MULTI: ที่อยู่ต้นทางผิดจากไคลเอนต์: ที่อยู่นั้นเป็นของใคร
ต้นทางภายในไม่ตรงกับไคลเอนต์ที่ส่งมา จับคู่กับการกำหนดอุโมงค์ LAN ที่อยู่หลังไคลเอนต์ หรือตัวตนที่ซ้ำกัน
บันทึกของเซิร์ฟเวอร์พิมพ์ MULTI: bad source address from client ทิ้งแพ็กเก็ต และเซสชันยังคงเชื่อมต่ออยู่ การรวมกันนี้ทำให้ผู้ที่อ่านข้อความเป็นความล้มเหลวในการยืนยันตัวตนสับสน ไม่ใช่เช่นนั้น ไคลเอนต์ยืนยันตัวตนแล้ว และแพ็กเก็ตที่มาถึงมีที่อยู่ต้นทางภายในที่เซิร์ฟเวอร์ไม่สามารถเชื่อมโยงกับอินสแตนซ์ของไคลเอนต์นั้นได้ การตรวจสอบเกิดขึ้นก่อนการส่งต่อ ด้วยเหตุนี้จึงดูเหมือนอุโมงค์ปกติ ทั้งที่ไม่มีสิ่งใดที่เป็นประโยชน์ผ่านออกไป
เซิร์ฟเวอร์เปรียบเทียบอะไรก่อนการส่งต่อ
สำหรับแต่ละแพ็กเก็ตที่มาจากไคลเอนต์ เซิร์ฟเวอร์ในพื้นที่ผู้ใช้จะดูที่อยู่ต้นทางภายในอุโมงค์และถามสถานะการกำหนดเส้นทางภายในว่าที่อยู่ดังกล่าวเป็นของไคลเอนต์รายใด หากเจ้าของเป็นอินสแตนซ์อื่น หรือไม่มีเจ้าของเลย แพ็กเก็ตจะถูกทิ้งและมีการออกคำเตือน
การส่งต่อตามปกติผ่านอินเทอร์เฟซอุโมงค์ไม่เคยเกิดขึ้น
ลำดับดังกล่าวอธิบายรายละเอียดที่ทำให้คนสับสน ตัวนับของไฟร์วอลล์บนโฮสต์ไม่ขยับ เพราะแพ็กเก็ตไม่เคยไปถึงไฟร์วอลล์ การปรับการกรองเส้นทางย้อนกลับบนโฮสต์ไม่เปลี่ยนอะไรที่นี่ เนื่องจากการปฏิเสธเกิดขึ้นในการตรวจสอบการเชื่อมโยงของเดมอนเอง อ่านข้อความเป็นข้อความเกี่ยวกับความเป็นเจ้าของ แล้วค้นหาว่าสถานการณ์ใดในสามอย่างเป็นผู้สร้างมัน
สามแหล่งของที่อยู่ภายในที่ไม่ตรงกัน
ไคลเอนต์อาจส่งจากที่อยู่ที่ไม่ได้จัดสรรให้ จากเครือข่ายที่ไม่มีใครประกาศว่าเป็นของตน หรือจากสำเนาของตัวตนที่มีเจ้าของอยู่แล้ว ทั้งสามให้บรรทัดบันทึกเดียวกัน ต่างกันที่สิ่งที่คุณต้องแก้ เริ่มจากที่อยู่และรายการจัดสรรปัจจุบัน และให้ข้อเท็จจริงสองข้อนั้นเลือกกรณี
การแยกแยะต้องใช้ข้อเท็จจริงสองข้อ คือที่อยู่ที่ถูกปฏิเสธในบันทึก และการจัดสรรที่เซิร์ฟเวอร์ถือว่าเป็นปัจจุบัน ข้อที่สองหาได้จากมุมมองสถานะหรือการจัดการของอินสแตนซ์ที่กำลังทำงาน และเป็นอำนาจเดียวที่ควรค่าแก่การสอบถาม เพราะไฟล์กำหนดค่าเป็นบันทึกเจตนา ไม่ใช่สถานะปัจจุบัน
บันทึกทั้งสองก่อนเปลี่ยนสิ่งใด แล้วจัดประเภท ภาพหน้าจอที่ถ่ายภายหลังไม่ใช่บันทึกของสถานะที่สร้างคำเตือน เก็บเวลาไว้ด้วย เพราะการจัดสรรเคลื่อนย้ายระหว่างเซสชัน
| Rejected source is | Likely cause |
|---|---|
| The client's own tunnel address | Static assignment conflict, wrong profile, or manual address change |
| A host behind that client | Missing internal ownership for that prefix |
| An address belonging to another session | Two devices sharing one identity or one static address |
LAN หลังไคลเอนต์และ iroute
เมื่อไคลเอนต์ไซต์กำหนดเส้นทางเครือข่ายส่วนตัวของตนเอง เครือข่ายนั้นต้องถูกประกาศว่าเป็นของไคลเอนต์ ไฟล์เฉพาะไคลเอนต์ที่มีรายการ iroute ทำเช่นนั้น และรายการระบุคำนำหน้าที่ไคลเอนต์ได้รับอนุญาตให้พาไป
เส้นทางเคอร์เนลที่ชี้คำนำหน้าเดียวกันไปยังอุโมงค์เป็นข้อกำหนดแยกต่างหาก และการเพิ่มเข้าไปไม่เปลี่ยนอะไรในความเป็นเจ้าของภายในของเดมอน
# /etc/openvpn/server/ccd/site-b
iroute 192.168.70.0 255.255.255.0ยืนยันว่าตัวตนที่มีผลตรงกับชื่อไฟล์ เพราะความไม่ตรงกันหมายความว่าไฟล์ไม่เคยถูกโหลด และอาการเหมือนกับรายการที่หายไป อย่าเพิ่ม iroute แบบกว้างเพื่อระงับคำเตือน เพราะจะเปลี่ยนต้นทางที่ไม่คาดคิดให้เป็นต้นทางที่ได้รับอนุญาตโดยไม่ตอบว่าทำไมไคลเอนต์จึงส่งมา คู่มือ OpenVPN 2.6 บันทึก iroute, duplicate-cn และการแมปตัวตนเป็นกลไกควบคุมแยกกัน
ตัวตนเดียวกันบนสองเครื่อง
โปรไฟล์ที่คัดลอกไปยังแล็ปท็อปเครื่องที่สองมีใบรับรองเดียวกันและชื่อทั่วไปเดียวกัน ขึ้นอยู่กับการตั้งค่าของเซิร์ฟเวอร์ การเชื่อมต่อใหม่กว่าอาจแทนที่อันเก่า และอินสแตนซ์ที่ถือความเป็นเจ้าของจะชนะการตรวจสอบการเชื่อมโยง
สิ่งนี้ทำให้ความผิดพลาดดูเป็นครั้งคราว และจะปรากฏเฉพาะเมื่ออุปกรณ์ทั้งสองตื่นอยู่
การอนุญาตชื่อทั่วไปซ้ำทำให้ทั้งสองเชื่อมต่อได้ แต่ไม่ได้ให้ที่อยู่คงที่อิสระหรือความเป็นเจ้าของอิสระ หากอุปกรณ์สองเครื่องต้องอยู่ร่วมกัน ให้ลงทะเบียนแยกกันเพื่อให้แต่ละเครื่องมีตัวตนและที่จัดสรรของตนเอง การถือว่าการตั้งค่าซ้ำเป็นการซ่อมแซมคำเตือนนี้ทำให้ปริศนายังอยู่และเพิ่มอีกข้อ
พิสูจน์ว่าการเชื่อมโยงเปลี่ยนไป
ใช้การแก้ไขผ่านเจ้าของการกำหนดค่า แล้วเชื่อมต่อไคลเอนต์ที่ได้รับผลกระทบใหม่เพื่อให้นโยบายใหม่ถูกโหลด
ทำซ้ำขั้นตอนเดิมและยืนยันสามอย่าง ต้นทางภายในของแพ็กเก็ต อินสแตนซ์ไคลเอนต์ที่เซิร์ฟเวอร์เชื่อมโยงด้วย และพฤติกรรมของปลายทางหลังจากนั้น
หากคำเตือนหยุดแต่แอปพลิเคชันยังล้มเหลว ปัญหาได้ย้ายที่ไม่ได้หายไป การส่งต่อ กฎไฟร์วอลล์ และเส้นทางขากลับเป็นขั้นตอนแยกกัน และการผ่านการตรวจสอบการเชื่อมโยงหมายความเพียงว่าแพ็กเก็ตได้รับอนุญาตให้ออกจากอุโมงค์