Nabibigo ang handshake ng OpenVPN sa Synology? Suriin ang pagpapasa ng LAN

Iniulat ng iyong laptop na nabigo ang TLS handshake, kaya ang tukso ay muling buuin ang mga sertipiko. Bago iyon, magtanong ng mas nakakabagot: sa aling Ethernet port talaga nakikinig ang Synology? Ang NAS na may dalawang LAN port ay may dalawang address, at ipinagbubuklod ng pakete ng VPN Server sa DSM ang tagapakinig nitong OpenVPN sa isa sa mga ito. Kapag ipinasa ng router ang 1194 sa kabilang address, walang packet na nakakarating sa serbisyo, at wala nang maipagkasundo ang kliyente.

Nakaliligaw ang teksto ng error dahil inilalarawan nito ang huling sinubukan ng kliyente, hindi ang unang nagkaproblema. Sapat ang dalawang minuto para ihambing ang pahina ng pakete sa tuntunin ng router.

Hanapin ang address na nakakabit ang tagapakinig

Tinatawag ng DSM ang mga port nito na LAN 1 at LAN 2, at bawat isa ay may hiwalay na address at subnet. Buksan ang VPN Server, basahin ang interface na binanggit sa tab ng OpenVPN, pagkatapos buksan ang Control Panel at itala ang IPv4 address na mayroon ang DSM sa parehong interface. Ang dalawang halagang iyon, hindi ang hostname ng NAS, ang dapat banggitin ng pagpapasa.

Ang pangalawang nakasaksak na kable ay hindi lumilikha ng pangalawang tagapakinig. Maaaring magmukhang konektado ang dalawang link habang isang address lang ang tumatanggap ng trapiko, at kapag ang dalawang interface ay nasa parehong subnet, ang dalawang address ay nagkakaiba ng isang digit na walang muling nagbabasa bago i-save ang isang tuntunin.

Tingnan ang socket mismo sa pamamagitan ng SSH, dahil ito lang ang lugar na nagpapakita kung ano talaga ang kinakabitan ng daemon, hindi ang sinasadya ng pahina ng mga setting.

sudo netstat -anp | grep 1194

I-edit ang umiiral na pagpapasa sa halip na magdagdag ng isa pa

Dalawang tuntunin para sa isang panlabas na port ay nag-iiwan sa router na malayang pumili, at kung alin ang pipiliin nito ay maaaring magbago pagkatapos ng firmware update o reboot. Buksan ang tuntuning umiiral na, baguhin ang panloob na address nito, i-save, pagkatapos ay buksan itong muli at basahin ang halaga. Nakakatulong ang pangalanan ang tuntunin ayon sa serbisyo, dahil ang listahan ng limang magkakatulad na pagpapasa ang paraan ng pagkaligtas ng mali.

external 1194/udp  ->  192.0.2.20:1194/udp

Panatilihing katumbas ng port ng pakikinig ang panloob na port, at panatilihing pare-pareho ang protocol. Ang UDP 1194 ang default na tagapakinig, habang ang profile ng TCP ay nangangailangan ng sariling tagapakinig sa panig ng pakete at ng tugmang pagpapasa sa router. Ang pagpapasa ng TCP sa serbisyong nakikinig lamang sa UDP ay nagdudulot ng katahimikan, hindi ng error.

Kung ang address ng NAS ay nagmumula sa DHCP, ireserba ito bago i-save ang tuntunin. Kapag nag-expire ang lease, muling itinatalaga ang address, patuloy na tumuturo ang pagpapasa sa lumang halaga, at nagsisimulang mabigo ang handshake sa araw na walang gumalaw sa NAS. Nalulutas ng static na configuration sa panig ng NAS ang parehong problema, sa kondisyong nasa labas ng saklaw ng DHCP ng router ang address.

Patunayan kung dumarating man lang ang mga packet

Magsimula muna ng capture sa NAS, pagkatapos kumonekta mula sa kliyente, at basahin ang source address sa output. Ang capture na sinimulan pagkatapos ng kabiguan ay walang ipinapakita at walang pinapatunayan.

sudo tcpdump -i any -n udp port 1194

Ang katahimikan ay nangangahulugang namatay ang trapiko bago pa umabot sa serbisyo: maling panloob na address, saradong port sa firewall ng DSM, o interface na administratibong patay. Ang mga packet sa output ay nangangahulugang gumagana ang pagpapasa, at ang natitirang depekto ay nasa itaas ng network layer, na isang mas maliit na lugar ng paghahanap.

Binabanggit din ng capture ang interface kung saan dumating ang packet, at ang nag-iisang detalyeng iyon ang naghihiwalay sa tuntuning nakatutok sa maling port mula sa tuntuning nakatutok sa port na hindi nakaupo. Panoorin ang sariling counter ng router sa parehong pagtatangka kung ipinapakita nito. Ang counter na hindi gumagalaw habang nananatiling walang laman ang capture ay tumutukoy sa router, habang ang counter na gumagalaw na may walang laman na capture ay tumutukoy sa daan sa pagitan ng dalawang aparato.

Kapag dumarating ang mga packet, tigilan ang pagsisi sa pagpapasa

Ang profile ang susunod na pinaghihinalaan, at ang karaniwang dahilan ay edad. Ang na-export na file na .ovpn ay naglalaman ng awtoridad at materyal mula sa sandali ng pag-export, kaya ang paketeng pinagpalit ang sertipiko pagkatapos ay tatanggihan ang kliyenteng nagdadala pa rin ng lumang kopya.

Ang transportasyon ang isa pang pagkakaibang dapat tiyak na suriin, dahil ang profile at ang pakete ay ine-edit sa magkaibang lugar. Ang pagpapalit ng profile mula UDP patungong TCP nang hindi pinapalitan ang pakete ay nag-iiwan sa kliyenteng naghihintay sa tagapakinig na wala naman, at iniuulat ng kliyente ang parehong pangkalahatang teksto ng handshake na iniuulat niya para sa lahat ng iba pa. Basahin ang linyang proto sa file, pagkatapos tingnan ang protocol na pinili sa pahina ng server, at saka lamang tapusin na tugma sila. Ang pagbasa ng mga tuntunin ng firewall ng DSM ang ikatlong pagsusuri: ang tuntuning nagpapahintulot sa port mula sa lokal na subnet ngunit hindi mula sa internet ay madaling maiwan pagkatapos ng pagsubok, at nagdudulot ito ng koneksyong gumagana mula sa kusina at nabibigo sa lahat ng iba pang lugar.

Subukan ang daang aktuwal na tinatahak ng malayong gumagamit

Ang kliyente sa loob ng parehong LAN ay maaaring makarating sa NAS nang hindi hinahawakan ang pagpapasa, kaya wala itong pinapatunayan tungkol sa malayong pag-access. Gumamit ng teleponong nakapatay ang Wi-Fi, o tanungin ang isang tao sa labas ng network, at panoorin ang counter ng router sa pagtatangkang iyon. Kung nabigo ang malayong pagtatangka habang nagtagumpay ang lokal, ang pagpapasa o ang firewall ay nasa larawan pa rin.

Itala ang gumaganang kalagayan habang gumagana ito: panlabas na port, panloob na address, protocol, interface ng pakete, at ang pangalan ng profile at petsa ng pag-export. Kapag nabigo muli ang handshake, ang pagkakaiba ng talaang iyon at ng kasalukuyang configuration ang depekto, at walang kailangang muling tuklasin kung alin sa dalawang port ang ginagamit ng serbisyo.