NAS Synology với hai cổng LAN: vì sao bắt tay VPN thất bại

Máy tính xách tay báo lỗi bắt tay TLS, nghe như vấn đề chứng chỉ và thường không phải. Trên NAS có hai cổng Ethernet, nguyên nhân phổ biến nhất là một quy tắc chuyển tiếp trên router trỏ tới địa chỉ mà gói tin không lắng nghe, và thông báo của máy khách giống hệt nhau trong cả hai trường hợp. Gói tin không trả lời trên cổng thứ hai chỉ vì cả hai dây đều được cắm. Trước khi ai đó cấp lại chứng chỉ, hãy chứng minh rằng một gói tin có đến được NAS.

Máy khách báo gì và thực tế đã xảy ra chuyện gì

Lỗi bắt tay từ một máy khách OpenVPN là một cách gọi chung. Nó bao gồm chứng chỉ không khớp, vận chuyển không khớp, một bộ lắng nghe trên cổng khác và một quy tắc chuyển tiếp không giao được gì. Vì thế thông báo vô dụng làm điểm khởi đầu và chỉ hữu ích như một xác nhận. Hãy coi đó là lời khẳng định rằng phiên không được thiết lập, và không có gì cụ thể hơn.

Cổng và địa chỉ được gắn là hai sự thật quyết định liệu một gói tin có bao giờ đến hay không.

Ghi lại cả hai trước khi thay đổi bất cứ điều gì, vì một bản sửa hợp lý áp dụng ở tầng sai chính là cách một vấn đề mười lăm phút trở thành cả buổi chiều. Ghi lại giao diện, địa chỉ trên đó, cổng và vận chuyển. Bốn giá trị đó là toàn bộ đường vào, và phần tiếp theo giải thích mỗi giá trị nằm ở đâu.

Tìm địa chỉ mà gói tin lắng nghe

DSM đánh số các cổng Ethernet và mỗi cổng mang địa chỉ riêng. Trang VPN Server nêu giao diện mà dịch vụ OpenVPN dùng, và bảng mạng hiển thị địa chỉ được cấu hình trên giao diện đó. Hãy đọc chúng theo thứ tự đó, từ dịch vụ ra ngoài, để bạn mô tả cái đang lắng nghe thay vì cái bạn cho rằng nó nên dùng.

Dịch vụ gắn một địa chỉ. Việc cả hai cổng đều được kết nối và hoạt động không làm dịch vụ trả lời trên cổng thứ hai. Một địa chỉ tĩnh trên giao diện này bên cạnh một địa chỉ DHCP trên giao diện kia cho bạn hai giá trị tương tự dễ bị nhầm lẫn trong một cái nhìn, nhất là khi chúng chỉ khác nhau ở octet cuối. Sao chép địa chỉ từ bảng thay vì gõ từ trí nhớ. Sau đó xác nhận trên NAS điều gì thực sự được gắn với cổng.

sudo ss -lunp | grep 1194

Nếu kết quả đó nêu một địa chỉ mà bạn không ngờ tới, quy tắc chuyển tiếp đang nhắm sai giao diện và mọi thứ còn lại ở đây chỉ là sổ sách. Sửa quy tắc trước khi đọc tiếp, nếu không bạn sẽ kết thúc bằng việc gỡ lỗi một chứng chỉ vì một gói tin chưa bao giờ rời khỏi router.

Sửa chuyển tiếp, rồi theo dõi bộ đếm

Sửa quy tắc chuyển tiếp hiện có thay vì thêm một quy tắc thứ hai cho cùng cổng ngoài. Hai quy tắc có thể cùng tồn tại trong bảng của router và chỉ một quy tắc luôn thắng, điều đó biến một phiên gỡ lỗi thành cuộc tranh luận xem cái nào là thật. Trỏ địa chỉ trong vào giá trị bạn đọc từ NAS, và để cổng trong khớp với cái mà dịch vụ lắng nghe.

Nếu DSM nhận địa chỉ đó qua DHCP, hãy tạo một đặt trước trước. Một thay đổi hợp đồng thuê âm thầm phá vỡ một quy tắc chuyển tiếp đã hoạt động hôm qua.

sudo tcpdump -i any -n udp port 1194

Bắt đầu bắt gói trước khi máy khách thử kết nối, và đọc địa chỉ nguồn trong bất cứ thứ gì xuất hiện. Hoàn toàn không có gì nghĩa là có thứ gì đó trên đường đã bỏ nó: quy tắc chuyển tiếp, tường lửa của DSM hoặc giao diện mà nó nhắm tới, và chứng chỉ không thể là nguyên nhân chừng nào điều đó còn đúng. Có thứ gì đó đến từ địa chỉ công khai của máy khách mà không có phản hồi nghĩa là NAS đã nhận yêu cầu và chọn không trả lời. Đó là những phát hiện khác nhau, và chỉ cái thứ hai đưa bạn trở lại cài đặt của chính gói tin.

Chỉ khi đó mới xem chứng chỉ và vận chuyển

Khi gói tin đến, hãy xuất lại hồ sơ sau mỗi thay đổi chứng chỉ, vì tệp cũ vẫn mang tổ chức phát hành mà nó được tạo ra cùng. Một hồ sơ được sửa tay cho vận chuyển khác khiến máy khách chờ một bộ lắng nghe không tồn tại, và nó báo cùng một lỗi chung như mọi thứ khác. So sánh vận chuyển bên trong hồ sơ với vận chuyển mà gói tin được đặt để phục vụ. Hai hồ sơ cho hai vận chuyển là một thiết kế hợp lý, còn một hồ sơ được sửa cho cả hai thì không.

Hãy thử từ bên ngoài mạng của bạn như bước cuối, vì một kết nối từ bên trong LAN có thể thành công qua một đường không bao giờ chạm vào quy tắc chuyển tiếp.

Giữ hồ sơ đã xuất, địa chỉ giao diện và quy tắc chuyển tiếp cùng nhau trong một ghi chú. Khi một địa chỉ thay đổi, ghi chú đó là khác biệt giữa một bản sửa và một lần diễn lại. Không có gì trên đường này đòi hỏi cài lại gói tin, điều đáng nhớ trước khi lần khởi động lại tiếp theo bị đổ lỗi.