MULTI: falsch Quelladress vum Client: wiem seng Adress war dat?
Déi intern Quell entsprécht net dem Client, deen se geliwwert huet. Passt se un enger Tunnelszouweisung, engem LAN hannert dem Client oder enger duebeler Identitéit un.
De Serverlog dréckt MULTI: bad source address from client, verwërft de Paket, an d'Sessioun bleift verbonnen. Dës Kombinatioun verwirrt Leit, déi d'Noriicht als fehlgeschloen Authentifikatioun liesen. Et ass net sou: de Client huet sech authentifizéiert, an de Paket deen ukomm ass huet eng intern Quelladress gedroen, déi de Server net mat dëser Clientinstanz konnt verbannen. D'Kontroll geschitt virun der Liwwerung, dofir gesäit den Tunnel gesond aus, während näischt Nëtzleches duerchlaft.
Wat de Server virun der Liwwerung vergläicht
Fir all Paket, dee vun engem Client kënnt, kuckt de Server am Benotzerraum op d'Quelladress bannen am Tunnel a freet säin internen Routingzoustand, wiem sengem Client dës Adress gehéiert. Wann den Eegentemer eng aner Instanz ass, oder et guer keen Eegentemer gëtt, gëtt de Paket verworf an d'Warnung gëtt ausginn.
Déi gewéinlech Liwwerung duerch d'Tunnelschnittstell geschitt ni.
Dës Reiefolleg erkläert en Detail, dee Leit verblüfft: d'Zieler vun der Host-Firewall beweege sech net, well de Paket ni bis bei d'Firewall komm ass. D'Upassung vum Ëmgekéierten-Wee-Filteren um Host ännert hei näischt, well d'Oflehnung an der eegener Associatiounskontroll vum Daemon geschitt ass. Liest d'Noriicht als Ausso iwwer den Eegentem a fënnt dann eraus, wat vun den dräi Situatiounen se ervirbruecht huet.
Dräi Quellen vun enger interner Adress déi net passt
De Client schéckt méiglecherweis vun enger Adress, déi him net zougewisen ass, aus engem Netz, dat keen als säint deklaréiert huet, oder vun enger Kopie vun enger Identitéit, déi schonn en Eegentemer huet. All dräi produzéieren déiselwecht Loglinn. Si ënnerscheede sech doran, wat dir ännere musst. Fänkt mat der Adress an der aktueller Zouweisungslëscht un, a loosst dës zwou Tatsaachen de Fall eraussichen.
Fir se z'ënnerscheeden brauch een zwou Tatsaachen: déi verworf Adress am Log an d'Zouweisungen, déi de Server als aktuell ugesäit. Déi zweet ass aus der Status- oder Verwaltungsusiicht vun der lafender Instanz verfügbar, an et ass déi eenzeg Autoritéit, déi et wäert ass ze konsultéieren, well eng Konfiguratiounsdatei Absichten festhält an net den aktuelle Zoustand.
Notéiert béid, ier dir eppes ännert, a klassifizéiert dann. E Screenshot, dee méi spéit gemaach gëtt, ass keen Opzeechnung vum Zoustand, deen d'Warnung produzéiert huet. Halt den Zäitstempel och fest, well Zouweisungen tëscht Sessiounen wanderen.
| Rejected source is | Likely cause |
|---|---|
| The client's own tunnel address | Static assignment conflict, wrong profile, or manual address change |
| A host behind that client | Missing internal ownership for that prefix |
| An address belonging to another session | Two devices sharing one identity or one static address |
Den LAN hannert engem Client an iroute
Wann e Site-Client säin eegent privat Netz routet, muss dat Netz als zum Client gehéierend deklaréiert ginn. Eng clientspezifesch Datei mat engem iroute-Andrag mécht dat, an den Andrag nennt de Prefix, deen de Client droe darf.
E Kernelwee, deen deeselwechte Prefix op den Tunnel weist, ass eng separat Fuerderung, an hien derbäi bäifüügt ännert näischt um internen Eegentem vum Daemon.
# /etc/openvpn/server/ccd/site-b
iroute 192.168.70.0 255.255.255.0Bestätegt, datt déi effektiv Identitéit mam Dateinumm iwwerenee stëmmt, well eng Ofwäichung heescht, datt d'Datei ni geluede gëtt an d'Symptomer identesch mat engem fehlenden Andrag sinn. Füügt keen breeden iroute bäi, fir d'Warnung ze dämpfen, well dat eng onerwaart Quell zu enger autoriséierter mécht, ouni ze äntweren, firwat de Client se geschéckt huet. Den OpenVPN 2.6 Handbuch dokumentéiert iroute, duplicate-cn an d'Identitéitszouuerdnung als getrennte Kontrollen.
Déiselwecht Identitéit op zwou Maschinnen
E Profil, deen op en zweeten Laptop kopéiert gëtt, dréit déiselwecht Zertifikat an deeselwechten allgemengen Numm. Jee no den Astellunge vum Server kann déi méi nei Verbindung déi méi al ersetzen, an déi Instanz, déi den Eegentem huet, gewënnt d'Associatiounskontroll.
Doduerch gesäit de Feeler intermittéierend aus an trëtt nëmmen op, wann béid Geräter waakreg sinn.
Duebel allgemeng Nimm z'erlaben, léisst béid sech verbannen, awer gëtt hinnen keng onofhängeg statesch Adressen oder onofhängegen Eegentem. Wann zwee Geräter mussen zesumme bestoen, registréiert se getrennt, sou datt jiddereen seng eege Identitéit a seng eegen Zouweisung huet. D'Duebele-Astellung als Reparatur fir dës Warnung ze behandelen, léisst d'Rätsel stoe firwat a füügt en zweet dobäi.
Beweist, datt d'Associatioun geännert huet
Wend d'Korrektur iwwer den Eegentemer vun der Konfiguratioun un, a verbënnt dann de betraffene Client erëm, sou datt déi nei Politik geluede gëtt.
Widderhëlt deeselwechte Floss a bestätegt dräi Saachen: déi intern Quell vum Paket, d'Clientinstanz, déi de Server domat verbënnt, an d'Verhalen vum Zil duerno.
Wann d'Warnung ophält, awer d'Applikatioun nach ëmmer feelt, huet de Problem sech verréckelt, amplaz ze verschwannen. D'Weiderginn, d'Firewallregele an de Réckwee sinn getrennt Etappen, an d'Associatiounskontroll ze passéieren heescht just, datt de Paket den Tunnel konnt verloossen.