OpenVPN руковање на Synology не успева? Проверите прослеђивање на LAN-у

Ваш лаптоп пријављује да TLS руковање није успело, па је искушење да поново изградите сертификате. Пре тога поставите досадније питање: на ком Ethernet порту Synology заправо слуша? NAS са два LAN порта има две адресе, а DSM-ов пакет VPN Server везује свој OpenVPN слушалац за једну од њих. Када рутер проследи 1194 на другу адресу, ниједан пакет никада не стигне до услуге, и клијент нема с чим да преговара.

Текст грешке обмањује јер описује последње што је клијент покушао, а не прво што је пошло наопако. Два минута поређења странице пакета са правилом рутера решавају ствар.

Пронађите адресу за коју је слушалац везан

DSM назива своје портове LAN 1 и LAN 2, и сваки носи засебну адресу и подмрежу. Отворите VPN Server, прочитајте интерфејс наведен на картици OpenVPN, затим отворите Контролну таблу и забележите IPv4 адресу коју DSM има на истом интерфејсу. Управо те две вредности, а не име домаћина NAS-а, мора да наведе прослеђивање.

Други прикључени кабл не ствара други слушалац. Обе везе могу изгледати повезано, док само једна адреса прихвата саобраћај, а када оба интерфејса седе у истој подмрежи, две адресе се разликују за једну цифру коју нико не пречита поново пре чувања правила.

Погледајте сам сокет преко SSH-а, јер је то једино место које показује на шта се демон заиста везао, а не шта страница подешавања намерава.

sudo netstat -anp | grep 1194

Уредите постојеће прослеђивање уместо да додате ново

Два правила за један спољни порт остављају рутеру слободу избора, а које ће изабрати може се променити после ажурирања фирмвера или поновног покретања. Отворите правило које већ постоји, промените његову унутрашњу адресу, сачувајте, па га поново отворите и прочитајте вредност. Именовање правила по услузи помаже, јер списак од пет идентичних прослеђивања је начин на који погрешно преживи.

external 1194/udp  ->  192.0.2.20:1194/udp

Држите унутрашњи порт једнак порту слушања и држите протокол доследним. UDP 1194 је подразумевани слушалац, док TCP профил треба сопствени слушалац на страни пакета и одговарајуће прослеђивање на рутеру. Прослеђивање TCP-а услузи која слуша само UDP даје тишину, а не грешку.

Ако адреса NAS-а долази из DHCP-а, резервишите је пре чувања правила. Истек закупа поново додељује адресу, прослеђивање наставља да показује на стару вредност, и руковање почиње да не успева на дан када нико није дирао NAS. Статичка конфигурација на страни NAS-а решава исти проблем, под условом да адреса стоји изван DHCP опсега рутера.

Докажите да ли пакети уопште пристижу

Прво покрените снимање на NAS-у, затим се повежите са клијента и прочитајте изворну адресу у излазу. Снимање покренуто после квара не показује ништа и ништа не доказује.

sudo tcpdump -i any -n udp port 1194

Тишина значи да је саобраћај умро пре услуге: погрешна унутрашња адреса, затворен порт на DSM заштитном зиду или интерфејс који је административно искључен. Пакети у излазу значе да прослеђивање ради, а преостали квар лежи изнад мрежног слоја, што је много мање подручје претраге.

Снимање такође именује интерфејс на који је пакет стигао, и тај један детаљ одваја правило усмерено на погрешан порт од правила усмереног на порт који није подигнут. Пратите сопствени бројач рутера током истог покушаја ако га приказује. Бројач који се не помера док снимање остаје празно указује на рутер, док бројач који се помера са празним снимањем указује на пут између два уређаја.

Када пакети стигну, престаните да кривите прослеђивање

Профил је следећи осумњичени, а уобичајен разлог је старост. Извезена .ovpn датотека садржи установу и материјал из тренутка извоза, па ће пакет чији је сертификат касније замењен одбити клијента који још носи стару копију.

Транспорт је друго неспагање које вреди изричито проверити, јер се профил и пакет уређују на различитим местима. Промена профила са UDP на TCP без пребацивања пакета оставља клијента да чека слушалац који не постоји, а клијент пријављује исти општи текст руковања који пријављује за све остало. Прочитајте proto ред у датотеци, затим погледајте протокол изабран на страници сервера и тек тада закључите да се подударају. Читање DSM правила заштитног зида је трећа провера: правило које допушта порт из локалне подмреже али не са интернета лако се заборави после тестирања, а даје везу која ради из кухиње и не успева са свих других места.

Тестирајте пут којим удаљени корисник стварно пролази

Клијент унутар истог LAN-а може да дође до NAS-а без икаквог додира са прослеђивањем, па то ништа не доказује о удаљеном приступу. Употребите телефон са искљученим Wi-Fi-јем или замолите некога изван мреже и посматрајте бројач рутера током тог покушаја. Ако удаљени покушај не успе док локални успе, прослеђивање или заштитни зид су још у игри.

Забележите радно стање док ради: спољни порт, унутрашња адреса, протокол, интерфејс пакета, те име профила и датум извоза. Када руковање поново не успе, разлика између те белешке и тренутне конфигурације је квар и нико не мора поново да открива који од два порта услуга користи.