Synology NAS са два LAN порта: зашто руковање VPN-ом не успева

Преносни рачунар пријављује неуспело TLS руковање, што звучи као проблем са сертификатом и обично није. На NAS-у са два Ethernet порта најчешћи узрок је прослеђивање на рутеру усмерено на адресу на којој пакет не слуша, а порука клијента је идентична у оба случаја. Пакет не одговара на другом порту само зато што су оба кабла прикључена. Пре него што било ко поново изда сертификат, докажите да пакет уопште стиже до NAS-а.

Шта клијент пријављује и шта се стварно догодило

Неуспело руковање код OpenVPN клијента је општа ознака. Покрива неподударност сертификата, неподударност транспорта, слушаоца на другом порту и прослеђивање које ништа није доставило. Зато је порука бескорисна као почетна тачка, а корисна само као потврда. Третирајте је као тврдњу да сесија није успостављена и ништа конкретније.

Порт и везана адреса две су чињенице које одлучују да ли ће пакет уопште стићи.

Запишите обоје пре него што било шта промените, јер уверљива поправка примењена на погрешан слој је начин на који проблем од петнаест минута постаје цело поподне. Забележите интерфејс, адресу на њему, порт и транспорт. Те четири вредности чине цео улазни пут, а следећи одељак објашњава где свака од њих живи.

Пронађите адресу на којој пакет слуша

DSM нумерише Ethernet портове и сваки носи сопствену адресу. Страница VPN Server наводи интерфејс који OpenVPN услуга користи, а мрежна плоча приказује адресу конфигурисану на том интерфејсу. Читајте их тим редом, од услуге према напоље, како бисте описали шта слуша уместо онога што претпостављате да би требало да користи.

Услуга везује једну адресу. То што су оба порта повезана и активна не чини да услуга одговара на другом. Статичка адреса на једном интерфејсу поред DHCP адресе на другом даје вам две сличне вредности које је лако заменити на први поглед, поготово када се разликују само у последњем октету. Копирајте адресу са плоче уместо да је куцате по сећању. Затим на NAS-у потврдите шта је стварно везано за порт.

sudo ss -lunp | grep 1194

Ако тај излаз наводи адресу коју нисте очекивали, прослеђивање је усмерено на погрешан интерфејс и све остало овде је књиговодство. Поправите правило пре него што наставите да читате, иначе ћете завршити с отклањањем грешке на сертификату због пакета који никада није напустио рутер.

Поправите прослеђивање, затим гледајте бројач

Уредите постојеће правило прослеђивања уместо да додате друго за исти спољни порт. Два правила могу постојати заједно у табели рутера, а увек побеђује само једно, што сесију отклањања грешака претвара у свађу о томе које је стварно. Усмерите унутрашњу адресу на вредност коју сте прочитали са NAS-а и оставите унутрашњи порт да одговара ономе што услуга слуша.

Ако DSM ту адресу добија преко DHCP-а, прво направите резервацију. Промена закупа тихо квари прослеђивање које је радило јуче.

sudo tcpdump -i any -n udp port 1194

Почните снимање пре него што клијент покуша да се повеже и читајте изворну адресу у свему што се појави. Потпуни изостанак значи да је нешто на путу одбацило: прослеђивање, DSM заштитни зид или интерфејс на који је било усмерено, а сертификати не могу бити узрок док то важи. Нешто што долази са клијентове јавне адресе без одговора значи да је NAS примио захтев и одлучио да не одговори. То су различити налази, и само други вас враћа у саме поставке пакета.

Тек тада погледајте сертификате и транспорт

Кад пакети стигну, поново извезите профил након сваке промене сертификата, јер стара датотека још носи установу с којом је створена. Профил ручно уређен за други транспорт оставља клијента да чека слушаоца који не постоји и пријављује исту општу грешку као и све остало. Упоредите транспорт унутар профила с транспортом који је пакет постављен да послужује. Два профила за два транспорта легитиман су дизајн, а један профил уређен за оба није.

Тестирајте изван сопствене мреже као последњи корак, јер веза из LAN-а може успети путем који никада не дира прослеђивање.

Држите извезени профил, адресу интерфејса и правило прослеђивања заједно у једној белешци. Кад се адреса промени, та белешка је разлика између поправке и поновне изведбе. Ништа на том путу није захтевало поновну инсталацију пакета, што вреди запамтити пре него што следеће поновно покретање буде окривљено.