İki LAN bağlantı noktalı Synology NAS: VPN el sıkışması neden başarısız olur

Dizüstü bilgisayar bir TLS el sıkışma hatası bildiriyor; bu bir sertifika sorunu gibi görünür ve genellikle değildir. İki Ethernet bağlantı noktalı bir NAS'ta en yaygın neden paketin dinlemediği adrese yönelen yönlendirici iletimidir; istemcinin mesajı her iki durumda da aynıdır. Paket, yalnızca iki kablo takılı olduğu için ikinci bağlantı noktasında yanıt vermez. Birisi sertifikayı yeniden düzenlemeden önce, bir paketin NAS'a hiç ulaştığını kanıtlayın.

İstemcinin bildirdiği şey ve gerçekte ne olduğu

Bir OpenVPN istemcisinden gelen el sıkışma hatası genel bir terimdir. Sertifika uyuşmazlığını, taşıma uyuşmazlığını, başka bir bağlantı noktasındaki dinleyiciyi ve hiçbir şey teslim etmeyen bir iletimi kapsar. Bu yüzden mesaj başlangıç noktası olarak işe yaramaz ve yalnızca doğrulama olarak yararlıdır. Onu oturumun kurulmadığına dair bir ifade olarak görün, daha spesifik bir şey olarak değil.

Bağlantı noktası ve bağlı adres, bir paketin hiç gelip gelmeyeceğine karar veren iki gerçektir.

Herhangi bir şeyi değiştirmeden önce ikisini de yazın, çünkü yanlış katmana uygulanan makul bir düzeltme, on beş dakikalık bir sorunun bütün bir öğleden sonraya dönüşme yoludur. Arayüzü, üzerindeki adresi, bağlantı noktasını ve taşımayı not edin. Bu dört değer tüm gelen yoldur ve sonraki bölüm her birinin nerede yaşadığını açıklar.

Paketin dinlediği adresi bulun

DSM, Ethernet bağlantı noktalarını numaralandırır ve her biri kendi adresini taşır. VPN Server sayfası OpenVPN hizmetinin kullandığı arayüzü belirtir, ağ paneli ise o arayüzde yapılandırılmış adresi gösterir. Bunları bu sırayla, hizmetten dışarıya doğru okuyun; böylece kullanması gerektiğini varsaydığınızı değil, gerçekte neyin dinlediğini tanımlarsınız.

Hizmet tek bir adres bağlar. İki bağlantı noktasının da bağlı ve etkin olması, hizmetin ikincisinde yanıt vermesini sağlamaz. Bir arayüzde statik adres, diğerinde DHCP adresi olması size bir bakışta karıştırılması kolay iki benzer değer verir; özellikle yalnızca son oktette farklıysalar. Adresi bellekten yazmak yerine panelden kopyalayın. Ardından NAS'ta bağlantı noktasına gerçekte neyin bağlı olduğunu doğrulayın.

sudo ss -lunp | grep 1194

Bu çıktı beklemediğiniz bir adres veriyorsa, iletim yanlış arayüze yönelmiştir ve buradaki her şey muhasebedir. Daha fazla okumadan önce kuralı düzeltin, yoksa yönlendiriciden hiç çıkmamış bir paket yüzünden sertifika ayıklamakla bitirirsiniz.

İletimi düzeltin, sonra sayacı izleyin

Aynı dış bağlantı noktası için ikinci bir kural eklemek yerine mevcut iletim kuralını düzenleyin. İki kural bir yönlendiricinin tablosunda bir arada bulunabilir ve her zaman yalnızca biri kazanır; bu da hata ayıklama oturumunu hangisinin gerçek olduğu tartışmasına çevirir. İç adresi NAS'tan okuduğunuz değere yöneltin ve iç bağlantı noktasını hizmetin dinlediğiyle eşleşir bırakın.

DSM bu adresi DHCP ile alıyorsa önce bir rezervasyon oluşturun. Kira değişikliği, dün çalışan bir iletimi sessizce bozar.

sudo tcpdump -i any -n udp port 1194

İstemci bağlanmayı denemeden önce yakalamayı başlatın ve görünen her şeyde kaynak adresini okuyun. Hiçbir şey yoksa, yolda bir şey onu atmıştır: iletim, DSM güvenlik duvarı veya yöneldiği arayüz; ve bu böyle olduğu sürece sertifikalar neden olamaz. İstemcinin genel adresinden yanıtsız bir şey gelmesi, NAS'ın isteği aldığı ve yanıt vermemeyi seçtiği anlamına gelir. Bunlar farklı bulgulardır ve yalnızca ikincisi sizi paketin kendi ayarlarına geri gönderir.

Ancak o zaman sertifikalara ve taşımaya bakın

Paketler geldiğinde, her sertifika değişikliğinden sonra profili yeniden dışa aktarın, çünkü eski dosya hâlâ oluşturulduğu otoriteyi taşır. Başka bir taşıma için elle düzenlenmiş bir profil, istemciyi var olmayan bir dinleyicide bekletir ve diğer her şey gibi aynı genel hatayı bildirir. Profil içindeki taşımayı, paketin hizmet vermek üzere ayarlandığı taşımayla karşılaştırın. İki taşıma için iki profil meşru bir tasarımdır, ikisi için düzenlenmiş tek bir profil değildir.

Son adım olarak kendi ağınızın dışından test edin, çünkü LAN içinden bir bağlantı iletimi hiçbir zaman etkilemeyen bir yoldan başarılı olabilir.

Dışa aktarılan profili, arayüz adresini ve iletim kuralını birlikte tek bir notta tutun. Bir adres değiştiğinde, o not bir onarımla bir tekrar arasındaki farktır. Bu yolda hiçbir şey paketin yeniden kurulmasını gerektirmedi; bunu bir sonraki yeniden başlatma suçlanmadan önce hatırlamakta fayda var.