MULTI: ferkeard boarne-adres fan klant: waans adres wie dat?
De ynterne boarne komt net oerien mei de klant dy’t it levere hat. Keppelje it oan in tunnelopdracht, in LAN efter de klant of in dûbele identiteit.
It serverloch prints MULTI: bad source address from client, smyt it pakket fuort, en de sesje bliuwt ferbûn. Dy kombinaasje ferbjusteret minsken dy’t it berjocht lêze as in mislearre ferifikaasje. Dat is it net: de klant hat ferifikaasje dien, en it pakket dat oankaam droech in yntern boarne-adres dat de server net oan dy klant-ynstânsje keppelje koe. De kontrôle bart foar de levering, en dêrom liket de tunnel sûn wylst der neat nuttich trochhinne giet.
Wat de server foar de levering ferliket
Foar elk pakket dat fan in klant oankomt, sjocht de server yn brûkersromte nei it boarne-adres binnen de tunnel en freget syn ynterne routeringssteat oan hokker klant dat adres heart. As de eigner in oare ynstânsje is, of hielendal gjin eigner, dan wurdt it pakket fuortsmiten en wurdt de warskôging útstjoerd.
Gewoane levering fia de tunnelinterface bart nea.
Dy oarder ferklearret in detail dat minsken fernuveret: de tellers fan ’e host-firewall bewege net, om’t it pakket de firewall nea berikt hat. It oanpassen fan ’e omkearde-paadfiltering op ’e host feroaret hjir neat, om’t de ôfwizing barde yn ’e eigen keppelingstrochgong fan ’e daemon. Lês it berjocht as in útspraak oer eigendom en sykje dan út hokker fan ’e trije situaasjes it feroarsake hat.
Trije boarnen fan in net-oerienkommend yntern adres
De klant stjoert miskien fan in adres dat him net tawiisd is, út in netwurk dat nimmen as it syn by ferklearre hat, of fan in dûbel fan in identiteit dy’t al in eigner hat. Alle trije meitsje deselde lochrigel. Se ferskille yn wat jo feroarje moatte. Begjin mei it adres en de aktuele tawizinglist, en lit dy twa feiten it gefal kieze.
Om se te ûnderskieden binne twa feiten nedich: it ôfwizene adres yn it loch, en de tawizings dy’t de server aktueel achtet. It twadde is beskikber út ’e status- of behearwerjefte fan ’e rinnende ynstânsje, en it is it iennige gesach dat it neisjen wurdich is, om’t in konfiguraasjebestân bedoelingen fêstleit en net de hjoeddeistige steat.
Skriuw beide op foardat jo wat feroarje, en klassifisearje dan. In skermprint dy’t letter makke wurdt is gjin fêstleging fan ’e steat dy’t de warskôging makke. Bewarje ek de tiidstimpel, om’t tawizings tusken sesjes ferhúzje.
| Rejected source is | Likely cause |
|---|---|
| The client's own tunnel address | Static assignment conflict, wrong profile, or manual address change |
| A host behind that client | Missing internal ownership for that prefix |
| An address belonging to another session | Two devices sharing one identity or one static address |
It LAN efter in klant en iroute
As in side-klant syn eigen partikuliere netwurk rûtet, moat dat netwurk as fan ’e klant ferklearre wurde. In klantspezifyk bestân mei in iroute-ynfier docht dat, en de ynfier neamt it foarheaksel dat de klant drage mei.
In kearnrûte dy’t itselde foarheaksel nei de tunnel wiist is in aparte eask, en it tafoegjen dêrfan feroaret neat oan ’e ynterne eigendom fan ’e daemon.
# /etc/openvpn/server/ccd/site-b
iroute 192.168.70.0 255.255.255.0Kontrolearje dat de effektive identiteit oerienkomt mei de bestânsnamme, om’t in misferhâlding betsjut dat it bestân nea laden wurdt en it symptoom identyk is oan in ûntbrekkende ynfier. Foegje gjin brede iroute ta om ’e warskôging stil te meitsjen, om’t dat in ûnferwachte boarne feroaret yn in autorisearre ien sûnder te antwurdzjen wêrom’t de klant it stjoerde. It OpenVPN 2.6-hânboek dokumintearret iroute, duplicate-cn en identiteitskwaarts as aparte kontrôles.
Deselde identiteit op twa masines
In profyl dat nei in twadde laptop kopiearre is, draacht itselde sertifikaat en deselde mienskiplike namme. Ofhinklik fan ’e serverynstellings kin de nijere ferbining de âldere ferfange, en hokker ynstânsje dan ek it eigendom hat, wint de keppelingstrochgong.
Dat makket de fout ûnregelmjittich en lit him allinnich sjen as beide apparaten wekker binne.
It tastean fan dûbele mienskiplike nammen lit beide ferbine, mar jout har gjin ûnôfhinklike statyske adressen of ûnôfhinklik eigendom. As twa apparaten njonkeninoar bestean moatte, registrearje se dan apart, sadat elk syn eigen identiteit en syn eigen tawizing hat. It behanneljen fan ’e dûbelynstelling as reparaasje foar dizze warskôging lit it riedsel stean en foeget in twadde ta.
Bewiisje dat de keppeling feroare is
Pas de korreksje ta fia de eigner fan ’e konfiguraasje, en ferbyn dan de rekke klant opnij sadat it nije belied laden wurdt.
Werhelje deselde stream en befêstigje trije dingen: de ynterne boarne fan it pakket, de klant-ynstânsje dêr’t de server it oan keppelt, en it gedrach fan ’e bestimming dêrnei.
As de warskôging ophâldt mar de applikaasje mislearret noch, dan is it probleem ferhuze ynstee fan ferdwûn. Trochstjoering, firewallregels en it werompaad binne aparte stadia, en it heljen fan ’e keppelingstrochgong betsjut allinnich dat it pakket de tunnel ferlitte mocht.