Ikki LAN portli Synology NAS: VPN qo'l berish nega muvaffaqiyatsiz bo'ladi

Noutbuk TLS qo'l berish xatosi haqida xabar beradi, bu sertifikat muammosiga o'xshaydi va odatda unday emas. Ikki Ethernet portli NASda eng ko'p uchraydigan sabab paket tinglamayotgan manzilga qaratilgan router yo'naltirishi bo'lib, mijoz xabari ikkala holatda ham bir xil. Ikkala kabel ulanganligi uchungina paket ikkinchi portda javob bermaydi. Kimdir sertifikatni qayta chiqarishdan oldin paket NASga umuman yetib borishini isbotlang.

Mijoz nima xabar beradi va aslida nima bo'ldi

OpenVPN mijozi tomonidan qo'l berish xatosi umumiy atama. U sertifikat nomuvofiqligini, transport nomuvofiqligini, boshqa portdagi tinglovchini va hech narsa yetkazmagan yo'naltirishni qamrab oladi. Shuning uchun xabar boshlang'ich nuqta sifatida foydasiz va faqat tasdiq sifatida foydali. Uni sessiya o'rnatilmaganligi haqidagi bayonot deb qabul qiling, undan aniqroq narsa emas.

Port va bog'langan manzil paketning umuman yetib borishini hal qiladigan ikki fakt.

Biror narsani o'zgartirishdan oldin ikkalasini ham yozib qo'ying, chunki noto'g'ri qatlamga qo'llangan ishonchli tuzatish o'n besh daqiqalik muammoni butun tushlikdan keyingi vaqtga aylantiradigan yo'l. Interfeys, undagi manzil, port va transportni qayd eting. Bu to'rt qiymat butun kirish yo'lidir va keyingi bo'lim ularning har biri qayerda yashashini tushuntiradi.

Paket tinglayotgan manzilni toping

DSM Ethernet portlarini raqamlaydi va har biri o'z manziliga ega. VPN Server sahifasi OpenVPN xizmati foydalanadigan interfeysni nomlaydi, tarmoq paneli esa shu interfeysda sozlangan manzilni ko'rsatadi. Ularni shu tartibda, xizmatdan tashqariga qarab o'qing, shunda siz ishlatishi kerak deb taxmin qilgan narsani emas, balki haqiqatda nimani tinglayotganini tasvirlaysiz.

Xizmat bitta manzilni bog'laydi. Ikkala port ham ulangan va faol bo'lishi xizmatning ikkinchisida javob berishiga olib kelmaydi. Bir interfeysda statik manzil va boshqasida DHCP manzili sizga bir qarashda chalkashtirish oson bo'lgan ikki o'xshash qiymat beradi, ayniqsa ular faqat oxirgi oktetda farq qilsa. Manzilni xotiradan yozish o'rniga paneldan nusxalang. So'ngra NASda portga aslida nima bog'langanini tasdiqlang.

sudo ss -lunp | grep 1194

Agar bu chiqish siz kutmagan manzilni aytsa, yo'naltirish noto'g'ri interfeysga qaratilgan va bu yerda qolgan hamma narsa hisob-kitob. Davom etishdan oldin qoidani tuzating, aks holda routerdan hech qachon chiqmagan paket uchun sertifikatni tuzatish bilan yakunlaysiz.

Yo'naltirishni tuzating, so'ng hisoblagichni kuzating

Xuddi shu tashqi port uchun ikkinchisini qo'shish o'rniga mavjud yo'naltirish qoidasini tahrirlang. Ikki qoida router jadvalida birga mavjud bo'lishi mumkin va doim faqat bittasi g'alaba qozonadi, bu esa tuzatish seansini qaysi biri haqiqiy ekani haqidagi bahsga aylantiradi. Ichki manzilni NASdan o'qigan qiymatga qarating va ichki portni xizmat tinglayotganiga mos qoldiring.

Agar DSM bu manzilni DHCP orqali olsa, avval band qilish yarating. Ijara o'zgarishi kecha ishlagan yo'naltirishni jimgina buzadi.

sudo tcpdump -i any -n udp port 1194

Mijoz ulanishga urinishidan oldin tutishni boshlang va paydo bo'lgan har qanday narsada manba manzilini o'qing. Hech narsa yo'qligi yo'lda kimdir uni tashlab yuborganini bildiradi: yo'naltirish, DSM devori yoki u qaratilgan interfeys, va bu davom etar ekan sertifikatlar sabab bo'la olmaydi. Mijozning umumiy manzilidan javobsiz biror narsa kelishi NAS so'rovni qabul qilib, javob bermaslikni tanlaganini bildiradi. Bular turli xulosalar va faqat ikkinchisi sizni paketning o'z sozlamalariga qaytaradi.

Shundan keyingina sertifikatlar va transportni ko'ring

Paketlar yetib kelgach, har qanday sertifikat o'zgarishidan keyin profilni qayta eksport qiling, chunki eski fayl hali ham u yaratilgan organni olib yuradi. Boshqa transport uchun qo'lda tahrirlangan profil mijozni mavjud bo'lmagan tinglovchini kutishga qoldiradi va boshqa hamma kabi bir xil umumiy xatoni xabar qiladi. Profil ichidagi transportni paket xizmat ko'rsatishga sozlangan transport bilan solishtiring. Ikki transport uchun ikki profil qonuniy dizayn, ikkalasi uchun tahrirlangan bitta profil esa emas.

Oxirgi qadam sifatida o'z tarmog'ingizdan tashqaridan sinab ko'ring, chunki LAN ichidan ulanish yo'naltirishga umuman tegmaydigan yo'l orqali muvaffaqiyatli bo'lishi mumkin.

Eksport qilingan profil, interfeys manzili va yo'naltirish qoidasini birga bitta eslatmada saqlang. Manzil o'zgarganda, o'sha eslatma tuzatish va takrorlash o'rtasidagi farq. Bu yo'lda hech narsa paketni qayta o'rnatishni talab qilmadi, buni keyingi qayta yuklash ayblanishidan oldin eslab qolish arziydi.