Synology'da OpenVPN qo'l berishuvi muvaffaqiyatsizmi? LAN yo'naltirishini tekshiring

Noutbukingiz TLS qo'l berishuvi muvaffaqiyatsiz bo'lganini xabar qiladi, shuning uchun sertifikatlarni qayta qurish istagi paydo bo'ladi. Avval zerikarliroq savol bering: Synology aslida qaysi Ethernet portida tinglaydi? Ikki LAN portli NAS'ning ikkita manzili bor va DSM'dagi VPN Server paketi o'zining OpenVPN tinglovchisini ulardan biriga bog'laydi. Router 1194 ni boshqa manzilga yo'naltirganda, hech bir paket xizmatga yetib bormaydi va mijozning kelishish uchun hech narsasi qolmaydi.

Xato matni chalg'itadi, chunki u mijoz oxirgi urinishini tasvirlaydi, birinchi buzilganini emas. Paket sahifasini router qoidasi bilan solishtirishga ikki daqiqa yetadi.

Tinglovchi bog'langan manzilni toping

DSM portlarini LAN 1 va LAN 2 deb ataydi, har birida alohida manzil va quyi tarmoq bor. VPN Server'ni oching, OpenVPN yorlig'ida ko'rsatilgan interfeysni o'qing, so'ngra Control Panel'ni ochib DSM o'sha interfeysda ega bo'lgan IPv4 manzilini yozib oling. Yo'naltirish aynan shu ikki qiymatni ko'rsatishi kerak, NAS host nomini emas.

Ikkinchi ulangan kabel ikkinchi tinglovchini yaratmaydi. Ikkala havola ham ulangan ko'rinishi mumkin, lekin faqat bitta manzil trafikni qabul qiladi, ikki interfeys bir quyi tarmoqda bo'lsa, ikki manzil qoida saqlanishidan oldin hech kim qayta o'qimaydigan bitta raqam bilan farq qiladi.

SSH orqali soketning o'zini ko'ring, chunki daemon aslida nimaga bog'langanini ko'rsatadigan yagona joy shu, sozlamalar sahifasining maqsadi emas.

sudo netstat -anp | grep 1194

Yangi qo'shish o'rniga mavjud yo'naltirishni tahrirlang

Bitta tashqi port uchun ikki qoida routerni tanlashda erkin qoldiradi va qaysinisini tanlashi firmware yangilanishi yoki qayta ishga tushirishdan keyin o'zgarishi mumkin. Mavjud qoidani oching, ichki manzilini o'zgartiring, saqlang, so'ngra uni qayta ochib qiymatni o'qing. Qoidani xizmat nomi bilan atash yordam beradi, chunki beshta bir xil yo'naltirish ro'yxati noto'g'risining omon qolish yo'lidir.

external 1194/udp  ->  192.0.2.20:1194/udp

Ichki portni tinglash portiga teng tuting va protokolni bir xil tuting. UDP 1194 standart tinglovchi, TCP profili esa paket tomonida o'z tinglovchisini va routerda mos yo'naltirishni talab qiladi. Faqat UDP tinglaydigan xizmatga TCP yo'naltirish xato emas, sukunat beradi.

Agar NAS manzili DHCP'dan kelsa, qoida saqlanishidan oldin uni band qilib qo'ying. Ijara muddati tugaganda manzil qayta beriladi, yo'naltirish eski qiymatga ishora qilib qoladi va hech kim NAS'ga tegmagan kunda qo'l berishuv muvaffaqiyatsiz bo'la boshlaydi. NAS tomonidagi statik sozlama xuddi shu muammoni hal qiladi, sharti manzil routerning DHCP diapazonidan tashqarida bo'lsin.

Paketlar umuman yetib borishini isbotlang

Avval NAS'da ushlashni boshlang, so'ngra mijozdan ulanib, chiqishdagi manba manzilini o'qing. Muvaffaqiyatsizlikdan keyin boshlangan ushlash hech narsani ko'rsatmaydi va hech narsani isbotlamaydi.

sudo tcpdump -i any -n udp port 1194

Sukunat trafik xizmatga yetmasdan o'lganini bildiradi: noto'g'ri ichki manzil, DSM xavfsizlik devorida yopiq port yoki ma'muriy ravishda o'chirilgan interfeys. Chiqishda paketlar bo'lsa, yo'naltirish ishlayapti, qolgan nosozlik esa tarmoq qatlamidan yuqorida, bu ancha kichik qidiruv maydoni.

Ushlash paket kirgan interfeysni ham nomlaydi va aynan shu bitta tafsilot noto'g'ri portga qaratilgan qoidani ochilmagan portga qaratilgan qoidadan ajratadi. Xuddi shu urinish paytida routerning o'z hisoblagichini ham kuzating, agar u ko'rsatsa. Ushlash bo'sh turganda qimirlamaydigan hisoblagich routerga ishora qiladi, bo'sh ushlash bilan qimirlaydigan hisoblagich esa ikki qurilma orasidagi yo'lga ishora qiladi.

Paketlar yetib kelganda, yo'naltirishni ayblashni to'xtating

Keyingi gumondor profil va odatiy sabab eskirishdir. Eksport qilingan .ovpn fayl eksport paytidagi organ va materialni saqlaydi, shuning uchun sertifikati keyinroq almashtirilgan paket eski nusxani olib yurgan mijozni rad etadi.

Transport boshqa nomuvofiqlik bo'lib, uni aniq tekshirishga arziydi, chunki profil va paket turli joylarda tahrirlanadi. Profilni UDP'dan TCP'ga paketni almashtirmasdan o'zgartirish mijozni mavjud bo'lmagan tinglovchini kutishga qoldiradi va mijoz qolgan hamma narsa uchun aytadigan o'sha umumiy qo'l berishuv matnini aytadi. Fayldagi proto satrini o'qing, so'ngra server sahifasida tanlangan protokolni ko'ring va shundan keyingina ular mos keladi degan xulosaga keling. DSM xavfsizlik devori qoidalarini o'qish uchinchi tekshiruv: portni mahalliy quyi tarmoqdan ochib, internetdan ochmaydigan qoidani sinovdan keyin qoldirish oson va u oshxonadan ishlaydigan, boshqa hamma joydan esa muvaffaqiyatsiz bo'ladigan ulanish yaratadi.

Masofaviy foydalanuvchi haqiqatda bosib o'tadigan yo'lni sinab ko'ring

Xuddi shu LAN ichidagi mijoz yo'naltirishga umuman tegmasdan NAS'ga yetib borishi mumkin, shuning uchun bu masofaviy kirish haqida hech narsani isbotlamaydi. Wi-Fi o'chirilgan telefon ishlating yoki tarmoqdan tashqaridagi kimgadir so'rang va o'sha urinish paytida router hisoblagichini kuzating. Masofaviy urinish muvaffaqiyatsiz bo'lib, mahalliy urinish muvaffaqiyatli bo'lsa, yo'naltirish yoki xavfsizlik devori hali ham o'yinda.

Ishlayotgan holatni u ishlab turganda yozib oling: tashqi port, ichki manzil, protokol, paket interfeysi, shuningdek profil nomi va eksport sanasi. Qo'l berishuv yana muvaffaqiyatsiz bo'lsa, o'sha yozuv bilan joriy konfiguratsiya orasidagi farq nosozlikdir va hech kim xizmat ikki portning qaysinisini ishlatishini qaytadan aniqlashiga to'g'ri kelmaydi.