Synology NAS s dvoma portami LAN: prečo zlyháva podanie ruky VPN

Notebook hlási zlyhanie podania ruky TLS, čo znie ako problém s certifikátom a zvyčajne ním nie je. Na NAS s dvoma portami Ethernet je najčastejšou príčinou presmerovanie na routeri smerujúce na adresu, na ktorej paket nepočúva, a správa klienta je v oboch prípadoch rovnaká. Paket neodpovedá na druhom porte len preto, že sú zapojené oba káble. Než niekto znovu vydá certifikát, dokážte, že paket vôbec dorazí na NAS.

Čo klient hlási a čo sa skutočne stalo

Zlyhanie podania ruky od klienta OpenVPN je súhrnné označenie. Zahŕňa nezhodu certifikátu, nezhodu transportu, počúvajúci proces na inom porte a presmerovanie, ktoré nič nedoručilo. Preto je správa ako východiskový bod zbytočná a užitočná len ako potvrdenie. Berte ju ako tvrdenie, že relácia nevznikla, a nič konkrétnejšie.

Port a viazaná adresa sú dva údaje, ktoré rozhodujú, či paket vôbec dorazí.

Zapíšte oba, skôr než čokoľvek zmeníte, pretože uveriteľná oprava použitá na nesprávnej vrstve je spôsob, akým sa z pätnásťminútového problému stane celé popoludnie. Poznamenajte rozhranie, adresu na ňom, port a transport. Tieto štyri hodnoty tvoria celú vstupnú cestu a nasledujúca časť vysvetľuje, kde každá z nich žije.

Nájdite adresu, na ktorej paket počúva

DSM čísluje porty Ethernet a každý nesie vlastnú adresu. Stránka VPN Server uvádza rozhranie, ktoré používa služba OpenVPN, a sieťový panel ukazuje adresu nakonfigurovanú na tomto rozhraní. Čítajte ich v tomto poradí, od služby von, aby ste opisovali, čo počúva, a nie to, čo predpokladáte, že by malo používať.

Služba viaže jednu adresu. To, že oba porty sú pripojené a aktívne, neznamená, že služba odpovedá na druhom. Statická adresa na jednom rozhraní vedľa adresy DHCP na druhom vám dáva dve podobné hodnoty, ktoré sa na prvý pohľad ľahko zamenia, najmä ak sa líšia len v poslednom oktete. Skopírujte adresu z panelu, namiesto toho, aby ste ju písali z pamäti. Potom na NAS overte, čo je k portu skutočne viazané.

sudo ss -lunp | grep 1194

Ak tento výstup uvádza adresu, ktorú ste nečakali, presmerovanie mieri na nesprávne rozhranie a všetko ostatné je tu účtovníctvo. Opravte pravidlo, skôr než budete čítať ďalej, inak skončíte pri ladení certifikátu pre paket, ktorý router nikdy neopustil.

Opravte presmerovanie a potom sledujte počítadlo

Upravte existujúce pravidlo presmerovania namiesto pridania druhého pre ten istý externý port. Dve pravidlá môžu v tabuľke routera existovať vedľa seba a vždy vyhrá len jedno, čo z ladiacej relácie robí hádku o to, ktoré je skutočné. Nasmerujte vnútornú adresu na hodnotu, ktorú ste prečítali z NAS, a nechajte vnútorný port zodpovedať tomu, na čom služba počúva.

Ak DSM túto adresu získava cez DHCP, najprv vytvorte rezerváciu. Zmena prenájmu potichu pokazí presmerovanie, ktoré včera fungovalo.

sudo tcpdump -i any -n udp port 1194

Začnite zachytávať skôr, než sa klient pokúsi pripojiť, a čítajte zdrojovú adresu vo všetkom, čo sa objaví. Úplná absencia znamená, že to niečo po ceste zahodilo: presmerovanie, firewall DSM alebo rozhranie, na ktoré to mierilo, a certifikáty nemôžu byť príčinou, kým to platí. Niečo prichádzajúce z verejnej adresy klienta bez odpovede znamená, že NAS žiadosť prijal a rozhodol sa neodpovedať. To sú rôzne zistenia a len to druhé vás vracia do nastavení samotného paketu.

Až potom sa pozrite na certifikáty a transport

Keď pakety dorazia, po každej zmene certifikátu profil znova exportujte, pretože starý súbor stále nesie autoritu, s ktorou bol vytvorený. Profil ručne upravený pre iný transport necháva klienta čakať na počúvajúci proces, ktorý neexistuje, a hlási rovnaké všeobecné zlyhanie ako všetko ostatné. Porovnajte transport v profile s transportom, ktorý má paket obsluhovať. Dva profily pre dva transporty sú legitímny návrh a jeden profil upravený pre oba nie je.

Ako posledný krok testujte zvonku vlastnej siete, pretože spojenie zvnútra LAN môže uspieť po ceste, ktorá sa presmerovania vôbec nedotkne.

Uchovávajte exportovaný profil, adresu rozhrania a pravidlo presmerovania spolu v jednej poznámke. Keď sa adresa zmení, táto poznámka je rozdiel medzi opravou a reprízou. Nič na tejto ceste nevyžadovalo preinštalovanie paketu, čo stojí za zapamätanie, než bude obviňované ďalšie reštartovanie.