Synology NAS z dvema vratoma LAN: zakaj rokovanje VPN ne uspe

Prenosnik poroča o neuspelem rokovanju TLS, kar zveni kot težava s potrdilom in običajno ni. Na NAS z dvema vratoma Ethernet je najpogostejši vzrok posredovanje na usmerjevalniku, usmerjeno na naslov, na katerem paket ne posluša, sporočilo odjemalca pa je v obeh primerih enako. Paket ne odgovori na drugih vratih samo zato, ker sta priključena oba kabla. Preden kdo znova izda potrdilo, dokažite, da paket sploh doseže NAS.

Kaj odjemalec poroča in kaj se je dejansko zgodilo

Neuspešno rokovanje odjemalca OpenVPN je splošen izraz. Zajema neujemanje potrdila, neujemanje prenosa, poslušalca na drugih vratih in posredovanje, ki ni dostavilo ničesar. Zato je sporočilo neuporabno kot izhodišče in uporabno le kot potrditev. Obravnavajte ga kot trditev, da seja ni bila vzpostavljena, in nič bolj določnega.

Vrata in vezani naslov sta dve dejstvi, ki odločita, ali paket sploh prispe.

Zapišite oba, preden karkoli spremenite, ker je verjetna poprava, uporabljena na napačnem sloju, pot, po kateri petnajstminutna težava postane celo popoldne. Zabeležite vmesnik, naslov na njem, vrata in prenos. Te štiri vrednosti so celotna vhodna pot, naslednji razdelek pa pojasni, kje živi vsaka od njih.

Poiščite naslov, na katerem paket posluša

DSM oštevilči vrata Ethernet in vsaka nosijo svoj naslov. Stran VPN Server navede vmesnik, ki ga uporablja storitev OpenVPN, omrežna plošča pa prikaže naslov, konfiguriran na tem vmesniku. Berite jih v tem vrstnem redu, od storitve navzven, da opisujete, kaj posluša, namesto tega, kar predvidevate, da bi moralo uporabljati.

Storitev veže en naslov. To, da sta oba vrata povezana in aktivna, ne povzroči, da bi storitev odgovarjala na drugih. Statičen naslov na enem vmesniku ob naslovu DHCP na drugem vam da dve podobni vrednosti, ki ju je na prvi pogled zlahka zamenjati, zlasti ko se razlikujeta le v zadnjem oktetu. Naslov kopirajte s plošče, namesto da bi ga vtipkali iz spomina. Nato na NAS potrdite, kaj je dejansko vezano na vrata.

sudo ss -lunp | grep 1194

Če ta izpis navaja naslov, ki ga niste pričakovali, posredovanje meri na napačen vmesnik in vse ostalo tu je računovodstvo. Popravite pravilo, preden berete naprej, sicer boste na koncu razhroščevali potrdilo zaradi paketa, ki ni nikoli zapustil usmerjevalnika.

Popravite posredovanje, nato opazujte števec

Uredite obstoječe pravilo posredovanja, namesto da dodate drugo za ista zunanja vrata. Dve pravili lahko v tabeli usmerjevalnika obstajata drug ob drugem in vedno zmaga le eno, kar razhroščevalno sejo spremeni v prepir o tem, katero je resnično. Usmerite notranji naslov na vrednost, ki ste jo prebrali z NAS, notranja vrata pa pustite v skladu s tem, na čem storitev posluša.

Če DSM ta naslov pridobi prek DHCP, najprej ustvarite rezervacijo. Sprememba najema tiho pokvari posredovanje, ki je delovalo včeraj.

sudo tcpdump -i any -n udp port 1194

Začnite zajem, preden se odjemalec poskusi povezati, in berite izvorni naslov v vsem, kar se pojavi. Popolna odsotnost pomeni, da je nekaj na poti to zavrglo: posredovanje, požarni zid DSM ali vmesnik, na katerega je bilo usmerjeno, potrdila pa ne morejo biti vzrok, dokler to velja. Nekaj, kar pride z javnega naslova odjemalca brez odgovora, pomeni, da je NAS zahtevo prejel in se odločil, da ne bo odgovoril. To so različne ugotovitve in le druga vas pošlje nazaj v nastavitve samega paketa.

Šele takrat poglejte potrdila in prenos

Ko paketi prispejo, profil znova izvozite po vsaki spremembi potrdila, ker stara datoteka še vedno nosi organ, s katerim je bila ustvarjena. Profil, ročno urejen za drug prenos, pusti odjemalca čakati na poslušalca, ki ne obstaja, in poroča o isti splošni napaki kot vse drugo. Primerjajte prenos v profilu s prenosom, ki naj bi ga paket strežel. Dva profila za dva prenosa sta legitimna zasnova, en profil, urejen za oba, pa ne.

Kot zadnji korak preizkusite od zunaj lastnega omrežja, saj lahko povezava znotraj LAN uspe po poti, ki se posredovanja nikoli ne dotakne.

Izvozni profil, naslov vmesnika in pravilo posredovanja hranite skupaj v eni opombi. Ko se naslov spremeni, je ta opomba razlika med popravkom in ponovitvijo. Nič na tej poti ni zahtevalo ponovne namestitve paketa, kar velja zapomniti, preden bo obtožen naslednji zagon.