MULTI: alamat sumber salah daripada klien: alamat siapa itu?
Sumber dalaman tidak sepadan dengan klien yang menyampaikannya. Padankan dengan penetapan tunnel, LAN di belakang klien, atau identiti berganda.
Log pelayan mencetak MULTI: bad source address from client, menggugurkan paket, dan sesi kekal bersambung. Gabungan itu mengelirukan orang yang membaca mesej sebagai kegagalan pengesahan. Bukan begitu: klien telah disahkan, dan paket yang tiba membawa alamat sumber dalaman yang pelayan tidak dapat kaitkan dengan contoh klien itu. Pemeriksaan berlaku sebelum penyampaian, sebab itu tunnel kelihatan sihat sedangkan tiada apa yang berguna melaluinya.
Apa yang pelayan bandingkan sebelum penyampaian
Bagi setiap paket yang datang daripada klien, pelayan dalam ruang pengguna melihat alamat sumber di dalam tunnel dan bertanya kepada keadaan penghalaan dalamannya klien mana yang memiliki alamat itu. Jika pemiliknya contoh lain, atau tiada pemilik langsung, paket dibuang dan amaran dikeluarkan.
Penyampaian biasa melalui antara muka tunnel tidak pernah berlaku.
Urutan itu menjelaskan satu perincian yang mengelirukan orang: pembilang tembok api hos tidak bergerak, kerana paket tidak pernah sampai ke tembok api. Menyesuaikan penapisan laluan songsang pada hos tidak mengubah apa-apa di sini, kerana penolakan berlaku dalam pemeriksaan perkaitan daemon itu sendiri. Baca mesej itu sebagai kenyataan tentang pemilikan, kemudian cari tahu yang mana antara tiga keadaan menghasilkannya.
Tiga sumber alamat dalaman yang tidak sepadan
Klien mungkin menghantar daripada alamat yang tidak diberikan kepadanya, daripada rangkaian yang tiada siapa isytiharkan sebagai miliknya, atau daripada salinan identiti yang sudah mempunyai pemilik. Ketiga-tiganya menghasilkan baris log yang sama. Mereka berbeza pada apa yang perlu anda ubah. Mulakan dengan alamat dan senarai penetapan semasa, dan biarkan kedua-dua fakta itu memilih kesnya.
Membezakannya memerlukan dua fakta: alamat yang ditolak dalam log, dan penetapan yang pelayan anggap semasa. Yang kedua tersedia daripada paparan status atau pengurusan contoh yang berjalan, dan itulah satu-satunya kuasa yang wajar dirujuk, kerana fail konfigurasi merekodkan niat dan bukan keadaan sekarang.
Catat kedua-duanya sebelum mengubah apa-apa, kemudian kelaskan. Tangkapan skrin yang diambil kemudian bukan rekod keadaan yang menghasilkan amaran itu. Simpan juga cap masa, kerana penetapan berpindah antara sesi.
| Rejected source is | Likely cause |
|---|---|
| The client's own tunnel address | Static assignment conflict, wrong profile, or manual address change |
| A host behind that client | Missing internal ownership for that prefix |
| An address belonging to another session | Two devices sharing one identity or one static address |
LAN di belakang klien dan iroute
Apabila klien tapak menghalakan rangkaian peribadinya sendiri, rangkaian itu mesti diisytiharkan sebagai milik klien. Fail khusus klien dengan entri iroute melakukannya, dan entri itu menamakan prefiks yang dibenarkan dibawa oleh klien.
Laluan kernel yang menghalakan prefiks yang sama ke tunnel ialah keperluan berasingan, dan menambahnya tidak mengubah apa-apa pada pemilikan dalaman daemon.
# /etc/openvpn/server/ccd/site-b
iroute 192.168.70.0 255.255.255.0Sahkan identiti berkesan sepadan dengan nama fail, kerana ketaksepadanan bermaksud fail tidak pernah dimuatkan dan gejalanya sama seperti entri yang hilang. Jangan tambah iroute lebar untuk menyenyapkan amaran, kerana itu menjadikan sumber tidak dijangka sebagai dibenarkan tanpa menjawab mengapa klien menghantarnya. Manual OpenVPN 2.6 mendokumenkan iroute, duplicate-cn dan pemetaan identiti sebagai kawalan berasingan.
Identiti yang sama pada dua mesin
Profil yang disalin ke komputer riba kedua membawa sijil yang sama dan nama umum yang sama. Bergantung pada tetapan pelayan, sambungan yang lebih baharu boleh menggantikan yang lebih lama, dan contoh yang memegang pemilikan memenangi pemeriksaan perkaitan.
Itu menjadikan kerosakan kelihatan berselang-seli dan hanya muncul apabila kedua-dua peranti terjaga.
Membenarkan nama umum berganda membolehkan kedua-duanya bersambung, tetapi tidak memberikan alamat statik bebas atau pemilikan bebas. Jika dua peranti mesti wujud bersama, daftarkan kedua-duanya secara berasingan supaya setiap satu mempunyai identiti dan penetapannya sendiri. Menganggap tetapan duplikasi sebagai pembaikan amaran ini membiarkan misteri itu kekal dan menambah satu lagi.
Buktikan perkaitan telah berubah
Gunakan pembetulan melalui pemilik konfigurasi, kemudian sambung semula klien yang terjejas supaya dasar baharu dimuatkan.
Ulang aliran yang sama dan sahkan tiga perkara: sumber dalaman paket, contoh klien yang dikaitkan oleh pelayan dengannya, dan tingkah laku destinasi selepas itu.
Jika amaran berhenti tetapi aplikasi masih gagal, masalahnya berpindah dan bukan hilang. Pemajuan, peraturan tembok api dan laluan balik ialah peringkat berasingan, dan lulus pemeriksaan perkaitan hanya bermaksud paket dibenarkan meninggalkan tunnel.