OpenVPN handshake na Synologyju ne uspe? Preverite posredovanje LAN

Prenosnik sporoča, da handshake TLS ni uspel, zato vas mika, da bi znova zgradili certifikate. Najprej postavite bolj dolgočasno vprašanje: na katerih vratih Ethernet Synology v resnici posluša? NAS z dvema vratoma LAN ima dva naslova, paket VPN Server v DSM pa veže svojega poslušalca OpenVPN na enega od njih. Ko usmerjevalnik posreduje 1194 na drugi naslov, noben paket nikoli ne prispe do storitve in odjemalec nima o čem pogajati.

Besedilo napake zavaja, ker opisuje zadnjo stvar, ki jo je odjemalec poskusil, ne prve, ki je šla narobe. Dve minuti primerjave strani paketa s pravilom usmerjevalnika to razrešita.

Poiščite naslov, na katerega je poslušalec vezan

DSM svoja vrata imenuje LAN 1 in LAN 2, vsaka pa nosi ločen naslov in podomrežje. Odprite VPN Server, preberite vmesnik, naveden na zavihku OpenVPN, nato odprite Nadzorno ploščo in zapišite naslov IPv4, ki ga ima DSM na istem vmesniku. Prav ti dve vrednosti, ne ime gostitelja NAS, mora navesti posredovanje.

Drug priključen kabel ne ustvari drugega poslušalca. Obe povezavi sta lahko videti povezani, medtem ko promet sprejema le en naslov, in ko sta oba vmesnika v istem podomrežju, se naslova razlikujeta za eno števko, ki je nihče ne prebere znova pred shranjevanjem pravila.

Poglejte sam socket prek SSH, ker je to edino mesto, ki pokaže, na kaj se je demon v resnici vezal, in ne, kaj namerava stran z nastavitvami.

sudo netstat -anp | grep 1194

Uredite obstoječe posredovanje, namesto da dodate novo

Dve pravili za ena zunanja vrata pustita usmerjevalniku prosto izbiro, in katero izbere, se lahko spremeni po posodobitvi vdelane programske opreme ali ponovnem zagonu. Odprite pravilo, ki že obstaja, spremenite njegov notranji naslov, shranite, nato ga znova odprite in preberite vrednost. Poimenovanje pravila po storitvi pomaga, ker je seznam petih enakih posredovanj način, kako napačno preživi.

external 1194/udp  ->  192.0.2.20:1194/udp

Držite notranja vrata enaka vratom poslušanja in držite protokol dosleden. UDP 1194 je privzeti poslušalec, medtem ko profil TCP potrebuje svojega poslušalca na strani paketa in ustrezno posredovanje na usmerjevalniku. Posredovanje TCP storitvi, ki posluša le UDP, da tišino, ne napake.

Če naslov NAS prihaja iz DHCP, ga rezervirajte, preden se pravilo shrani. Iztek najema naslov znova dodeli, posredovanje še vedno kaže na staro vrednost in handshake začne ne uspevati na dan, ko se NAS ni nihče dotaknil. Statična konfiguracija na strani NAS reši isto težavo, pod pogojem, da je naslov zunaj obsega DHCP usmerjevalnika.

Dokažite, ali paketi sploh prispejo

Najprej zaženite zajem na NAS, nato se povežite z odjemalca in preberite izvorni naslov v izhodu. Zajem, začet po napaki, ne pokaže ničesar in ničesar ne dokaže.

sudo tcpdump -i any -n udp port 1194

Tišina pomeni, da je promet umrl pred storitvijo: napačen notranji naslov, zaprta vrata na požarnem zidu DSM ali vmesnik, ki je administrativno izklopljen. Paketi v izhodu pomenijo, da posredovanje deluje, preostala napaka pa leži nad omrežnim slojem, kar je veliko manjše območje iskanja.

Zajem poimenuje tudi vmesnik, na katerega je paket prispel, in prav ta podrobnost loči pravilo, usmerjeno na napačna vrata, od pravila, usmerjenega na vrata, ki niso aktivna. Med istim poskusom opazujte števec usmerjevalnika, če ga prikazuje. Števec, ki se ne premakne, medtem ko zajem ostaja prazen, kaže na usmerjevalnik, medtem ko števec, ki se premakne ob praznem zajemu, kaže na pot med napravama.

Ko paketi prispejo, prenehajte kriviti posredovanje

Profil je naslednji osumljenec, običajen razlog pa je starost. Izvožena datoteka .ovpn vsebuje organ in gradivo iz trenutka izvoza, zato bo paket, katerega certifikat je bil pozneje zamenjan, zavrnil odjemalca, ki še vedno nosi staro kopijo.

Prenos je drugo neskladje, ki ga je vredno izrecno preveriti, ker se profil in paket urejata na različnih mestih. Sprememba profila iz UDP v TCP brez preklopa paketa pusti odjemalca čakati na poslušalca, ki ne obstaja, in odjemalec sporoča isto splošno besedilo handshake kot za vse drugo. Preberite vrstico proto v datoteki, nato poglejte protokol, izbran na strani strežnika, in šele nato sklepajte, da se ujemata. Branje pravil požarnega zidu DSM je tretji pregled: pravilo, ki dovoli vrata iz lokalnega podomrežja, ne pa iz interneta, po testiranju zlahka ostane, in ustvari povezavo, ki deluje iz kuhinje in ne uspe povsod drugod.

Preizkusite pot, ki jo oddaljeni uporabnik v resnici prehodi

Odjemalec v istem LAN lahko doseže NAS, ne da bi se kdaj dotaknil posredovanja, zato to ne dokaže ničesar o oddaljenem dostopu. Uporabite telefon z izklopljenim Wi-Fi ali vprašajte nekoga zunaj omrežja in med tem poskusom opazujte števec usmerjevalnika. Če oddaljeni poskus ne uspe, medtem ko lokalni uspe, sta posredovanje ali požarni zid še vedno v igri.

Zapišite delujoče stanje, dokler deluje: zunanja vrata, notranji naslov, protokol, vmesnik paketa ter ime profila in datum izvoza. Ko handshake znova ne uspe, je razlika med to opombo in trenutno konfiguracijo napaka, in nihče ne more znova odkrivati, katera od dveh vrat storitev uporablja.