MULTI: mijozdan noto'g'ri manba manzili: bu kimning manzili edi?
Ichki manba uni yetkazgan mijozga mos kelmaydi. Uni tunnel ajratmasi, mijoz orqasidagi LAN yoki takrorlangan shaxs bilan moslashtiring.
Server jurnali MULTI: bad source address from client ni chop etadi, paketni tashlaydi va sessiya ulangan holda qoladi. Bu birikma xabarni autentifikatsiya xatosi deb o'qiydiganlarni chalg'itadi. Unday emas: mijoz autentifikatsiyadan o'tdi va kelgan paket server bu mijoz nusxasi bilan bog'lay olmagan ichki manba manzilini olib kelgan. Tekshiruv yetkazishdan oldin bo'ladi, shuning uchun tunnel sog'lom ko'rinadi, ammo undan foydali hech narsa o'tmaydi.
Server yetkazishdan oldin nimani solishtiradi
Mijozdan keladigan har bir paket uchun foydalanuvchi maydonidagi server tunnel ichidagi manba manziliga qaraydi va o'zining ichki marshrutlash holatidan bu manzil qaysi mijozga tegishli ekanini so'raydi. Agar egasi boshqa nusxa bo'lsa yoki egasi umuman bo'lmasa, paket tashlanadi va ogohlantirish chiqariladi.
Tunnel interfeysi orqali odatiy yetkazish hech qachon bo'lmaydi.
Bu tartib odamlarni hayratga soladigan bir tafsilotni tushuntiradi: xostdagi xavfsizlik devori hisoblagichlari qimirlamaydi, chunki paket xavfsizlik devoriga hech yetmagan. Xostda teskari yo'l filtrini sozlash bu yerda hech narsani o'zgartirmaydi, chunki rad etish demonning o'z bog'lash tekshiruvida bo'lgan. Xabarni egalik haqidagi bayonot sifatida o'qing, so'ng uchta holatdan qaysi biri uni keltirib chiqarganini aniqlang.
Mos kelmaydigan ichki manzilning uch manbasi
Mijoz o'ziga ajratilmagan manzildan, hech kim o'ziniki deb e'lon qilmagan tarmoqdan yoki allaqachon egasi bor shaxsning nusxasidan yuborayotgan bo'lishi mumkin. Uchalasi ham bir xil jurnal satrini hosil qiladi. Ular nimani o'zgartirish kerakligi bilan farqlanadi. Manzil va joriy ajratmalar ro'yxatidan boshlang, bu ikki fakt holatni tanlasin.
Ularni ajratish uchun ikki fakt kerak: jurnaldagi rad etilgan manzil va server joriy deb hisoblaydigan ajratmalar. Ikkinchisi ishlab turgan nusxaning holat yoki boshqaruv ko'rinishidan olinadi va murojaat qilishga arziydigan yagona hokimiyat shudir, chunki konfiguratsiya fayli niyatlarni qayd etadi, joriy holatni emas.
Biror narsani o'zgartirishdan oldin ikkalasini yozib qo'ying, so'ng tasniflang. Keyin olingan skrinshot ogohlantirishni keltirib chiqargan holatning yozuvi emas. Vaqt belgisini ham saqlang, chunki ajratmalar sessiyalar orasida siljiydi.
| Rejected source is | Likely cause |
|---|---|
| The client's own tunnel address | Static assignment conflict, wrong profile, or manual address change |
| A host behind that client | Missing internal ownership for that prefix |
| An address belonging to another session | Two devices sharing one identity or one static address |
Mijoz orqasidagi LAN va iroute
Sayt mijozi o'z shaxsiy tarmog'ini marshrutlaganda, bu tarmoq mijozga tegishli deb e'lon qilinishi kerak. iroute yozuvi bo'lgan mijozga xos fayl buni qiladi va yozuv mijoz olib yurishga haqli prefiksni nomlaydi.
Xuddi shu prefiksni tunnelga yo'naltiruvchi yadro yo'li alohida talab bo'lib, uni qo'shish demonning ichki egaligiga hech narsani o'zgartirmaydi.
# /etc/openvpn/server/ccd/site-b
iroute 192.168.70.0 255.255.255.0Amaldagi shaxs fayl nomiga mos kelishini tasdiqlang, chunki nomuvofiqlik fayl hech qachon yuklanmasligini bildiradi va alomat yo'q yozuv bilan bir xil. Ogohlantirishni jim qilish uchun keng iroute qo'shmang, chunki bu kutilmagan manbani ruxsat etilganga aylantiradi va mijoz nima uchun yuborganiga javob bermaydi. OpenVPN 2.6 qo'llanmasi iroute, duplicate-cn va shaxs xaritalashini alohida boshqaruvlar sifatida hujjatlashtiradi.
Ikki mashinada bir xil shaxs
Ikkinchi noutbukka ko'chirilgan profil bir xil sertifikat va bir xil umumiy nomni olib yuradi. Server sozlamalariga qarab yangi ulanish eskisini almashtirishi mumkin va bog'lash tekshiruvini egalikni ushlab turgan nusxa yutadi.
Shu sababli nosozlik uzilishli ko'rinadi va faqat ikkala qurilma ham uyg'oq bo'lganda paydo bo'ladi.
Takroriy umumiy nomlarga ruxsat berish ikkalasiga ham ulanish imkonini beradi, lekin ularga mustaqil statik manzillar yoki mustaqil egalik bermaydi. Agar ikki qurilma birga mavjud bo'lishi kerak bo'lsa, ularni alohida ro'yxatdan o'tkazing, har birining o'z shaxsi va o'z ajratmasi bo'lsin. Takrorlash sozlamasini bu ogohlantirishning tuzatishi deb bilish jumboqni joyida qoldiradi va yana birini qo'shadi.
Bog'lanish o'zgarganini isbotlang
Tuzatishni konfiguratsiya egasi orqali qo'llang, so'ng yangi siyosat yuklanishi uchun zararlangan mijozni qayta ulang.
Xuddi shu oqimni takrorlang va uchta narsani tasdiqlang: paketning ichki manbasi, server u bilan bog'laydigan mijoz nusxasi va shundan keyin manzilning xatti-harakati.
Ogohlantirish to'xtasa ham ilova hali ham ishlamasa, muammo yo'qolmagan, joyini o'zgartirgan. Yo'naltirish, xavfsizlik devori qoidalari va qaytish yo'li alohida bosqichlardir va bog'lash tekshiruvidan o'tish faqat paketga tunnelni tark etishga ruxsat berilganini bildiradi.