MULTI: neteisingas šaltinio adresas iš kliento: kieno tai buvo adresas?
Vidinis šaltinis neatitinka kliento, kuris jį pristatė. Sujunkite jį su tunelio priskyrimu, LAN tinklu už kliento arba dvigubu tapatumu.
Serverio žurnalas išspausdina MULTI: bad source address from client, numeta paketą, o sesija lieka prijungta. Toks derinys klaidina tuos, kurie pranešimą skaito kaip autentifikavimo nesėkmę. Taip nėra: klientas autentifikavosi, o atvykęs paketas turėjo vidinį šaltinio adresą, kurio serveris negalėjo susieti su tuo kliento egzemplioriumi. Patikra atliekama prieš pristatymą, todėl tunelis atrodo sveikas, nors pro jį niekas naudingo neprateka.
Ką serveris lygina prieš pristatymą
Kiekvienam iš kliento atvykstančiam paketui vartotojo erdvėje veikiantis serveris žiūri į šaltinio adresą tunelio viduje ir klausia savo vidinės maršrutizavimo būsenos, kuriam klientui tas adresas priklauso. Jei savininkas yra kitas egzempliorius arba savininko visai nėra, paketas atmetamas ir išduodamas įspėjimas.
Įprastas pristatymas per tunelio sąsają niekada nevyksta.
Ši tvarka paaiškina detalę, kuri glumina žmones: pagrindinio kompiuterio ugniasienės skaitikliai nejuda, nes paketas niekada nepasiekė ugniasienės. Atvirkštinio kelio filtravimo derinimas pagrindiniame kompiuteryje čia nieko nekeičia, nes atmetimas įvyko pačioje demono susiejimo patikroje. Skaitykite pranešimą kaip teiginį apie nuosavybę, tada išsiaiškinkite, kuri iš trijų situacijų jį sukūrė.
Trys nesutampančio vidinio adreso šaltiniai
Klientas gali siųsti iš adreso, kuris jam nebuvo priskirtas, iš tinklo, kurio niekas nepaskelbė jo, arba iš tapatumo kopijos, kuri jau turi savininką. Visos trys sukuria tą pačią žurnalo eilutę. Jos skiriasi tuo, ką turite pakeisti. Pradėkite nuo adreso ir dabartinio priskyrimų sąrašo, ir leiskite tiems dviem faktams pasirinkti atvejį.
Norint juos atskirti, reikia dviejų faktų: atmesto adreso žurnale ir priskyrimų, kuriuos serveris laiko dabartiniais. Antrasis pasiekiamas iš veikiančio egzemplioriaus būsenos ar valdymo rodinio, ir tai yra vienintelė verta dėmesio institucija, nes konfigūracijos failas fiksuoja ketinimus, o ne dabartinę būseną.
Užrašykite abu prieš ką nors keisdami, tada klasifikuokite. Vėliau padaryta ekrano kopija nėra būsenos, kuri sukėlė įspėjimą, įrašas. Išsaugokite ir laiko žymą, nes priskyrimai juda tarp sesijų.
| Rejected source is | Likely cause |
|---|---|
| The client's own tunnel address | Static assignment conflict, wrong profile, or manual address change |
| A host behind that client | Missing internal ownership for that prefix |
| An address belonging to another session | Two devices sharing one identity or one static address |
LAN už kliento ir iroute
Kai vietos klientas maršrutizuoja savo privatų tinklą, tas tinklas turi būti paskelbtas priklausantis klientui. Klientui specifinis failas su iroute įrašu tai padaro, o įrašas įvardija prefiksą, kurį klientui leidžiama perduoti.
Branduolio maršrutas, nukreipiantis tą patį prefiksą į tunelį, yra atskiras reikalavimas, o jo pridėjimas nieko nekeičia demono vidinėje nuosavybėje.
# /etc/openvpn/server/ccd/site-b
iroute 192.168.70.0 255.255.255.0Patvirtinkite, kad efektyvusis tapatumas atitinka failo pavadinimą, nes neatitikimas reiškia, kad failas niekada neįkeliamas, o simptomas identiškas trūkstamam įrašui. Nepridėkite plataus iroute, kad nutildytumėte įspėjimą, nes tai netikėtą šaltinį paverčia leistinu, neatsakydamas, kodėl klientas jį atsiuntė. OpenVPN 2.6 vadove iroute, duplicate-cn ir tapatumo susiejimas aprašyti kaip atskiros kontrolės priemonės.
Tas pats tapatumas dviejuose kompiuteriuose
Į antrą nešiojamąjį kompiuterį nukopijuotas profilis turi tą patį sertifikatą ir tą patį bendrą vardą. Priklausomai nuo serverio nustatymų, naujesnis ryšys gali pakeisti senesnį, o susiejimo patikrą laimi tas egzempliorius, kuris turi nuosavybę.
Dėl to gedimas atrodo protarpinis ir pasireiškia tik tada, kai abu įrenginiai yra aktyvūs.
Leidus dvigubus bendrus vardus, abu gali prisijungti, bet jiems nesuteikiama nepriklausomų statinių adresų ar nepriklausomos nuosavybės. Jei du įrenginiai turi egzistuoti kartu, registruokite juos atskirai, kad kiekvienas turėtų savo tapatumą ir savo priskyrimą. Dvigubų nustatymo traktavimas kaip šio įspėjimo taisymo palieka paslaptį vietoje ir prideda antrą.
Įrodykite, kad susiejimas pasikeitė
Taikykite pataisą per konfigūracijos savininką, tada iš naujo prijunkite paveiktą klientą, kad įsikeltų nauja politika.
Pakartokite tą pačią eigą ir patvirtinkite tris dalykus: paketo vidinį šaltinį, kliento egzempliorių, su kuriuo serveris jį susieja, ir paskirties elgseną po to.
Jei įspėjimas nutrūksta, bet programa vis dar nepavyksta, problema persikėlė, o ne dingo. Persiuntimas, ugniasienės taisyklės ir grįžimo kelias yra atskiri etapai, o susiejimo patikros perėjimas reiškia tik tai, kad paketui buvo leista palikti tunelį.