MULTI: клиентээс ирсэн буруу эх хаяг: энэ хэний хаяг байв?
Дотоод эх сурвалж түүнийг хүргэсэн клиенттэй таарахгүй байна. Үүнийг туннелийн хуваарилалт, клиентийн ард байгаа LAN эсвэл давхардсан таних тэмдэгтэй тааруулна уу.
Серверийн лог MULTI: bad source address from client гэж хэвлээд пакетыг хаядаг ч сесс холбогдсон хэвээр байна. Энэ хослол мессежийг баталгаажуулалтын алдаа гэж уншдаг хүмүүсийг төөрөгдүүлдэг. Тийм биш: клиент баталгаажуулалтаа хийсэн бөгөөд ирсэн пакет нь сервер тухайн клиентийн хувилбартай холбож чадаагүй дотоод эх хаягийг агуулж байв. Шалгалт хүргэхээс өмнө явагддаг тул туннель эрүүл харагдаж байхад дотроос нь юу ч ашигтай нэвтрэхгүй байна.
Сервер хүргэхээс өмнө юуг харьцуулдаг вэ
Клиентээс ирж буй пакет бүрийн хувьд хэрэглэгчийн орон зайн сервер туннель доторх эх хаягийг харж, өөрийн дотоод чиглүүлэлтийн төлөвөөс тухайн хаяг аль клиентэд хамаарахыг асуудаг. Хэрэв эзэмшигч нь өөр хувилбар эсвэл эзэмшигч огт байхгүй бол пакетыг хаяж, анхааруулга гаргадаг.
Туннелийн интерфейсээр дамжих энгийн хүргэлт хэзээ ч болдоггүй.
Энэ дараалал хүмүүсийг гайхшруулдаг нэг нарийн ширийнийг тайлбарладаг: хост машины галт ханын тоолуурууд хөдөлдөггүй, учир нь пакет галт хананд хэзээ ч хүрээгүй. Хост дээр урвуу замын шүүлтийг тохируулах нь энд юу ч өөрчлөхгүй, учир нь татгалзал нь демоны өөрийн холболтын шалгалтад болсон. Мессежийг эзэмшлийн тухай мэдэгдэл гэж уншаад, дараа нь гурван нөхцөл байдлын аль нь үүнийг үүсгэснийг олж мэдээрэй.
Тохирохгүй дотоод хаягийн гурван эх сурвалж
Клиент нь өөрт нь хуваарилагдаагүй хаягаас, хэн ч өөрийн гэж зарлаагүй сүлжээнээс, эсвэл аль хэдийн эзэмшигчтэй таних тэмдгийн хуулбараас илгээж байж болно. Гурвуулаа ижил логоны мөрийг үүсгэдэг. Тэд юуг өөрчлөх шаардлагатайгаараа ялгаатай. Хаяг болон одоогийн хуваарилалтын жагсаалтаас эхэлж, энэ хоёр баримтад тохиолдлыг сонгуулаарай.
Тэдгээрийг ялгахад хоёр баримт хэрэгтэй: логонд татгалзсан хаяг болон сервер одоогийн гэж үздэг хуваарилалтууд. Хоёр дахь нь ажиллаж буй хувилбарын төлөв эсвэл удирдлагын харагдацаас авах боломжтой бөгөөд зөвлөлдөх үнэ цэнэтэй цорын ганц эрх мэдэл юм, учир нь тохиргооны файл нь одоогийн төлөв биш, зорилгыг бүртгэдэг.
Ямар нэгэн зүйлийг өөрчлөхөөс өмнө хоёуланг нь бүртгээд, дараа нь ангилаарай. Дараа нь авсан дэлгэцийн зураг нь анхааруулга үүсгэсэн төлөвийн бүртгэл биш. Хуваарилалт сессүүдийн хооронд шилждэг тул цагийн тэмдэглэгээг ч хадгалаарай.
| Rejected source is | Likely cause |
|---|---|
| The client's own tunnel address | Static assignment conflict, wrong profile, or manual address change |
| A host behind that client | Missing internal ownership for that prefix |
| An address belonging to another session | Two devices sharing one identity or one static address |
Клиентийн ард байгаа LAN ба iroute
Сайтын клиент өөрийн хувийн сүлжээг чиглүүлэх үед тэр сүлжээг клиентэд хамаарах гэж зарлах ёстой. iroute оруулгатай клиентэд тусгай файл үүнийг хийдэг бөгөөд оруулга нь клиент зөөвөрлөх эрхтэй угтварыг нэрлэдэг.
Ижил угтварыг туннель рүү чиглүүлэх цөмийн зам нь тусдаа шаардлага бөгөөд нэмэх нь демоны дотоод эзэмшилд юу ч өөрчлөхгүй.
# /etc/openvpn/server/ccd/site-b
iroute 192.168.70.0 255.255.255.0Үр дүнтэй таних тэмдэг файлын нэртэй тохирч байгааг баталгаажуулаарай, учир нь зөрүү нь файл хэзээ ч ачаалагдахгүй гэсэн үг бөгөөд шинж тэмдэг нь дутуу оруулгатай адил. Анхааруулгыг намжаахын тулд өргөн iroute нэмэх хэрэггүй, учир нь энэ нь санамсаргүй эх сурвалжийг зөвшөөрөгдсөн болгож, клиент яагаад илгээснийг хариулахгүй. OpenVPN 2.6 гарын авлага нь iroute, duplicate-cn болон таних тэмдгийн буулгалтыг тусдаа удирдлага гэж тодорхойлдог.
Хоёр машин дээр ижил таних тэмдэг
Хоёр дахь зөөврийн компьютерт хуулсан профайл нь ижил гэрчилгээ болон ижил нийтлэг нэрийг агуулна. Серверийн тохиргооноос хамааран шинэ холболт хуучныг орлуулж болох бөгөөд холболтын шалгалтад эзэмшлийг барьж буй хувилбар ялдаг.
Энэ нь алдааг завсарлагатай мэт харагдуулж, хоёр төхөөрөмж хоёулаа сэрүүн байх үед л илэрдэг.
Давхардсан нийтлэг нэрийг зөвшөөрснөөр хоёулаа холбогдох боломжтой, гэхдээ тусдаа статик хаяг эсвэл тусдаа эзэмшил өгөхгүй. Хэрэв хоёр төхөөрөмж хамт байх ёстой бол тус тусын таних тэмдэг, тус тусын хуваарилалттай байхын тулд тэдгээрийг тусад нь бүртгүүлээрэй. Давхардлын тохиргоог энэ анхааруулгын засвар гэж үзэх нь нууцыг хэвээр үлдээж, бас нэгийг нэмнэ.
Холболт өөрчлөгдсөнийг батлаарай
Засварыг тохиргооны эзэмшигчээр дамжуулан хэрэглээд, дараа нь шинэ бодлого ачаалагдахын тулд өртсөн клиентийг дахин холбоно уу.
Ижил урсгалыг давтаж, гурван зүйлийг баталгаажуулаарай: пакетын дотоод эх сурвалж, серверийн түүнтэй холбодог клиентийн хувилбар, дараа нь очих газрын зан төлөв.
Анхааруулга зогссон ч програмууд ажиллахгүй хэвээр байвал асуудал арилаагүй, байрлалаа сольсон байна. Дамжуулалт, галт ханын дүрэм, буцах зам нь тусдаа үе шат бөгөөд холболтын шалгалтыг давах нь зөвхөн пакетад туннелийг орхих зөвшөөрөл өгсөн гэсэн үг.