MULTI: indirizz tas-sors ħażin mill-klijent: ta’ min kien dan l-indirizz?
Is-sors intern ma jaqbilx mal-klijent li wassalha. Qabbla ma’ allokazzjoni tat-tunnel, LAN wara l-klijent, jew identità doppja.
Il-log tas-server jistampa MULTI: bad source address from client, jarmi l-pakkett, u s-sessjoni tibqa’ konnessa. Din il-kombinazzjoni tħawwad lil min jaqra l-messaġġ bħala falliment tal-awtentikazzjoni. Mhix hekk: il-klijent awtentika ruħu, u l-pakkett li wasal kien iġorr indirizz tas-sors intern li s-server ma setax jgħaqqad ma’ dik l-istanza tal-klijent. Il-verifika ssir qabel il-kunsinna, u għalhekk it-tunnel jidher f’saħħtu waqt li xejn utli ma jgħaddi minnu.
X’iqabbel is-server qabel il-kunsinna
Għal kull pakkett li jasal minn klijent, is-server fl-ispazju tal-utent iħares lejn l-indirizz tas-sors ġewwa t-tunnel u jistaqsi l-istat intern tiegħu tar-routing lil min jappartjeni dan l-indirizz. Jekk is-sid huwa istanza oħra, jew ma hemm l-ebda sid, il-pakkett jitwarrab u t-twissija tinħareġ.
Il-kunsinna ordinarja permezz tal-interface tat-tunnel qatt ma ssir.
Dan l-ordni jispjega dettall li jħawwad lin-nies: il-counter tal-firewall tal-host ma jiċċaqalqux, għax il-pakkett qatt ma wasal sal-firewall. L-aġġustament tal-filtrazzjoni tal-mogħdija inversa fuq il-host ma jbiddel xejn hawn, għax ir-rifjut seħħ fil-verifika tal-assoċjazzjoni tad-daemon stess. Aqra l-messaġġ bħala dikjarazzjoni dwar is-sjieda, imbagħad sib liema mit-tliet sitwazzjonijiet ipproduċietu.
Tliet sorsi ta’ indirizz intern li ma jaqbilx
Il-klijent forsi qed jibgħat minn indirizz li ma ngħatax lilu, minn netwerk li ħadd ma ddikjara bħala tiegħu, jew minn kopja ta’ identità li diġà għandha sid. It-tlieta jipproduċu l-istess linja tal-log. Huma differenti f’dak li trid tibdel. Ibda mill-indirizz u mil-lista tal-allokazzjonijiet attwali, u ħalli dawn iż-żewġ fatti jagħżlu l-każ.
Biex tiddistingwihom hemm bżonn żewġ fatti: l-indirizz miċħud fil-log, u l-allokazzjonijiet li s-server iqis attwali. It-tieni jinstab fil-veduta tal-istat jew tal-ġestjoni tal-istanza li qed taħdem, u hija l-unika awtorità li tiswa li tikkonsulta, għax il-fajl tal-konfigurazzjoni jirreġistra l-intenzjonijiet u mhux l-istat preżenti.
Irreġistra t-tnejn qabel tibdel xejn, imbagħad ikklassifika. Screenshot meħud wara mhuwiex rekord tal-istat li pproduċa t-twissija. Żomm ukoll it-timbru tal-ħin, għax l-allokazzjonijiet jiċċaqilqu bejn is-sessjonijiet.
| Rejected source is | Likely cause |
|---|---|
| The client's own tunnel address | Static assignment conflict, wrong profile, or manual address change |
| A host behind that client | Missing internal ownership for that prefix |
| An address belonging to another session | Two devices sharing one identity or one static address |
Il-LAN wara klijent u iroute
Meta klijent tas-sit jirrotta n-netwerk privat tiegħu stess, dak in-netwerk irid jiġi ddikjarat bħala tal-klijent. Fajl speċifiku għall-klijent b’entrata iroute jagħmel dan, u l-entrata ssemmi l-prefiss li l-klijent jista’ jġorr.
Rotta tal-kernel li tindika l-istess prefiss lejn it-tunnel hija rekwiżit separat, u ż-żieda tagħha ma tbiddel xejn fis-sjieda interna tad-daemon.
# /etc/openvpn/server/ccd/site-b
iroute 192.168.70.0 255.255.255.0Ikkonferma li l-identità effettiva taqbel mal-isem tal-fajl, għax nuqqas ta’ qbil ifisser li l-fajl qatt ma jiġi mgħobbi u s-sintomu huwa identiku għal entrata nieqsa. Tħarisx iroute wiesa’ biex tiskot it-twissija, għax dan ibiddel sors mhux mistenni f’wieħed awtorizzat mingħajr ma jwieġeb għaliex il-klijent bagħtu. Il-manwal ta’ OpenVPN 2.6 jiddokumenta iroute, duplicate-cn u l-mapping tal-identità bħala kontrolli separati.
L-istess identità fuq żewġ magni
Profil kopjat fuq it-tieni laptop iġorr l-istess ċertifikat u l-istess isem komuni. Skont is-settings tas-server, il-konnessjoni l-ġdida tista’ tissostitwixxi l-antika, u l-istanza li żżomm is-sjieda tirbaħ il-verifika tal-assoċjazzjoni.
Dan jagħmel il-ħsara tidher intermittenti u tidher biss meta ż-żewġ apparati jkunu mqajmin.
L-għoti ta’ ismijiet komuni doppji jħalli lit-tnejn jikkonnettjaw, iżda ma jagħtihomx indirizzi statiċi indipendenti jew sjieda indipendenti. Jekk żewġ apparati għandhom jikkoeżistu, irreġistrahom separatament sabiex kull wieħed ikollu l-identità u l-allokazzjoni tiegħu. Li tittratta s-setting tad-duplikat bħala tiswija għal din it-twissija jħalli l-misteru f’postu u jżid it-tieni.
Ipprova li l-assoċjazzjoni nbidlet
Applika l-korrezzjoni permezz tas-sid tal-konfigurazzjoni, imbagħad erġa’ qabbad il-klijent milqut biex tiġi mgħobbija l-politika l-ġdida.
Irrepeti l-istess fluss u kkonferma tliet affarijiet: is-sors intern tal-pakkett, l-istanza tal-klijent li s-server jassoċja miegħu, u l-imġiba tad-destinazzjoni wara.
Jekk it-twissija tieqaf imma l-applikazzjoni xorta tfalli, il-problema marret f’post ieħor u mhux sparixxiet. Il-forwarding, ir-regoli tal-firewall u t-triq lura huma stadji separati, u li tgħaddi l-verifika tal-assoċjazzjoni jfisser biss li l-pakkett tħalla joħroġ mit-tunnel.