Synology NAS із двома портами LAN: чому рукостискання VPN зривається

Ноутбук повідомляє про помилку рукостискання TLS, що звучить як проблема із сертифікатом і зазвичай нею не є. На NAS із двома портами Ethernet найчастіша причина — переадресація на маршрутизаторі, спрямована на адресу, на якій пакет не слухає, і повідомлення клієнта в обох випадках однакове. Пакет не відповідає на другому порту лише тому, що обидва кабелі підключені. Перш ніж хтось перевипустить сертифікат, доведіть, що пакет узагалі доходить до NAS.

Що повідомляє клієнт і що сталося насправді

Помилка рукостискання від клієнта OpenVPN — це загальне позначення. Вона охоплює невідповідність сертифіката, невідповідність транспорту, слухача на іншому порту й переадресацію, що нічого не доставила. Тому повідомлення марне як відправна точка й корисне лише як підтвердження. Сприймайте його як твердження, що сеанс не встановлено, і нічого конкретнішого.

Порт і прив'язана адреса — це два факти, які вирішують, чи дійде пакет узагалі.

Запишіть обидва, перш ніж щось змінювати, бо правдоподібне виправлення, застосоване не на тому рівні, — це шлях, яким проблема на п'ятнадцять хвилин стає цілим днем. Позначте інтерфейс, адресу на ньому, порт і транспорт. Ці чотири значення становлять увесь вхідний шлях, і наступний розділ пояснює, де живе кожне з них.

Знайдіть адресу, на якій слухає пакет

DSM нумерує порти Ethernet, і кожен має власну адресу. Сторінка VPN Server називає інтерфейс, який використовує служба OpenVPN, а мережева панель показує адресу, налаштовану на цьому інтерфейсі. Читайте їх у цьому порядку, від служби назовні, щоб описувати те, що слухає, а не те, що ви припускаєте використовувати.

Служба прив'язується до однієї адреси. Те, що обидва порти підключені й активні, не змушує службу відповідати на другому. Статична адреса на одному інтерфейсі поряд з адресою DHCP на іншому дає два схожі значення, які легко переплутати з першого погляду, особливо якщо вони різняться лише останнім октетом. Скопіюйте адресу з панелі, а не вводьте її з пам'яті. Потім підтвердьте на NAS, що насправді прив'язано до порту.

sudo ss -lunp | grep 1194

Якщо цей вивід називає адресу, якої ви не чекали, переадресація спрямована на неправильний інтерфейс, і все інше тут — бухгалтерія. Виправте правило, перш ніж читати далі, інакше ви закінчите налагодженням сертифіката через пакет, який так і не залишив маршрутизатор.

Виправте переадресацію, потім стежте за лічильником

Редагуйте наявне правило переадресації, а не додавайте друге для того самого зовнішнього порту. Два правила можуть існувати в таблиці маршрутизатора одночасно, і завжди перемагає лише одне, що перетворює сеанс налагодження на суперечку про те, яке справжнє. Спрямуйте внутрішню адресу на значення, прочитане з NAS, і залиште внутрішній порт відповідним тому, на якому слухає служба.

Якщо DSM отримує цю адресу через DHCP, спершу створіть резервування. Зміна оренди тихо ламає переадресацію, яка працювала вчора.

sudo tcpdump -i any -n udp port 1194

Почніть перехоплення до того, як клієнт спробує підключитися, і читайте адресу джерела в усьому, що з'явиться. Повна відсутність означає, що щось по дорозі його відкинуло: переадресація, міжмережевий екран DSM або інтерфейс, на який вона була спрямована, і сертифікати не можуть бути причиною, поки це так. Щось, що приходить із публічної адреси клієнта без відповіді, означає, що NAS отримав запит і вирішив не відповідати. Це різні висновки, і лише другий повертає вас до налаштувань самого пакета.

Лише тоді дивіться на сертифікати й транспорт

Щойно пакети почнуть приходити, повторно експортуйте профіль після будь-якої зміни сертифіката, бо старий файл усе ще несе установу, з якою його створено. Профіль, відредагований вручну під інший транспорт, змушує клієнта чекати на слухача, якого немає, і повідомляє ту саму загальну помилку, що й усе інше. Порівняйте транспорт усередині профілю з транспортом, який пакет налаштований обслуговувати. Два профілі для двох транспортів — законний дизайн, а один профіль, відредагований для обох, — ні.

Перевіряйте ззовні власної мережі як останній крок, оскільки з'єднання зсередини LAN може вдатися шляхом, який узагалі не торкається переадресації.

Тримайте експортований профіль, адресу інтерфейсу й правило переадресації разом в одній нотатці. Коли адреса змінюється, ця нотатка — різниця між виправленням і повторенням. Ніщо на цьому шляху не вимагало перевстановлення пакета, що варто пам'ятати, перш ніж звинувачувати наступний перезапуск.