MULTI: λανθασμένη διεύθυνση προέλευσης από πελάτη: ποιανού ήταν η διεύθυνση;
Η εσωτερική προέλευση δεν ταιριάζει με τον πελάτη που την παρέδωσε. Αντιστοιχίστε την με εκχώρηση σήραγγας, LAN πίσω από τον πελάτη ή διπλή ταυτότητα.
Το αρχείο καταγραφής του διακομιστή εκτυπώνει MULTI: bad source address from client, απορρίπτει το πακέτο και η συνεδρία παραμένει συνδεδεμένη. Ο συνδυασμός αυτός μπερδεύει όσους διαβάζουν το μήνυμα ως αποτυχία πιστοποίησης. Δεν είναι: ο πελάτης πιστοποιήθηκε και το πακέτο που έφτασε έφερε εσωτερική διεύθυνση προέλευσης την οποία ο διακομιστής δεν μπόρεσε να συσχετίσει με αυτό το στιγμιότυπο του πελάτη. Ο έλεγχος γίνεται πριν από την παράδοση, γι’ αυτό η σήραγγα φαίνεται υγιής ενώ τίποτα χρήσιμο δεν τη διαπερνά.
Τι συγκρίνει ο διακομιστής πριν την παράδοση
Για κάθε πακέτο που φτάνει από έναν πελάτη, ο διακομιστής στον χώρο χρήστη κοιτάζει τη διεύθυνση προέλευσης μέσα στη σήραγγα και ρωτά την εσωτερική κατάσταση δρομολόγησης σε ποιον πελάτη ανήκει αυτή η διεύθυνση. Αν ο ιδιοκτήτης είναι άλλο στιγμιότυπο ή δεν υπάρχει καθόλου ιδιοκτήτης, το πακέτο απορρίπτεται και εκδίδεται η προειδοποίηση.
Η συνήθης παράδοση μέσω της διεπαφής της σήραγγας δεν συμβαίνει ποτέ.
Η σειρά αυτή εξηγεί μια λεπτομέρεια που μπερδεύει: οι μετρητές του τείχους προστασίας του κεντρικού υπολογιστή δεν κινούνται, επειδή το πακέτο δεν έφτασε ποτέ στο τείχος προστασίας. Η προσαρμογή του φιλτραρίσματος αντίστροφης διαδρομής στον κεντρικό υπολογιστή δεν αλλάζει τίποτα εδώ, αφού η απόρριψη συνέβη στον δικό του έλεγχο συσχέτισης του δαίμονα. Διαβάστε το μήνυμα ως δήλωση για την κυριότητα και μετά βρείτε ποια από τις τρεις καταστάσεις το προκάλεσε.
Τρεις πηγές εσωτερικής διεύθυνσης που δεν ταιριάζει
Ο πελάτης μπορεί να στέλνει από διεύθυνση που δεν του εκχωρήθηκε, από δίκτυο που κανείς δεν δήλωσε ότι του ανήκει ή από αντίγραφο ταυτότητας που έχει ήδη ιδιοκτήτη. Και οι τρεις παράγουν την ίδια γραμμή καταγραφής. Διαφέρουν σε αυτό που πρέπει να αλλάξετε. Ξεκινήστε με τη διεύθυνση και τον τρέχοντα κατάλογο εκχωρήσεων και αφήστε τα δύο αυτά γεγονότα να διαλέξουν την περίπτωση.
Η διάκρισή τους απαιτεί δύο γεγονότα: την απορριφθείσα διεύθυνση στο αρχείο καταγραφής και τις εκχωρήσεις που ο διακομιστής θεωρεί τρέχουσες. Το δεύτερο είναι διαθέσιμο από την προβολή κατάστασης ή διαχείρισης του εκτελούμενου στιγμιότυπου και είναι η μόνη αρχή που αξίζει να συμβουλευτείτε, γιατί ένα αρχείο ρυθμίσεων καταγράφει προθέσεις και όχι την παρούσα κατάσταση.
Καταγράψτε και τα δύο πριν αλλάξετε οτιδήποτε και μετά ταξινομήστε. Ένα στιγμιότυπο οθόνης που λαμβάνεται αργότερα δεν είναι καταγραφή της κατάστασης που προκάλεσε την προειδοποίηση. Κρατήστε και τη χρονική σήμανση, γιατί οι εκχωρήσεις μετακινούνται μεταξύ συνεδριών.
| Rejected source is | Likely cause |
|---|---|
| The client's own tunnel address | Static assignment conflict, wrong profile, or manual address change |
| A host behind that client | Missing internal ownership for that prefix |
| An address belonging to another session | Two devices sharing one identity or one static address |
Το LAN πίσω από έναν πελάτη και το iroute
Όταν ένας πελάτης τοποθεσίας δρομολογεί το δικό του ιδιωτικό δίκτυο, το δίκτυο αυτό πρέπει να δηλωθεί ως ανήκον στον πελάτη. Ένα αρχείο ειδικό για τον πελάτη με καταχώριση iroute το κάνει, και η καταχώριση ονομάζει το πρόθεμα που επιτρέπεται να μεταφέρει ο πελάτης.
Μια διαδρομή πυρήνα που κατευθύνει το ίδιο πρόθεμα στη σήραγγα είναι ξεχωριστή απαίτηση και η προσθήκη της δεν αλλάζει τίποτα στην εσωτερική κυριότητα του δαίμονα.
# /etc/openvpn/server/ccd/site-b
iroute 192.168.70.0 255.255.255.0Επιβεβαιώστε ότι η ενεργή ταυτότητα ταιριάζει με το όνομα του αρχείου, γιατί μια αναντιστοιχία σημαίνει ότι το αρχείο δεν φορτώνεται ποτέ και το σύμπτωμα είναι ίδιο με μια απούσα καταχώριση. Μην προσθέσετε ευρύ iroute για να σιωπήσετε την προειδοποίηση, γιατί αυτό μετατρέπει μια απρόσμενη προέλευση σε εξουσιοδοτημένη χωρίς να απαντά γιατί την έστειλε ο πελάτης. Το εγχειρίδιο του OpenVPN 2.6 τεκμηριώνει τα iroute, duplicate-cn και την αντιστοίχιση ταυτότητας ως ξεχωριστούς ελέγχους.
Η ίδια ταυτότητα σε δύο μηχανήματα
Ένα προφίλ αντιγραμμένο σε δεύτερο φορητό υπολογιστή φέρει το ίδιο πιστοποιητικό και το ίδιο κοινό όνομα. Ανάλογα με τις ρυθμίσεις του διακομιστή, η νεότερη σύνδεση μπορεί να αντικαταστήσει την παλαιότερη και όποιο στιγμιότυπο κρατά την κυριότητα κερδίζει τον έλεγχο συσχέτισης.
Αυτό κάνει το σφάλμα να φαίνεται διακοπτόμενο και να εμφανίζεται μόνο όταν και οι δύο συσκευές είναι ενεργές.
Η αποδοχή διπλών κοινών ονομάτων αφήνει και τις δύο να συνδεθούν, αλλά δεν τους δίνει ανεξάρτητες στατικές διευθύνσεις ή ανεξάρτητη κυριότητα. Αν δύο συσκευές πρέπει να συνυπάρχουν, καταχωρίστε τις χωριστά ώστε καθεμία να έχει τη δική της ταυτότητα και τη δική της εκχώρηση. Η αντιμετώπιση της ρύθμισης διπλών ως επισκευής αυτής της προειδοποίησης αφήνει το μυστήριο στη θέση του και προσθέτει δεύτερο.
Αποδείξτε ότι η συσχέτιση άλλαξε
Εφαρμόστε τη διόρθωση μέσω του ιδιοκτήτη της ρύθμισης και μετά επανασυνδέστε τον επηρεαζόμενο πελάτη ώστε να φορτωθεί η νέα πολιτική.
Επαναλάβετε την ίδια ροή και επιβεβαιώστε τρία πράγματα: την εσωτερική προέλευση του πακέτου, το στιγμιότυπο πελάτη με το οποίο το συσχετίζει ο διακομιστής και τη συμπεριφορά του προορισμού μετά.
Αν η προειδοποίηση σταματήσει αλλά η εφαρμογή εξακολουθεί να αποτυγχάνει, το πρόβλημα μετακινήθηκε αντί να εξαφανιστεί. Η προώθηση, οι κανόνες τείχους προστασίας και η διαδρομή επιστροφής είναι ξεχωριστά στάδια και το πέρασμα του ελέγχου συσχέτισης σημαίνει μόνο ότι το πακέτο επιτράπηκε να φύγει από τη σήραγγα.