Synology NAS med to LAN-portar: kvifor VPN-handtrykket mislukkast

Den berbare datamaskinen rapporterer ein TLS-handtrykkfeil, som høyrest ut som eit sertifikatproblem og vanlegvis ikkje er det. På ein NAS med to Ethernet-portar er den vanlegaste årsaka ei ruter-vidaresending retta mot adressa pakka ikkje lyttar på, og meldinga frå klienten er identisk i begge tilfelle. Pakka svarar ikkje på den andre porten berre fordi begge kablane er plugga inn. Før nokon gir ut eit sertifikat på nytt, må de bevisa at ei pakke i det heile når NAS-en.

Kva klienten rapporterer, og kva som faktisk skjedde

Ein handtrykkfeil frå ein OpenVPN-klient er ei samlenemning. Ho dekkjer avvik i sertifikat, avvik i transport, ein lyttar på ein annan port og ei vidaresending som ikkje leverte noko. Derfor er meldinga ubrukeleg som utgangspunkt og nyttig berre som stadfesting. Handsame ho som ei fråsegn om at økta ikkje vart etablert, og ikkje noko meir spesifikt.

Porten og den bundne adressa er dei to fakta som avgjer om ei pakke nokon gong kjem fram.

Skriv ned begge før de endrar noko, for ei truverdig retting brukt på feil lag er måten eit problem på femten minutt vert ein heil ettermiddag. Noter grensesnittet, adressa på det, porten og transporten. Dei fire verdiane utgjer heile den inngåande vegen, og neste avsnitt forklarer kvar kvar av dei bur.

Finn adressa pakka lyttar på

DSM nummererer Ethernet-portane, og kvar av dei ber si eiga adresse. Sida VPN Server nemner grensesnittet OpenVPN-tenesta brukar, og nettverkspanelet viser adressa som er konfigurert på det grensesnittet. Les dei i den rekkjefølgja, frå tenesta og utover, slik at de skildrar det som lyttar i staden for det de trur det burde bruke.

Tenesta bind éi adresse. At begge portane er tilkopla og aktive, gjer ikkje at tenesta svarar på den andre. Ei statisk adresse på det eine grensesnittet ved sida av ei DHCP-adresse på det andre gir dykk to like verdiar som lett kan forvekslast ved eit blikk, særleg når dei berre skil seg i den siste oktetten. Kopier adressa frå panelet i staden for å skrive ho frå minnet. Stadfest deretter på NAS-en kva som faktisk er bunde til porten.

sudo ss -lunp | grep 1194

Viss den utskrifta nemner ei adresse de ikkje venta, er vidaresendinga retta mot feil grensesnitt, og alt anna her er bokføring. Rett regelen før de les vidare, elles endar de med å feilsøkje eit sertifikat på grunn av ei pakke som aldri forlet ruteren.

Reparer vidaresendinga, og hald så auge med teljaren

Rediger den eksisterande vidaresendingsregelen i staden for å leggje til ein ny for same eksterne port. To reglar kan eksistere side om side i tabellen til ein ruter, og berre éin vinn nokon gong, noko som gjer ei feilsøkingsøkt til ein diskusjon om kven som er den ekte. Peik den interne adressa mot verdien de las frå NAS-en, og lat den interne porten samsvare med det tenesta lyttar på.

Viss DSM får den adressa via DHCP, opprett først ein reservasjon. Ei endring i leigeavtala bryt stille ei vidaresending som verka i går.

sudo tcpdump -i any -n udp port 1194

Byrja opptaket før klienten prøver å kopla til, og les kjeldeadressa i alt som dukkar opp. Ingenting i det heile tyder at noko undervegs kasta det: vidaresendinga, DSM-brannmuren eller grensesnittet det var retta mot, og sertifikat kan ikkje vere årsaka så lenge det gjeld. Noko som kjem frå den offentlege adressa til klienten utan svar, tyder at NAS-en tok imot førespurnaden og valde å ikkje svare. Det er ulike funn, og berre det andre sender dykk tilbake til innstillingane til pakka sjølv.

Først då ser de på sertifikat og transport

Når pakkene kjem, eksporter profilen på nytt etter kvar sertifikatendring, fordi den gamle fila framleis ber autoriteten ho vart laga med. Ein profil som er redigert for hand for ein annan transport, lèt klienten vente på ein lyttar som ikkje finst, og han rapporterer den same generiske feilen som alt anna. Samanlikn transporten i profilen med transporten pakka er sett til å tena. To profilar for to transportar er eit legitimt design, og éin profil redigert for begge er det ikkje.

Test utanfrå ditt eige nettverk som siste steg, sidan ei tilkopling frå LAN-et kan lukkast over ein veg som aldri rører vidaresendinga.

Hald den eksporterte profilen, grensesnittadressa og vidaresendingsregelen saman i eitt notat. Når ei adresse endrar seg, er det notatet skilnaden mellom ei retting og ei gjentaking. Ingenting på denne vegen kravde ein reinstallasjon av ei pakke, noko som er verdt å hugse før den neste omstarten får skulda.