Handshake ya OpenVPN kwenye Synology inashindikana? Angalia uelekezaji wa LAN

Kompyuta yako mpito inaripoti kwamba handshake ya TLS imeshindikana, kwa hiyo kishawishi ni kujenga upya vyeti. Kabla ya hapo, uliza swali la kuchosha zaidi: Synology inasikiliza kwenye bandari ipi ya Ethernet kwa kweli? NAS yenye bandari mbili za LAN ina anwani mbili, na kifurushi cha VPN Server cha DSM kinafunga kisikilizaji chake cha OpenVPN kwa moja yao. Wakati kipanga njia kinaelekeza 1194 kwa anwani nyingine, hakuna pakiti inayofika kwenye huduma, na mteja hana la kujadiliana.

Maandishi ya hitilafu yanapotosha kwa sababu yanaeleza jambo la mwisho ambalo mteja alijaribu, sio la kwanza lililoharibika. Dakika mbili za kulinganisha ukurasa wa kifurushi na kanuni ya kipanga njia hutatua.

Tafuta anwani ambayo kisikilizaji kimefungwa

DSM huita bandari zake LAN 1 na LAN 2, na kila moja ina anwani na subnet tofauti. Fungua VPN Server, soma kiolesura kilichotajwa kwenye kichupo cha OpenVPN, kisha fungua Paneli ya Kudhibiti na uandike anwani ya IPv4 ambayo DSM inayo kwenye kiolesura hicho hicho. Ni thamani hizi mbili, sio jina la mwenyeji la NAS, ambazo uelekezaji unapaswa kutaja.

Kebo ya pili iliyochomekwa haitengenezi kisikilizaji cha pili. Viungo vyote viwili vinaweza kuonekana vimeunganishwa wakati anwani moja tu inapokea trafiki, na wakati violesura vyote viwili viko kwenye subnet moja, anwani hizo mbili zinatofautiana kwa tarakimu moja ambayo hakuna anayeisoma tena kabla ya kuhifadhi kanuni.

Angalia soketi yenyewe kupitia SSH, kwa sababu hii ndio sehemu pekee inayoonyesha kile ambacho daemon alifungwa kwacho kwa kweli, sio kile ambacho ukurasa wa mipangilio unakusudia.

sudo netstat -anp | grep 1194

Hariri uelekezaji uliopo badala ya kuongeza mwingine

Kanuni mbili kwa bandari moja ya nje zinamwachia kipanga njia uhuru wa kuchagua, na ipi atakayochagua inaweza kubadilika baada ya sasisho la firmware au kuwasha upya. Fungua kanuni iliyopo tayari, badilisha anwani yake ya ndani, hifadhi, kisha ifungue tena na usome thamani. Kuita kanuni kwa jina la huduma kunasaidia, kwa sababu orodha ya uelekezaji tano zinazofanana ndiyo njia ambayo ile isiyo sahihi huishi.

external 1194/udp  ->  192.0.2.20:1194/udp

Weka bandari ya ndani sawa na bandari ya kusikiliza, na weka itifaki sawa. UDP 1194 ndio kisikilizaji chaguo-msingi, wakati wasifu wa TCP unahitaji kisikilizaji chake upande wa kifurushi na uelekezaji unaolingana kwenye kipanga njia. Kuelekeza TCP kwa huduma inayosikiliza UDP pekee hutoa ukimya, sio hitilafu.

Ikiwa anwani ya NAS inatoka kwa DHCP, ihifadhi kabla ya kanuni kuhifadhiwa. Kumalizika kwa kukodisha kunagawanya anwani tena, uelekezaji unaendelea kuelekeza kwa thamani ya zamani, na handshake huanza kushindikana siku ambayo hakuna aliyegusa NAS. Mipangilio thabiti upande wa NAS hutatua tatizo hilo hilo, mradi anwani iko nje ya kiwango cha DHCP cha kipanga njia.

Thibitisha ikiwa pakiti zinafika hata

Anza kunasa kwenye NAS kwanza, kisha unganisha kutoka kwa mteja, na usome anwani ya chanzo kwenye matokeo. Kunasa kulikoanza baada ya hitilafu hakuonyeshi chochote na hakuthibitishi chochote.

sudo tcpdump -i any -n udp port 1194

Ukimya humaanisha kwamba trafiki ilikufa kabla ya huduma: anwani ya ndani isiyo sahihi, bandari iliyofungwa kwenye ngome ya moto ya DSM, au kiolesura kilichozimwa kwa utawala. Pakiti kwenye matokeo humaanisha kwamba uelekezaji unafanya kazi, na hitilafu iliyobaki iko juu ya tabaka la mtandao, ambayo ni eneo dogo zaidi la utafutaji.

Kunasa pia kunataja kiolesura ambacho pakiti ilifika, na maelezo hayo moja hutenganisha kanuni iliyoelekezwa kwa bandari isiyo sahihi na kanuni iliyoelekezwa kwa bandari ambayo haijawashwa. Fuatilia kihesabu cha kipanga njia chenyewe wakati wa jaribio hilo ikiwa kinakionyesha. Kihesabu kisichosogea wakati kunasa kunabaki tupu kinaelekeza kwa kipanga njia, wakati kihesabu kinachosogea na kunasa tupu kinaelekeza kwa njia kati ya vifaa viwili.

Pakiti zikifika, acha kulaumu uelekezaji

Wasifu ndiye mtuhumiwa anayefuata, na sababu ya kawaida ni umri. Faili ya .ovpn iliyosafirishwa ina mamlaka na nyenzo za wakati wa usafirishaji, kwa hiyo kifurushi ambacho cheti chake kilibadilishwa baadaye kitamkataa mteja ambaye bado amebeba nakala ya zamani.

Usafirishaji ni tofauti nyingine inayostahili kuchunguzwa waziwazi, kwa sababu wasifu na kifurushi huhaririwa sehemu tofauti. Kubadilisha wasifu kutoka UDP hadi TCP bila kubadilisha kifurushi humwacha mteja akisubiri kisikilizaji ambacho hakipo, na mteja huripoti maandishi yale yale ya jumla ya handshake anayoripoti kwa kila kitu kingine. Soma mstari wa proto kwenye faili, kisha angalia itifaki iliyochaguliwa kwenye ukurasa wa seva, na kisha tu hitimisha kwamba zinalingana. Kusoma kanuni za ngome ya moto ya DSM ni ukaguzi wa tatu: kanuni inayoruhusu bandari kutoka subnet ya ndani lakini sio kutoka mtandao huachwa kwa urahisi baada ya majaribio, na hutoa muunganisho unaofanya kazi kutoka jikoni na kushindikana kutoka kila mahali pengine.

Jaribu njia ambayo mtumiaji wa mbali hupitia kwa kweli

Mteja ndani ya LAN hiyo hiyo anaweza kufikia NAS bila kugusa uelekezaji, kwa hiyo haithibitishi chochote kuhusu ufikiaji wa mbali. Tumia simu iliyo na Wi-Fi imezimwa, au muulize mtu aliye nje ya mtandao, na fuatilia kihesabu cha kipanga njia wakati wa jaribio hilo. Ikiwa jaribio la mbali linashindikana wakati la ndani linafanikiwa, uelekezaji au ngome ya moto bado iko kwenye picha.

Andika hali inayofanya kazi wakati inafanya kazi: bandari ya nje, anwani ya ndani, itifaki, kiolesura cha kifurushi, na jina la wasifu na tarehe ya usafirishaji. Handshake ikishindikana tena, tofauti kati ya noti hiyo na usanidi wa sasa ndiyo hitilafu, na hakuna anayelazimika kugundua upya ni bandari ipi kati ya mbili ambayo huduma inatumia.