Synology NAS na may dalawang LAN port: bakit nabigo ang VPN handshake

Nag-uulat ang laptop ng pagkabigo sa TLS handshake, na parang problema sa certificate at kadalasan ay hindi. Sa NAS na may dalawang Ethernet port, ang pinakakaraniwang dahilan ay isang forwarding sa router na nakaturo sa address na hindi pinakikinggan ng package, at ang mensahe ng client ay pareho sa dalawang kaso. Hindi tumutugon ang package sa ikalawang port dahil lang nakasaksak ang dalawang cable. Bago maglabas muli ng certificate ang sinuman, patunayan na may packet na nakakarating sa NAS.

Ano ang iniuulat ng client at ano ang talagang nangyari

Ang pagkabigo sa handshake mula sa isang OpenVPN client ay isang pangkalahatang katawagan. Sinasaklaw nito ang hindi pagtutugma ng certificate, hindi pagtutugma ng transport, isang tagapakinig sa ibang port, at isang forwarding na walang naipadala. Kaya ang mensahe ay walang silbi bilang panimulang punto at kapaki-pakinabang lamang bilang kumpirmasyon. Ituring itong pahayag na hindi natatag ang sesyon, at wala nang mas tiyak pa.

Ang port at ang nakataling address ang dalawang katotohanang nagpapasya kung darating ang isang packet.

Isulat ang pareho bago baguhin ang anuman, dahil ang isang makatwirang pagwawasto na inilapat sa maling layer ay ang paraan kung paano nagiging buong hapon ang problemang labinlimang minuto. Itala ang interface, ang address dito, ang port at ang transport. Ang apat na halagang iyon ang buong papasok na landas, at ipinapaliwanag ng susunod na seksyon kung saan nakatira ang bawat isa.

Hanapin ang address na pinakikinggan ng package

Binibilang ng DSM ang mga Ethernet port at bawat isa ay may sariling address. Tinutukoy ng pahina ng VPN Server ang interface na ginagamit ng serbisyong OpenVPN, at ipinapakita ng panel ng network ang address na naka-configure sa interface na iyon. Basahin ang mga ito sa ganoong pagkakasunod-sunod, mula sa serbisyo pakanlabas, upang ilarawan ang pinakikinggan sa halip na ang inaakala mong dapat nitong gamitin.

Isang address lang ang itinatali ng serbisyo. Ang pagiging konektado at aktibo ng dalawang port ay hindi nagpapasagot sa serbisyo sa ikalawa. Ang isang static na address sa isang interface kasama ng isang DHCP address sa isa pa ay nagbibigay sa iyo ng dalawang magkatulad na halaga na madaling mapagpalit sa isang tingin, lalo na kapag sa huling octet lang sila nagkakaiba. Kopyahin ang address mula sa panel sa halip na i-type mula sa memorya. Pagkatapos, kumpirmahin sa NAS kung ano talaga ang nakatali sa port.

sudo ss -lunp | grep 1194

Kung ang output na iyon ay nagsasabi ng address na hindi mo inaasahan, ang forwarding ay nakaturo sa maling interface at ang lahat ng iba pa rito ay accounting. Ayusin ang rule bago magbasa pa, kung hindi ay mapupunta ka sa pag-debug ng certificate dahil sa packet na hindi kailanman umalis sa router.

Ayusin ang forwarding, pagkatapos bantayan ang counter

I-edit ang umiiral na rule sa forwarding sa halip na magdagdag ng pangalawa para sa parehong panlabas na port. Dalawang rule ang maaaring magkasabay sa table ng router at isa lang ang laging nananalo, na ginagawang pagtatalo tungkol sa kung alin ang totoo ang isang debugging session. Ituro ang panloob na address sa halagang binasa mo mula sa NAS, at hayaang tumugma ang panloob na port sa pinakikinggan ng serbisyo.

Kung nakukuha ng DSM ang address na iyon sa pamamagitan ng DHCP, gumawa muna ng reservation. Ang pagbabago sa lease ay tahimik na sumisira sa forwarding na gumana kahapon.

sudo tcpdump -i any -n udp port 1194

Simulan ang pag-capture bago magtangkang kumonekta ang client, at basahin ang source address sa anumang lumitaw. Wala talaga ay nangangahulugang may nagtapon nito sa daan: ang forwarding, ang firewall ng DSM o ang interface na pinatunguhan, at hindi maaaring maging sanhi ang mga certificate habang ganoon. May dumarating mula sa pampublikong address ng client na walang tugon ay nangangahulugang natanggap ng NAS ang kahilingan at piniling hindi tumugon. Ito ay magkaibang mga natuklasan, at ang pangalawa lang ang nagpapabalik sa iyo sa mga setting ng package mismo.

Saka lang tingnan ang mga certificate at transport

Kapag dumating ang mga packet, i-export muli ang profile pagkatapos ng anumang pagbabago sa certificate, dahil dala pa rin ng lumang file ang awtoridad kung saan ito ginawa. Ang profile na in-edit sa pamamagitan ng kamay para sa ibang transport ay nag-iiwan sa client na naghihintay sa isang tagapakinig na wala, at nag-uulat ito ng parehong pangkalahatang pagkabigo tulad ng lahat ng iba. Ihambing ang transport sa loob ng profile sa transport na naka-set na pagsilbihan ng package. Dalawang profile para sa dalawang transport ay lehitimong disenyo, at isang profile na in-edit para sa dalawa ay hindi.

Subukan mula sa labas ng sarili mong network bilang huling hakbang, dahil ang koneksyon mula sa loob ng LAN ay maaaring magtagumpay sa isang landas na hindi kailanman dumadampi sa forwarding.

Itago ang na-export na profile, ang address ng interface at ang rule sa forwarding nang magkasama sa isang tala. Kapag nagbago ang address, ang talang iyon ang pagkakaiba ng isang pagwawasto at isang pag-uulit. Walang anuman sa landas na ito ang nangangailangan ng muling pag-install ng package, na dapat tandaan bago sisihin ang susunod na reboot.