद प्रोफाइल हो, र सामान्य कारण पुरानो हुनु हो। निर्यात गरिएको .ovpn फाइलमा निर्यातको क्षणको अधिकार र सामग्री हुन्छ, त्यसैले पछि प्रमाणपत्र बदलिएको प्याकेजले पुरानो प्रतिलिपि बोकेको क्लाइन्टलाई अस्वीकार गर्छ।

यातायात अर्को असमझदारी हो जुन स्पष्ट रूपमा जाँच्न लायक छ, किनकि प्रोफाइल र प्याकेज फरक ठाउँमा सम्पादन गरिन्छ। प्याकेज नबदली प्रोफाइल UDP बाट TCP मा बदल्दा क्लाइन्ट नभएको श्रोताको प्रतीक्षा गर्छ, र क्लाइन्टले बाँकी सबैका लागि भन्ने त्यही सामान्य ह्यान्डशेक पाठ भन्छ। फाइलमा proto लाइन पढ्नुहोस्, त्यसपछि सर्भर पृष्ठमा छानिएको प्रोटोकल हेर्नुहोस्, र त्यसपछि मात्र ती मिल्छन् भनी निष्कर्ष निकाल्नुहोस्। DSM फायरवाल नियम पढ्नु तेस्रो जाँच हो: स्थानीय सबनेटबाट पोर्ट खोल्ने तर इन्टरनेटबाट नखोल्ने नियम परीक्षणपछि छोड्न सजिलो हुन्छ, र यसले भान्साबाट काम गर्ने र अरू सबै ठाउँबाट असफल हुने जडान बनाउँछ।

टाढाको प्रयोगकर्ताले साँच्चै हिँड्ने बाटो परीक्षण गर्नुहोस्

एउटै LAN भित्रको क्लाइन्ट फर्वार्डलाई कहिल्यै नछोई NAS सम्म पुग्न सक्छ, त्यसैले यसले टाढाको पहुँचबारे केही प्रमाणित गर्दैन। Wi-Fi बन्द भएको फोन प्रयोग गर्नुहोस्, वा नेटवर्क बाहिरको कसैलाई सोध्नुहोस्, र त्यो प्रयासका क्रममा राउटर काउन्टर हेर्नुहोस्। यदि टाढाको प्रयास असफल भई स्थानीय सफल भयो भने, फर्वार्ड वा फायरवाल अझै चित्रमा छ।

काम गरिरहेको अवस्थालाई काम गर्दै गर्दा लेख्नुहोस्: बाह्य पोर्ट, आन्तरिक ठेगाना, प्रोटोकल, प्याकेज इन्टरफेस, र प्रोफाइलको नाम तथा निर्यात मिति। ह्यान्डशेक फेरि असफल हुँदा, त्यो टिप्पणी र हालको कन्फिगरेसनबीचको फरक नै खराबी हो, र सेवाले दुई पोर्टमध्ये कुन प्रयोग गर्छ भनी कसैले फेरि पत्ता लगाउनु पर्दैन।