دو LAN پورٹس والا Synology NAS: VPN ہینڈ شیک کیوں ناکام ہوتا ہے

لیپ ٹاپ TLS ہینڈ شیک کی ناکامی کی اطلاع دیتا ہے، جو سرٹیفکیٹ کے مسئلے جیسا لگتا ہے اور عام طور پر ایسا نہیں ہوتا۔ دو Ethernet پورٹس والے NAS پر سب سے عام وجہ روٹر فارورڈنگ ہے جو اس پتے کی طرف ہے جہاں پیکیج نہیں سنتا، اور کلائنٹ کا پیغام دونوں صورتوں میں یکساں ہے۔ صرف دونوں کیبلز لگے ہونے کی وجہ سے پیکیج دوسری پورٹ پر جواب نہیں دیتا۔ کسی کے سرٹیفکیٹ دوبارہ جاری کرنے سے پہلے ثابت کریں کہ پیکٹ NAS تک پہنچتا ہے۔

کلائنٹ کیا بتاتا ہے اور درحقیقت کیا ہوا

OpenVPN کلائنٹ کی ہینڈ شیک ناکامی ایک عام اصطلاح ہے۔ اس میں سرٹیفکیٹ کی عدم مطابقت، ٹرانسپورٹ کی عدم مطابقت، دوسری پورٹ پر سننے والا اور ایسی فارورڈنگ شامل ہے جس نے کچھ نہیں پہنچایا۔ اسی لیے پیغام نقطۂ آغاز کے طور پر بیکار ہے اور صرف تصدیق کے طور پر مفید ہے۔ اسے اس بیان کے طور پر لیں کہ سیشن قائم نہیں ہوا، اور اس سے زیادہ مخصوص کچھ نہیں۔

پورٹ اور بندھا ہوا پتہ وہ دو حقائق ہیں جو طے کرتے ہیں کہ پیکٹ کبھی پہنچے گا یا نہیں۔

کچھ بھی بدلنے سے پہلے دونوں لکھ لیں، کیونکہ غلط پرت پر لگائی گئی معقول درستی وہی راستہ ہے جس سے پندرہ منٹ کا مسئلہ پوری دوپہر بن جاتا ہے۔ انٹرفیس، اس پر موجود پتہ، پورٹ اور ٹرانسپورٹ نوٹ کریں۔ یہ چار قدریں پورا آنے والا راستہ ہیں، اور اگلا حصہ بتاتا ہے کہ ہر ایک کہاں رہتا ہے۔

وہ پتہ تلاش کریں جہاں پیکیج سنتا ہے

DSM Ethernet پورٹس کو نمبر دیتا ہے اور ہر ایک کا اپنا پتہ ہوتا ہے۔ VPN Server صفحہ اس انٹرفیس کا نام بتاتا ہے جو OpenVPN سروس استعمال کرتی ہے، اور نیٹ ورک پینل اس انٹرفیس پر تشکیل شدہ پتہ دکھاتا ہے۔ انہیں اسی ترتیب میں پڑھیں، سروس سے باہر کی طرف، تاکہ آپ بیان کریں کہ کیا سن رہا ہے، یہ نہ سمجھیں کہ اسے کیا استعمال کرنا چاہیے۔

سروس ایک پتہ باندھتی ہے۔ دونوں پورٹس کا منسلک اور فعال ہونا سروس کو دوسری پر جواب دینے پر مجبور نہیں کرتا۔ ایک انٹرفیس پر مستقل پتہ اور دوسرے پر DHCP پتہ آپ کو دو ملتے جلتے اقدار دیتا ہے جنہیں ایک نظر میں بدلنا آسان ہے، خاص طور پر جب وہ صرف آخری آکٹٹ میں مختلف ہوں۔ پتہ یاد سے ٹائپ کرنے کے بجائے پینل سے نقل کریں۔ پھر NAS پر تصدیق کریں کہ پورٹ سے واقعی کیا بندھا ہے۔

sudo ss -lunp | grep 1194

اگر وہ آؤٹ پٹ ایسا پتہ بتائے جس کی آپ توقع نہیں کر رہے تھے، تو فارورڈنگ غلط انٹرفیس کی طرف ہے اور یہاں باقی سب حساب ہے۔ آگے پڑھنے سے پہلے قاعدہ درست کریں، ورنہ آپ اس پیکٹ کے لیے سرٹیفکیٹ ڈیبگ کریں گے جو کبھی روٹر سے نکلا ہی نہیں۔

فارورڈنگ درست کریں، پھر کاؤنٹر دیکھیں

اسی بیرونی پورٹ کے لیے دوسرا شامل کرنے کے بجائے موجودہ فارورڈنگ قاعدہ میں ترمیم کریں۔ روٹر کی جدول میں دو قواعد ساتھ رہ سکتے ہیں اور ہمیشہ صرف ایک جیتتا ہے، جو ڈیبگنگ سیشن کو اس بحث میں بدل دیتا ہے کہ اصل کون سا ہے۔ اندرونی پتہ اس قدر کی طرف کریں جو آپ نے NAS سے پڑھا، اور اندرونی پورٹ کو سروس کے سننے والے سے ہم آہنگ رہنے دیں۔

اگر DSM وہ پتہ DHCP کے ذریعے لیتا ہے، تو پہلے ایک ریزرویشن بنائیں۔ لیز کی تبدیلی کل کام کرنے والی فارورڈنگ کو خاموشی سے توڑ دیتی ہے۔

sudo tcpdump -i any -n udp port 1194

کلائنٹ کے جڑنے کی کوشش سے پہلے کیپچر شروع کریں، اور جو بھی ظاہر ہو اس میں ماخذ پتہ پڑھیں۔ بالکل کچھ نہ ہونا اس بات کا مطلب ہے کہ راستے میں کسی نے اسے پھینک دیا: فارورڈنگ، DSM فائر وال یا وہ انٹرفیس جس کی طرف یہ تھا، اور جب تک یہ حالت ہے سرٹیفکیٹ وجہ نہیں ہو سکتے۔ کلائنٹ کے عوامی پتے سے بغیر جواب کچھ آنا اس بات کا مطلب ہے کہ NAS نے درخواست وصول کی اور جواب نہ دینے کا انتخاب کیا۔ یہ مختلف نتائج ہیں، اور صرف دوسرا آپ کو پیکیج کی اپنی ترتیبات کی طرف واپس بھیجتا ہے۔

تب ہی سرٹیفکیٹ اور ٹرانسپورٹ دیکھیں

پیکٹ آنے کے بعد کسی بھی سرٹیفکیٹ تبدیلی کے بعد پروفائل دوبارہ برآمد کریں، کیونکہ پرانی فائل اب بھی وہ اختیار رکھتی ہے جس کے ساتھ یہ بنی تھی۔ دوسرے ٹرانسپورٹ کے لیے ہاتھ سے ترمیم شدہ پروفائل کلائنٹ کو ایسے سامع کے انتظار میں چھوڑ دیتا ہے جو موجود نہیں، اور باقی سب کی طرح وہی عام ناکامی بتاتا ہے۔ پروفائل کے اندر کے ٹرانسپورٹ کا موازنہ اس ٹرانسپورٹ سے کریں جسے پیکیج نے خدمت کے لیے مقرر کیا ہے۔ دو ٹرانسپورٹ کے لیے دو پروفائل جائز ڈیزائن ہیں، اور دونوں کے لیے ترمیم شدہ ایک پروفائل نہیں۔

آخری مرحلے کے طور پر اپنے نیٹ ورک کے باہر سے جانچیں، کیونکہ LAN کے اندر سے رابطہ ایسے راستے سے کامیاب ہو سکتا ہے جو فارورڈنگ کو کبھی نہیں چھوتا۔

برآمد شدہ پروفائل، انٹرفیس کا پتہ اور فارورڈنگ قاعدہ ایک ساتھ ایک نوٹ میں رکھیں۔ جب پتہ بدلتا ہے، تو وہ نوٹ درستی اور تکرار کے درمیان فرق ہے۔ اس راستے میں کسی چیز کو پیکیج دوبارہ نصب کرنے کی ضرورت نہیں پڑی، جو اگلی ری بوٹ کو الزام دینے سے پہلے یاد رکھنے کے قابل ہے۔