Synology NAS me dy porta LAN: pse dështon dorështrëngimi i VPN-së

Laptopi raporton një dështim dorështrëngimi TLS, që tingëllon si problem certifikate dhe zakonisht nuk është. Në një NAS me dy porta Ethernet, shkaku më i shpeshtë është një përcjellje e ruterit e drejtuar te adresa ku paketa nuk dëgjon, dhe mesazhi i klientit është identik në të dyja rastet. Paketa nuk përgjigjet në portën e dytë vetëm sepse të dy kabllot janë të lidhura. Para se dikush të rilisojë një certifikatë, provoni se një paketë arrin fare te NAS-i.

Çfarë raporton klienti dhe çfarë ndodhi në të vërtetë

Dështimi i dorështrëngimit nga një klient OpenVPN është një etiketë e përgjithshme. Ai mbulon një mospërputhje certifikate, një mospërputhje transporti, një dëgjues në një portë tjetër dhe një përcjellje që nuk dorëzoi asgjë. Prandaj mesazhi është i pavlefshëm si pikënisje dhe i dobishëm vetëm si konfirmim. Trajtojeni si deklarim që sesioni nuk u vendos, dhe asgjë më specifike.

Porta dhe adresa e lidhur janë dy faktet që vendosin nëse një paketë arrin ndonjëherë.

Shënoni të dyja përpara se të ndryshoni çdo gjë, sepse një rregullim i besueshëm i aplikuar në shtresën e gabuar është mënyra se si një problem pesëmbëdhjetë minutash bëhet një pasdite e tërë. Shënoni ndërfaqen, adresën mbi të, portën dhe transportin. Këto katër vlera janë e gjithë rruga hyrëse, dhe seksioni tjetër shpjegon ku jeton secila prej tyre.

Gjeni adresën ku paketa dëgjon

DSM numëron portat Ethernet dhe secila mbart adresën e vet. Faqja VPN Server emërton ndërfaqen që përdor shërbimi OpenVPN, dhe paneli i rrjetit tregon adresën e konfiguruar në atë ndërfaqe. Lexojini në atë rend, nga shërbimi nga jashtë, që të përshkruani atë që dëgjon dhe jo atë që supozoni se duhet të përdorë.

Shërbimi lidh një adresë. Fakti që të dyja portat janë të lidhura dhe aktive nuk e bën shërbimin të përgjigjet në të dytën. Një adresë statike në njërën ndërfaqe pranë një adrese DHCP në tjetrën ju jep dy vlera të ngjashme që ngatërrohen lehtë me një vështrim, sidomos kur ndryshojnë vetëm në oktetin e fundit. Kopjoni adresën nga paneli në vend që ta shtypni nga kujtesa. Më pas konfirmoni në NAS çfarë është lidhur vërtet me portën.

sudo ss -lunp | grep 1194

Nëse ai rezultat emërton një adresë që nuk e prisnit, përcjellja drejtohet te ndërfaqja e gabuar dhe gjithçka tjetër këtu është kontabilitet. Rregulloni rregullin përpara se të lexoni më tej, përndryshe do të përfundoni duke korrigjuar një certifikatë për shkak të një pakete që nuk doli kurrë nga ruteri.

Rregulloni përcjelljen, pastaj shikoni numëruesin

Redaktoni rregullin ekzistues të përcjelljes në vend që të shtoni një të dytë për të njëjtën portë të jashtme. Dy rregulla mund të bashkëjetojnë në tabelën e një ruteri dhe gjithmonë fiton vetëm njëri, gjë që e kthen një sesion korrigjimi në një debat se cili është ai i vërteti. Drejtojeni adresën e brendshme te vlera që lexuat nga NAS-i, dhe lëreni portën e brendshme të përputhet me atë ku shërbimi dëgjon.

Nëse DSM e merr atë adresë përmes DHCP, krijoni fillimisht një rezervim. Një ndryshim i qiradhënies thyen në heshtje një përcjellje që funksiononte dje.

sudo tcpdump -i any -n udp port 1194

Filloni kapjen përpara se klienti të provojë të lidhet, dhe lexoni adresën e burimit në çdo gjë që shfaqet. Asgjë absolutisht do të thotë se diçka përgjatë rrugës e hodhi: përcjellja, muri i zjarrit i DSM ose ndërfaqja ku ishte drejtuar, dhe certifikatat nuk mund të jenë shkaku për sa kohë kjo vlen. Diçka që vjen nga adresa publike e klientit pa përgjigje do të thotë se NAS-i e pranoi kërkesën dhe zgjodhi të mos përgjigjet. Këto janë gjetje të ndryshme, dhe vetëm e dyta ju kthen te cilësimet e vetë paketës.

Vetëm atëherë shikoni certifikatat dhe transportin

Sapo paketat të mbërrijnë, ri-eksportoni profilin pas çdo ndryshimi certifikate, sepse skedari i vjetër ende mbart autoritetin me të cilin u krijua. Një profil i redaktuar me dorë për një transport tjetër e lë klientin duke pritur një dëgjues që nuk ekziston, dhe raporton të njëjtin dështim të përgjithshëm si gjithçka tjetër. Krahasoni transportin brenda profilit me transportin që paketa është vendosur të shërbejë. Dy profile për dy transporte janë një dizajn legitim, dhe një profil i redaktuar për të dyja nuk është.

Testoni nga jashtë rrjetit tuaj si hapi i fundit, sepse një lidhje nga brenda LAN-it mund të ketë sukses në një rrugë që nuk e prek kurrë përcjelljen.

Mbani profilin e eksportuar, adresën e ndërfaqes dhe rregullin e përcjelljes së bashku në një shënim. Kur një adresë ndryshon, ai shënim është ndryshimi midis një rregullimi dhe një përsëritjeje. Asgjë në këtë rrugë nuk kërkoi reinstalim të një pakete, gjë që ia vlen të mbahet mend përpara se rindezja tjetër të fajësohet.