Perte connexion VPN entre 2 NAS Synology

[ViRouF]

Bonjour,

 

J'avais créé un openVPN entre 2 NAS synology l'an dernier et ça fonctionnait super ... après un raté au démarrage ...

Depuis quelques jours, impossible de rétablir la connexion VPN entre les 2 NAS, j'ai le message suivant côté client: "La connexion a échoué ou le certificat a expiré. Veuillez utiliser un certificat valide émis par le serveur VPN et réessayez. "

J'ai vérifié/testé:

- le port 1194 côté serveur toujours ouvert

- statut du VPN server openVPN

- avec/sans firewall côté serveur

- rédémarrage du nas (restart is always good)

- export de la configuration du serveur vpn et réimport côté client avec avoir changé l'IP dans le fichier de config (ip directe ou xxx.myds.me même combat)

- user & password utilisé pour la connexion

- liste d'adresse IP bloquées purgées côté server

 

... toujours le même message ... je sèche ... !?

Merci

Modifié le 20 février 2021 par ViRouF

[Jeff777]

Bonjour @ViRouF

C'est peut-être un peu basique ce que je vais dire mais il faut s'en assurer : tu es certain de la validité de ton certificat et de l'adéquation de la config OpenVPN avec celui-ci?

Il y a 5 heures, ViRouF a dit :

ou le certificat a expiré.

[Mic13710]

Toujours ce problème de certificat sur le VPN.

Pour ne pas y être confronté, il faut utiliser pour le seul serveur VPN un certificat spécifique d'une durée de validité éloignée. Soit on lui affecte le certificat par défaut de DSM synology.com, soit un certificat auto-signé.

Ainsi le certificat n'est pas affecté par les renouvellements Let's Encrypt, et surtout on ne perd pas la connexion à distance qui peut devenir un vrai cauchemar à rétablir.

[ViRouF]

Bonjour,

Pour avoir un peu plus d'info que ce message d'erreur, j'ai eu l'idée d'utiliser le client openVPN sur windows.

Voici les messages que j'ai

Quand le paquet VPNServer est sur le certificat let's encrypt:

Sun Feb 21 10:06:57 2021 VERIFY ERROR: depth=1, error=unable to get local issuer certificate: C=US, O=Let's Encrypt, CN=R3, serial=xxxx
Sun Feb 21 10:06:57 2021 OpenSSL: error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed
Sun Feb 21 10:06:57 2021 TLS_ERROR: BIO read tls_read_plaintext error
Sun Feb 21 10:06:57 2021 TLS Error: TLS object -> incoming plaintext read error
Sun Feb 21 10:06:57 2021 TLS Error: TLS handshake failed
Sun Feb 21 10:06:57 2021 SIGUSR1[soft,tls-error] received, process restarting
Sun Feb 21 10:07:07 2021 WARNING: No server certificate verification method has been enabled.  See http://openvpn.net/howto.html#mitm for more info.

Quand le paquet est sur le certificat auto-signé

Sun Feb 21 10:19:27 2021 WARNING: No server certificate verification method has been enabled.  See http://openvpn.net/howto.html#mitm for more info.
Sun Feb 21 10:19:27 2021 TCP/UDP: Preserving recently used remote address: [AF_INET6]xxxx:1194
Sun Feb 21 10:19:27 2021 setsockopt(IPV6_V6ONLY=0)
Sun Feb 21 10:19:27 2021 UDP link local (bound): [AF_INET6][undef]:1194
Sun Feb 21 10:19:27 2021 UDP link remote: [AF_INET6]xxxx:1194
Sun Feb 21 10:19:27 2021 WARNING: this configuration may cache passwords in memory -- use the auth-nocache option to prevent this
Sun Feb 21 10:19:29 2021 TLS Error: Unroutable control packet received from [AF_INET6]xxxx:1194 (si=3 op=P_CONTROL_V1)
Sun Feb 21 10:19:29 2021 VERIFY ERROR: depth=1, error=self signed certificate in certificate chain: C=FR, ST=XXX, L=XXX, O=XXX, OU=XXX, CN=XXXX, emailAddress=xxxx@xxxx.com, serial=xxxxx
Sun Feb 21 10:19:29 2021 OpenSSL: error:1416F086:SSL routines:tls_process_server_certificate:certificate verify failed
Sun Feb 21 10:19:29 2021 TLS_ERROR: BIO read tls_read_plaintext error
Sun Feb 21 10:19:29 2021 TLS Error: TLS object -> incoming plaintext read error
Sun Feb 21 10:19:29 2021 TLS Error: TLS handshake failed

 

🥺

[ViRouF]

J'ai finalement réussi à faire une connexion à partir du client OpenVPN GUI dans Windows avec le VPN Server, mais en utilisant le même fichier de configuration *.ovpn ça ne fonctionnait toujours pas depuis le NAS.

Pour tester j'ai remplacé dans le fichier de configuration *.ovpn la ligne et j'ai crée le VPN dans DSM côté client

proto udp

remplacé par

proto udp6

et la connexion s'est faite ... entre les NAS.

C'est étrange, non? Vous sauriez me dire pourquoi ?

Et pourquoi cette ligne n'était pas nécessaire dans l'autre client VPN côté Windows? 

 

Modifié le 21 février 2021 par ViRouF