MULTI: клиенттен келген қате бастау адресі: бұл кімнің адресі еді?
Ішкі дереккөз оны жеткізген клиентпен сәйкес келмейді. Оны туннель бөлінісіне, клиенттің артындағы LAN-ға немесе қайталанған жеке басыммен сәйкестендіріңіз.
Сервер журналы MULTI: bad source address from client басып шығарады, пакетті тастайды, ал сессия қосылып қалады. Бұл үйлесім хабарламаны аутентификацияның сәтсіздігі деп оқитындарды шатастырады. Олай емес: клиент аутентификациядан өтті, ал келген пакет сервер сол клиент данасымен байланыстыра алмаған ішкі бастау адресін тасымалдаған. Тексеру жеткізуге дейін жүреді, сондықтан туннель сау көрінеді, бірақ одан пайдалы ештеңе өтпейді.
Сервер жеткізуге дейін нені салыстырады
Клиенттен келетін әр пакет үшін пайдаланушы кеңістігіндегі сервер туннель ішіндегі бастау адресіне қарап, өзінің ішкі маршруттау күйінен бұл адрес қай клиентке тиесілі екенін сұрайды. Егер иесі басқа дана болса немесе иесі мүлдем болмаса, пакет жойылады және ескерту шығарылады.
Туннель интерфейсі арқылы қарапайым жеткізу ешқашан болмайды.
Бұл реттілік адамдарды таңқалдыратын бір бөлшекті түсіндіреді: хосттың қорғаныс қабырғасының санауыштары қозғалмайды, өйткені пакет қорғаныс қабырғасына еш жетпеген. Хосттағы кері жол сүзгісін реттеу мұнда ештеңені өзгертпейді, өйткені бас тарту демонның өзіндік байланыс тексерісінде болған. Хабарламаны меншік туралы мәлімдеме ретінде оқып, содан кейін оны үш жағдайдың қайсысы тудырғанын анықтаңыз.
Сәйкес келмейтін ішкі адрестің үш көзі
Клиент өзіне берілмеген адрестен, ешкім өзінің деп жарияламаған желіден немесе иесі бар жеке басымның көшірмесінен жіберуі мүмкін. Үшеуі де бірдей журнал жолын жасайды. Олар нені өзгерту керектігімен ерекшеленеді. Адреспен және ағымдағы бөліністер тізімімен бастап, осы екі дерекке істі таңдауға мүмкіндік беріңіз.
Оларды ажырату екі деректі қажет етеді: журналдағы қабылданбаған адрес және сервер ағымдағы деп санайтын бөліністер. Екіншісі жұмыс істеп тұрған дананың күй немесе басқару көрінісінен қолжетімді және бұл кеңесуге тұрарлық жалғыз билік, өйткені конфигурация файлы ниеттерді жазады, ағымдағы күйді емес.
Бірдеңе өзгертуден бұрын екеуін де жазып алыңыз, содан кейін жіктеңіз. Кейін түсірілген экран суреті ескертуді тудырған күйдің жазбасы емес. Уақыт белгісін де сақтаңыз, өйткені бөліністер сессиялар арасында ауысады.
| Rejected source is | Likely cause |
|---|---|
| The client's own tunnel address | Static assignment conflict, wrong profile, or manual address change |
| A host behind that client | Missing internal ownership for that prefix |
| An address belonging to another session | Two devices sharing one identity or one static address |
Клиенттің артындағы LAN және iroute
Сайт клиенті өзінің жеке желісін маршруттағанда, бұл желі клиентке тиесілі деп жариялануы керек. iroute жазбасы бар клиентке тән файл мұны жасайды, ал жазба клиент тасуға құқылы префиксті атайды.
Сол префиксті туннельге бағыттайтын ядро маршруты бөлек талап, және оны қосу демонның ішкі меншігіне ештеңе өзгертпейді.
# /etc/openvpn/server/ccd/site-b
iroute 192.168.70.0 255.255.255.0Тиімді жеке басым файл атауына сәйкес келетінін растаңыз, өйткені сәйкессіздік файлдың ешқашан жүктелмейтінін білдіреді және симптом жоқ жазбамен бірдей. Ескертуді тыныштандыру үшін кең iroute қоспаңыз, өйткені бұл күтпеген көзді рұқсат етілгенге айналдырады және клиент оны неге жібергеніне жауап бермейді. OpenVPN 2.6 нұсқаулығы iroute, duplicate-cn және жеке басымды сәйкестендіруді бөлек басқарулар ретінде құжаттайды.
Екі машинадағы бірдей жеке басым
Екінші ноутбукке көшірілген профиль бірдей сертификатты және бірдей ортақ атауды тасымалдайды. Сервер параметрлеріне қарай жаңа қосылым ескісін алмастыруы мүмкін, ал байланыс тексерісін меншікті ұстаған дана ұтады.
Бұл ақауды үзік-үзік көрсетеді және ол екі құрылғы да ояу болғанда ғана пайда болады.
Қайталанған ортақ атауларға рұқсат ету екеуіне де қосылуға мүмкіндік береді, бірақ оларға тәуелсіз статикалық адрестер немесе тәуелсіз меншік бермейді. Екі құрылғы бірге болуы керек болса, оларды бөлек тіркеңіз, сонда әрқайсысының өз жеке басымы мен өз бөлінісі болады. Қайталау параметрін осы ескертудің жөндеуі деп санау жұмбақты орнында қалдырады және екіншісін қосады.
Байланыс өзгергенін дәлелдеңіз
Түзетуді конфигурация иесі арқылы қолданыңыз, содан кейін жаңа саясат жүктелуі үшін зардап шеккен клиентті қайта қосыңыз.
Сол ағынды қайталап, үш нәрсені растаңыз: пакеттің ішкі көзі, сервер онымен байланыстыратын клиент данасы және одан кейінгі межелі жердің әрекеті.
Ескерту тоқтаса да қолданба әлі сәтсіз болса, мәселе жоғалмай, орын ауыстырған. Жіберу, қорғаныс қабырғасының ережелері және қайту жолы бөлек кезеңдер, ал байланыс тексерісінен өту пакетке туннельден шығуға рұқсат берілгенін ғана білдіреді.