Synology'de OpenVPN el sıkışması başarısız mı? LAN yönlendirmesini kontrol edin

Dizüstü bilgisayarınız TLS el sıkışmasının başarısız olduğunu bildiriyor, bu yüzden sertifikaları yeniden oluşturma isteği doğuyor. Önce daha sıkıcı bir soru sorun: Synology gerçekte hangi Ethernet portunda dinliyor? İki LAN portlu bir NAS'ın iki adresi vardır ve DSM'deki VPN Server paketi OpenVPN dinleyicisini bunlardan birine bağlar. Yönlendirici 1194'ü diğer adrese ilettiğinde hiçbir paket hizmete ulaşmaz ve istemcinin pazarlık edecek bir şeyi kalmaz.

Hata metni yanıltıcıdır çünkü istemcinin en son denediğini anlatır, ilk bozulanı değil. Paket sayfasını yönlendirici kuralıyla karşılaştırmak için iki dakika yeter.

Dinleyicinin bağlı olduğu adresi bulun

DSM portlarını LAN 1 ve LAN 2 olarak adlandırır ve her biri ayrı bir adres ile alt ağ taşır. VPN Server'ı açın, OpenVPN sekmesinde belirtilen arayüzü okuyun, ardından Denetim Masası'nı açıp DSM'nin aynı arayüzde sahip olduğu IPv4 adresini not edin. Yönlendirmenin belirtmesi gereken şey NAS'ın ana bilgisayar adı değil, bu iki değerdir.

Takılan ikinci kablo ikinci bir dinleyici oluşturmaz. Her iki bağlantı da bağlı görünebilirken trafiği yalnızca bir adres kabul eder ve iki arayüz aynı alt ağdaysa iki adres, kural kaydedilmeden önce kimsenin yeniden okumadığı tek bir rakamla ayrılır.

SSH üzerinden soketin kendisine bakın, çünkü daemonun gerçekte neye bağlandığını gösteren tek yer burasıdır, ayarlar sayfasının amacı değil.

sudo netstat -anp | grep 1194

Yenisini eklemek yerine var olan yönlendirmeyi düzenleyin

Tek bir dış port için iki kural yönlendiriciyi seçimde serbest bırakır ve hangisini seçeceği bir yazılım güncellemesinden veya yeniden başlatmadan sonra değişebilir. Zaten var olan kuralı açın, iç adresini değiştirin, kaydedin, sonra yeniden açıp değeri okuyun. Kuralı hizmetin adıyla adlandırmak yardımcı olur, çünkü beş özdeş yönlendirmeden oluşan bir liste yanlış olanın hayatta kalma yoludur.

external 1194/udp  ->  192.0.2.20:1194/udp

İç portu dinleme portuna eşit tutun ve protokolü tutarlı tutun. UDP 1194 varsayılan dinleyicidir, TCP profili ise paket tarafında kendi dinleyicisine ve yönlendiricide eşleşen bir yönlendirmeye ihtiyaç duyar. Yalnızca UDP dinleyen bir hizmete TCP yönlendirmek hata değil sessizlik verir.

NAS adresi DHCP'den geliyorsa kural kaydedilmeden önce onu ayırtın. Kira süresi dolduğunda adres yeniden atanır, yönlendirme eski değeri göstermeye devam eder ve kimsenin NAS'a dokunmadığı bir gün el sıkışması başarısız olmaya başlar. NAS tarafındaki statik yapılandırma aynı sorunu çözer, yeter ki adres yönlendiricinin DHCP aralığının dışında olsun.

Paketlerin gerçekten ulaşıp ulaşmadığını kanıtlayın

Önce NAS'ta bir yakalama başlatın, ardından istemciden bağlanın ve çıktıdaki kaynak adresini okuyun. Hatadan sonra başlatılan bir yakalama hiçbir şey göstermez ve hiçbir şeyi kanıtlamaz.

sudo tcpdump -i any -n udp port 1194

Sessizlik trafiğin hizmete ulaşmadan öldüğü anlamına gelir: yanlış iç adres, DSM güvenlik duvarında kapalı port veya yönetimsel olarak kapatılmış arayüz. Çıktıdaki paketler yönlendirmenin çalıştığı anlamına gelir ve kalan arıza ağ katmanının üstünde yaşar, bu da çok daha küçük bir arama alanıdır.

Yakalama, paketin geldiği arayüzü de adlandırır ve tam da bu tek ayrıntı yanlış porta yönelen kuralı açık olmayan bir porta yönelen kuraldan ayırır. Aynı denemede yönlendiricinin kendi sayacını da izleyin, gösteriyorsa. Yakalama boş kalırken hareket etmeyen sayaç yönlendiriciyi işaret eder, boş bir yakalamayla hareket eden sayaç ise iki cihaz arasındaki yolu işaret eder.

Paketler geldiğinde yönlendirmeyi suçlamayı bırakın

Profil bir sonraki şüphelidir ve genellikle sebep yaştır. Dışa aktarılan bir .ovpn dosyası, dışa aktarma anındaki yetkiyi ve malzemeyi içerir, bu yüzden sertifikası sonradan değiştirilen bir paket eski kopyayı taşıyan istemciyi reddeder.

Taşıma, açıkça kontrol edilmeye değer diğer uyumsuzluktur, çünkü profil ile paket farklı yerlerde düzenlenir. Profili UDP'den TCP'ye geçirmek paketi değiştirmeden istemciyi var olmayan bir dinleyiciyi beklemeye bırakır ve istemci her şey için bildirdiği aynı genel el sıkışma metnini bildirir. Dosyadaki proto satırını okuyun, ardından sunucu sayfasında seçilen protokole bakın ve ancak o zaman uyuştukları sonucuna varın. DSM güvenlik duvarı kurallarını okumak üçüncü kontroldür: portu yerel alt ağdan açıp internetten açmayan bir kural testlerden sonra kolayca geride kalır ve mutfaktan çalışıp başka her yerden başarısız olan bir bağlantı üretir.

Uzak kullanıcının gerçekten izlediği yolu test edin

Aynı LAN içindeki bir istemci yönlendirmeye hiç dokunmadan NAS'a ulaşabilir, bu yüzden uzak erişim hakkında hiçbir şeyi kanıtlamaz. Wi-Fi kapalı bir telefon kullanın ya da ağ dışından birine sorun ve o deneme sırasında yönlendiricinin sayacını izleyin. Uzak deneme başarısız olurken yerel deneme başarılıysa yönlendirme veya güvenlik duvarı hâlâ işin içindedir.

Çalışan durumu çalışırken kaydedin: dış port, iç adres, protokol, paket arayüzü ve profilin adı ile dışa aktarma tarihi. El sıkışması yeniden başarısız olduğunda o not ile mevcut yapılandırma arasındaki fark arızadır ve kimsenin hizmetin iki porttan hangisini kullandığını yeniden keşfetmesi gerekmez.