MULTI: кардардан келген туура эмес баштапкы дарек: бул кимдин дареги болчу?
Ички булак аны жеткирген кардарга туура келбейт. Аны туннелдик бөлүштүрүүгө, кардардын артындагы LANга же кайталанган инсанга дал келтириңиз.
Сервер журналы MULTI: bad source address from client басып чыгарат, пакетти таштайт, ал эми сессия туташкан бойдон калат. Бул айкалыш билдирүүнү аутентификациянын ийгиликсиздиги деп окугандарды адаштырат. Андай эмес: кардар аутентификациядан өткөн, ал эми келген пакет сервер ошол кардардын нускасы менен байланыштыра албаган ички баштапкы даректи алып келген. Текшерүү жеткирүүгө чейин жүрөт, ошондуктан туннель соо көрүнөт, бирок андан пайдалуу эч нерсе өтпөйт.
Сервер жеткирүүгө чейин эмнени салыштырат
Кардардан келген ар бир пакет үчүн колдонуучу мейкиндигиндеги сервер туннелдин ичиндеги баштапкы даректи карап, өзүнүн ички маршруттоо абалынан бул дарек кайсы кардарга таандык экенин сурайт. Эгер ээси башка нуска болсо же ээси такыр жок болсо, пакет жок кылынат жана эскертүү чыгарылат.
Туннелдин интерфейси аркылуу кадимки жеткирүү эч качан болбойт.
Бул ырааттуулук адамдарды таң калтырган деталды түшүндүрөт: хосттун коргоо дубалынын эсептегичтери кыймылдабайт, анткени пакет коргоо дубалына эч жеткен эмес. Хосттогу тескери жол чыпкалоосун жөндөө бул жерде эч нерсени өзгөртпөйт, анткени баш тартуу демондун өзүнүн байланыш текшерүүсүндө болгон. Билдирүүнү менчик тууралуу билдирүү катары окуп, анан аны үч жагдайдын кайсынысы жаратканын аныктаңыз.
Дал келбеген ички даректин үч булагы
Кардар өзүнө бөлүнгөн эмес даректен, эч ким өзүнүкү деп жарыялабаган тармактан же ээси бар инсандын көчүрмөсүнөн жиберип жаткан болушу мүмкүн. Үчөө тең бирдей журнал саптарын жаратат. Алар эмнени өзгөртүү керектиги менен айырмаланат. Дарек жана учурдагы бөлүштүрүүлөр тизмеси менен баштап, бул эки фактыга ишти тандоого жол бериңиз.
Аларды ажыратуу эки фактыны талап кылат: журналдагы четке кагылган дарек жана сервер учурдагы деп эсептеген бөлүштүрүүлөр. Экинчиси иштеп жаткан нусканын абалы же башкаруу көрүнүшүнөн жеткиликтүү жана кеңешүүгө татыктуу жалгыз бийлик, анткени конфигурация файлы ниеттерди жазат, учурдагы абалды эмес.
Бир нерсени өзгөртүүдөн мурун экөөнү тең жазып алыңыз, анан классификациялаңыз. Кийин тартылган экран сүрөтү эскертүүнү жараткан абалдын жазуусу эмес. Убакыт белгисин да сактаңыз, анткени бөлүштүрүүлөр сессиялардын ортосунда жылат.
| Rejected source is | Likely cause |
|---|---|
| The client's own tunnel address | Static assignment conflict, wrong profile, or manual address change |
| A host behind that client | Missing internal ownership for that prefix |
| An address belonging to another session | Two devices sharing one identity or one static address |
Кардардын артындагы LAN жана iroute
Сайттын кардары өзүнүн жеке тармагын маршруттаганда, ал тармак кардарга таандык деп жарыяланышы керек. iroute жазуусу бар кардарга тиешелүү файл муну кылат, ал эми жазуу кардар ташууга укуктуу префиксти атайт.
Ошол эле префиксти туннелге багыттаган өзөк маршруту өзүнчө талап, жана аны кошуу демондун ички менчигинде эч нерсени өзгөртпөйт.
# /etc/openvpn/server/ccd/site-b
iroute 192.168.70.0 255.255.255.0Натыйжалуу инсан файл атына дал келерин ырастаңыз, анткени дал келбөө файл эч качан жүктөлбөйт дегенди билдирет жана симптом жок жазуу менен бирдей. Эскертүүнү тынчтандыруу үчүн кенен iroute кошпоңуз, анткени бул күтүлбөгөн булакты уруксат берилгенге айландырат жана кардар аны эмне үчүн жибергенин жооп бербейт. OpenVPN 2.6 колдонмосу iroute, duplicate-cn жана инсандык карталоону өзүнчө башкаруулар катары документтештирет.
Эки машинадагы бирдей инсан
Экинчи ноутбукка көчүрүлгөн профиль бирдей сертификатты жана бирдей жалпы атты алып жүрөт. Сервердин жөндөөлөрүнө жараша жаңы туташуу эскисин алмаштырышы мүмкүн, ал эми байланыш текшерүүсүн менчикти кармаган нуска утат.
Бул кемчиликти үзгүлтүктүү көрсөтөт жана эки түзмөк тең ойгоок болгондо гана пайда болот.
Кайталанган жалпы аттарга уруксат берүү экөөнө тең туташууга мүмкүндүк берет, бирок аларга көз карандысыз статикалык даректерди же көз карандысыз менчикти бербейт. Эки түзмөк бирге болушу керек болсо, аларды өзүнчө каттаңыз, ар биринин өз инсаны жана өз бөлүштүрүүсү болушу үчүн. Кайталоо жөндөөсүн бул эскертүүнүн оңдоосу деп эсептөө табышмакты ордунда калтырат жана экинчисин кошот.
Байланыш өзгөргөнүн далилдеңиз
Түзөтүүнү конфигурация ээси аркылуу колдонуп, анан жаңы саясат жүктөлүшү үчүн жабыркаган кардарды кайра туташтырыңыз.
Ошол эле агымды кайталап, үч нерсени ырастаңыз: пакеттин ички булагы, сервер аны менен байланыштырган кардар нускасы жана андан кийинки багыттын жүрүм-туруму.
Эскертүү токтогону менен колдонмо дагы эле ийгиликсиз болсо, маселе жоголгон жок, ордун которду. Жеткирүү, коргоо дубалынын эрежелери жана кайтуу жолу өзүнчө баскычтар, ал эми байланыш текшерүүсүнөн өтүү пакетке туннелден чыгууга уруксат берилгенин гана билдирет.