MULTI: bezeroaren jatorrizko helbide okerra: noren helbidea zen?
Barneko jatorria ez dator bat entregatu zuen bezeroarekin. Parekatu tunel-esleipen batekin, bezeroaren atzeko LAN batekin edo identitate bikoiztu batekin.
Zerbitzariaren erregistroak MULTI: bad source address from client inprimatzen du, paketea baztertu eta saioa konektatuta jarraitzen du. Konbinazio horrek autentifikazio-hutsegite gisa irakurtzen dutenak nahasten ditu. Ez da hori: bezeroa autentifikatu egin zen, eta iritsi zen paketeak zerbitzariak bezero-instantzia horrekin lotu ezin zuen barneko jatorri-helbidea zeraman. Egiaztapena entregaren aurretik gertatzen da, eta horregatik tunela osasuntsu dagoela dirudi, ezer erabilgarririk zeharkatzen ez duen bitartean.
Zer alderatzen duen zerbitzariak entregaren aurretik
Bezerotik iristen den pakete bakoitzeko, erabiltzaile-espazioko zerbitzariak tunelean barruko jatorri-helbideari begiratzen dio eta bere barneko bideratze-egoerari galdetzen dio helbide hori zein bezerorena den. Jabea beste instantzia bat bada, edo jaberik ez badago, paketea baztertu eta abisua ematen da.
Tunelaren interfazearen bidezko ohiko entrega ez da inoiz gertatzen.
Ordena horrek jendea nahasten duen xehetasun bat azaltzen du: ostatatzailearen suebakiko kontagailuak ez dira mugitzen, paketea inoiz suebakira iritsi ez delako. Ostalatzailean atzeranzko bidearen iragazketa doitzeak ez du hemen ezer aldatzen, baztertzea demonioaren beraren elkarketaren egiaztapenean gertatu baitzen. Irakurri mezua jabetzari buruzko adierazpen gisa, eta gero aurkitu hiru egocerek zein eragin zuten.
Bateratzen ez den barne-helbidearen hiru jatorri
Bezeroa esleitu ez zaion helbide batetik, inork beretzat aldarrikatu ez duen sare batetik edo jada jabea duen identitate baten bikoiztutik bidaltzen ari daiteke. Hirurek erregistro-lerro bera sortzen dute. Aldatzen duzunean bereizten dira. Hasi helbidearekin eta uneko esleipen-zerrendarekin, eta utzi bi datu horiei kasua aukeratzen.
Haiek bereizteko bi datu behar dira: erregistroan baztertutako helbidea eta zerbitzariak unekotzat jotzen dituen esleipenak. Bigarrena martxan dagoen instantziaren egoera- edo kudeaketa-ikuspegian dago eskuragarri, eta kontsultatzea merezi duen autoritate bakarra da, konfigurazio-fitxategi batek asmoak erregistratzen baititu, ez oraingo egoera.
Idatzi biak ezer aldatu aurretik, eta gero sailkatu. Geroago ateratako pantaila-argazkia ez da abisua sortu zuen egoeraren erregistroa. Gorde denbora-marka ere, esleipenak saioen artean mugitzen baitira.
| Rejected source is | Likely cause |
|---|---|
| The client's own tunnel address | Static assignment conflict, wrong profile, or manual address change |
| A host behind that client | Missing internal ownership for that prefix |
| An address belonging to another session | Two devices sharing one identity or one static address |
Bezeroaren atzeko LAN-a eta iroute
Gune-bezero batek bere sare pribatua bideratzen duenean, sare hori bezeroarena dela adierazi behar da. iroute sarrera duen bezeroaren fitxategi espezifiko batek hori egiten du, eta sarrerak bezeroak eraman dezakeen aurrizkia izendatzen du.
Aurrizki bera tunelera bideratzen duen kernel-bidea baldintza bereizia da, eta hura gehitzeak ez du ezer aldatzen demonioaren barne-jabetzan.
# /etc/openvpn/server/ccd/site-b
iroute 192.168.70.0 255.255.255.0Egiaztatu identitate eraginkorra fitxategi-izenarekin bat datorrela, desadostasunak fitxategia inoiz kargatzen ez dela esan nahi baitu, eta sintoma falta den sarrera baten berdina da. Ez gehitu iroute zabalik abisua isilarazteko, horrek ustekabeko jatorri bat baimendutako bihurtzen baitu, bezeroak zergatik bidali zuen erantzun gabe. OpenVPN 2.6 eskuliburuak iroute, duplicate-cn eta identitate-mapa kontrol bereizi gisa dokumentatzen ditu.
Identitate bera bi makinatan
Bigarren ordenagailu eramangarrira kopiatutako profilak ziurtagiri bera eta izen komun bera daramatza. Zerbitzariaren ezarpenen arabera, konexio berriagoak zaharragoa ordezka dezake, eta jabetza duen instantziak irabazten du elkarketaren egiaztapena.
Horrek hutsa tartekakoa ematen du, eta bi gailuak esna daudenean baino ez da agertzen.
Izen komun bikoiztuak onartzeak biak konektatzen uzten ditu, baina ez die helbide estatiko independenterik ezta jabetza independenterik ere ematen. Bi gailuk elkarrekin egon behar badute, erregistratu bereizita, bakoitzak bere identitatea eta bere esleipena izan ditzan. Bikoizketaren ezarpena abisu honen konponketa gisa tratatzeak misterioa lekuan uzten du eta beste bat gehitzen du.
Froga ezazu elkarketa aldatu dela
Aplikatu zuzenketa konfigurazioaren jabearen bidez, eta, ondoren, konektatu berriro kaltetutako bezeroa politika berria karga dadin.
Errepikatu fluxu bera eta egiaztatu hiru gauza: paketearen barne-jatorria, zerbitzariak harekin elkartzen duen bezero-instantzia eta helmugaren portaera geroago.
Abisua gelditzen bada baina aplikazioak huts egiten badu oraindik, arazoa mugitu egin da, ez desagertu. Bideratzea, suebaki-arauak eta itzulera-bidea etapa bereiziak dira, eta elkarketaren egiaztapena gainditzeak paketeari tuneletik irteten utzi zaiola baino ez du esan nahi.