MULTI: müştəridən səhv mənbə ünvanı – bu kimin ünvanı idi?
Daxili mənbə onu çatdıran müştəri ilə uyğun gəlmir. Onu tunel təyinatı, müştərinin arxasındakı LAN və ya dublikat kimliklə uyğunlaşdırın.
Server jurnalı MULTI: bad source address from client çap edir, paketi atır və sessiya bağlı qalır. Bu birləşmə mesajı autentifikasiya uğursuzluğu kimi oxuyanları çaşdırır. Belə deyil: müştəri autentifikasiyadan keçib və gələn paket serverin həmin müştəri nüsxəsi ilə əlaqələndirə bilmədiyi daxili mənbə ünvanı daşıyırdı. Yoxlama çatdırmadan əvvəl baş verir, buna görə tunel sağlam görünür, halbuki ondan faydalı heç nə keçmir.
Server çatdırmadan əvvəl nəyi müqayisə edir
Müştəridən gələn hər paket üçün istifadəçi məkanı serveri tunelin içindəki mənbə ünvanına baxır və daxili marşrut vəziyyətindən həmin ünvanın hansı müştəriyə aid olduğunu soruşur. Əgər sahib başqa nüsxədirsə və ya ümumiyyətlə sahib yoxdursa, paket silinir və xəbərdarlıq verilir.
Tunel interfeysindən adi çatdırma heç vaxt baş vermir.
Bu ardıcıllıq insanları heyrətləndirən bir detalı izah edir: hostun firewall sayğacları tərpənmir, çünki paket firewall-a heç çatmayıb. Hostda tərs yol filtrləməsini dəyişmək burada heç nəyi dəyişmir, çünki rədd demonun öz əlaqələndirmə yoxlamasında baş verib. Mesajı mülkiyyət barədə bir ifadə kimi oxuyun, sonra onu üç vəziyyətdən hansının yaratdığını tapın.
Uyğunsuz daxili ünvanın üç mənbəyi
Müştəri ona təyin edilməyən ünvandan, heç kimin ona aid elan etmədiyi şəbəkədən və ya artıq sahibi olan kimliyin dublikatından göndərə bilər. Üçü də eyni jurnal sətrini yaradır. Fərq nəyi dəyişməli olduğunuzdadır. Ünvanla və cari təyinat siyahısı ilə başlayın, qoy bu iki fakt halı seçsin.
Onları ayırmaq iki fakt tələb edir: jurnaldakı rədd edilmiş ünvan və serverin cari hesab etdiyi təyinatlar. İkincisi işləyən nüsxənin status və ya idarəetmə görünüşündən əldə olunur və müraciət etməyə dəyər yeganə mənbədir, çünki konfiqurasiya faylı niyyətləri yazır, hazırkı vəziyyəti yox.
Heç nəyi dəyişməzdən əvvəl hər ikisini qeyd edin, sonra təsnif edin. Sonradan çəkilən ekran görüntüsü xəbərdarlığı yaradan vəziyyətin qeydi deyil. Vaxt damğasını da saxlayın, çünki təyinatlar sessiyalar arasında dəyişir.
| Rejected source is | Likely cause |
|---|---|
| The client's own tunnel address | Static assignment conflict, wrong profile, or manual address change |
| A host behind that client | Missing internal ownership for that prefix |
| An address belonging to another session | Two devices sharing one identity or one static address |
Müştərinin arxasındakı LAN və iroute
Sayt müştərisi öz şəxsi şəbəkəsini marşrutlaşdıranda, həmin şəbəkə müştəriyə aid elan edilməlidir. iroute girişi olan müştəriyə xas fayl bunu edir və giriş müştərinin daşımağa icazəli olduğu prefiksi göstərir.
Eyni prefiksi tunelə yönəldən nüvə marşrutu ayrı bir tələbdir və onu əlavə etmək demonun daxili mülkiyyəti ilə bağlı heç nəyi dəyişmir.
# /etc/openvpn/server/ccd/site-b
iroute 192.168.70.0 255.255.255.0Effektiv kimliyin fayl adı ilə uyğun gəldiyini təsdiqləyin, çünki uyğunsuzluq faylın heç yüklənmədiyi anlamına gəlir və simptom itkin girişlə eynidir. Xəbərdarlığı susdurmaq üçün geniş iroute əlavə etməyin, çünki bu, gözlənilməz mənbəyi icazəli birinə çevirir və müştərinin onu niyə göndərdiyinə cavab vermir. OpenVPN 2.6 təlimatı iroute, duplicate-cn və kimlik uyğunlaşdırmasını ayrı nəzarətlər kimi sənədləşdirir.
Eyni kimlik iki maşında
İkinci noutbuka köçürülən profil eyni sertifikatı və eyni ümumi adı daşıyır. Serverin ayarlarından asılı olaraq daha yeni bağlantı köhnəni əvəz edə bilər və mülkiyyəti hansı nüsxə saxlayırsa, əlaqələndirmə yoxlamasını o qazanır.
Bu, nasazlığı fasiləli göstərir və yalnız hər iki cihaz oyaq olanda ortaya çıxır.
Dublikat ümumi adlara icazə vermək hər ikisinin qoşulmasına imkan verir, amma onlara ayrı statik ünvanlar və ya ayrı mülkiyyət vermir. İki cihaz birlikdə mövcud olmalıdırsa, onları ayrıca qeydiyyata alın ki, hər birinin öz kimliyi və öz təyinatı olsun. Dublikat ayarını bu xəbərdarlığın düzəlişi kimi qəbul etmək sirri yerində qoyur və ikincisini əlavə edir.
Əlaqələndirmənin dəyişdiyini sübut edin
Düzəlişi konfiqurasiya sahibi vasitəsilə tətbiq edin, sonra yeni siyasətin yüklənməsi üçün təsirlənmiş müştərini yenidən qoşun.
Eyni axını təkrarlayın və üç şeyi təsdiqləyin: paketin daxili mənbəyi, serverin onunla əlaqələndirdiyi müştəri nüsxəsi və sonradan təyinatın davranışı.
Xəbərdarlıq dayanıb tətbiq hələ də uğursuz olursa, problem yox olmayıb, yerini dəyişib. Yönləndirmə, firewall qaydaları və qayıdış yolu ayrı mərhələlərdir və əlaqələndirmə yoxlamasından keçmək yalnız paketin tuneldən çıxmasına icazə verildiyini bildirir.