MULTI: địa chỉ nguồn sai từ máy khách: địa chỉ đó là của ai?
Nguồn bên trong không khớp với máy khách đã gửi nó. Hãy đối chiếu với một phép gán đường hầm, một LAN sau máy khách, hoặc một danh tính trùng lặp.
Nhật ký máy chủ in MULTI: bad source address from client, bỏ gói tin, và phiên vẫn duy trì kết nối. Sự kết hợp đó khiến những người đọc thông báo như một lỗi xác thực bối rối. Không phải vậy: máy khách đã xác thực, và gói tin đến mang một địa chỉ nguồn bên trong mà máy chủ không thể gắn với thực thể máy khách đó. Việc kiểm tra diễn ra trước khi chuyển giao, nên đường hầm trông khỏe mạnh trong khi không có gì hữu ích đi qua nó.
Máy chủ so sánh gì trước khi chuyển giao
Với mỗi gói tin đến từ máy khách, máy chủ trong không gian người dùng xem địa chỉ nguồn bên trong đường hầm và hỏi trạng thái định tuyến nội bộ của nó xem địa chỉ đó thuộc máy khách nào. Nếu chủ sở hữu là một thực thể khác, hoặc hoàn toàn không có chủ, gói tin bị loại bỏ và cảnh báo được phát ra.
Việc chuyển giao thông thường qua giao diện đường hầm không bao giờ diễn ra.
Thứ tự đó giải thích một chi tiết khiến người ta bối rối: bộ đếm của tường lửa trên máy chủ không nhích, vì gói tin chưa bao giờ đến tường lửa. Điều chỉnh lọc đường dẫn ngược trên máy chủ không thay đổi gì ở đây, vì việc từ chối diễn ra trong bước kiểm tra liên kết của chính daemon. Hãy đọc thông báo như một phát biểu về quyền sở hữu, rồi tìm ra tình huống nào trong ba tình huống đã tạo ra nó.
Ba nguồn của một địa chỉ nội bộ không khớp
Máy khách có thể đang gửi từ một địa chỉ không được cấp cho nó, từ một mạng mà không ai tuyên bố là của nó, hoặc từ một bản sao của danh tính đã có chủ. Cả ba đều tạo ra cùng một dòng nhật ký. Chúng khác nhau ở điều bạn phải thay đổi. Hãy bắt đầu từ địa chỉ và danh sách cấp phát hiện tại, và để hai dữ kiện đó chọn ra trường hợp.
Để phân biệt chúng cần hai dữ kiện: địa chỉ bị từ chối trong nhật ký và các cấp phát mà máy chủ coi là hiện hành. Dữ kiện thứ hai có được từ chế độ xem trạng thái hoặc quản trị của thực thể đang chạy, và đó là cơ quan duy nhất đáng để tham khảo, vì tệp cấu hình ghi lại ý định chứ không phải trạng thái hiện tại.
Hãy ghi cả hai trước khi thay đổi bất cứ điều gì, rồi phân loại. Ảnh chụp màn hình lấy sau đó không phải là bản ghi trạng thái đã tạo ra cảnh báo. Cũng giữ lại dấu thời gian, vì các cấp phát di chuyển giữa các phiên.
| Rejected source is | Likely cause |
|---|---|
| The client's own tunnel address | Static assignment conflict, wrong profile, or manual address change |
| A host behind that client | Missing internal ownership for that prefix |
| An address belonging to another session | Two devices sharing one identity or one static address |
LAN sau máy khách và iroute
Khi một máy khách site định tuyến mạng riêng của nó, mạng đó phải được tuyên bố là thuộc về máy khách. Một tệp riêng cho máy khách có mục iroute làm điều đó, và mục này nêu tiền tố mà máy khách được phép mang.
Một tuyến nhân hướng cùng tiền tố vào đường hầm là yêu cầu riêng, và việc thêm nó không thay đổi gì trong quyền sở hữu nội bộ của daemon.
# /etc/openvpn/server/ccd/site-b
iroute 192.168.70.0 255.255.255.0Xác nhận rằng danh tính hiệu lực khớp với tên tệp, vì sự không khớp nghĩa là tệp không bao giờ được nạp và triệu chứng giống hệt một mục bị thiếu. Đừng thêm một iroute rộng để làm im cảnh báo, vì điều đó biến một nguồn bất ngờ thành nguồn được cho phép mà không trả lời vì sao máy khách gửi nó. Hướng dẫn OpenVPN 2.6 ghi lại iroute, duplicate-cn và ánh xạ danh tính như các kiểm soát riêng biệt.
Cùng một danh tính trên hai máy
Một hồ sơ được sao chép sang máy tính xách tay thứ hai mang cùng chứng chỉ và cùng tên chung. Tùy theo cài đặt của máy chủ, kết nối mới hơn có thể thay thế kết nối cũ hơn, và thực thể giữ quyền sở hữu sẽ thắng bước kiểm tra liên kết.
Điều đó khiến lỗi trông như gián đoạn và chỉ xuất hiện khi cả hai thiết bị đều thức.
Việc cho phép tên chung trùng lặp để cả hai kết nối được, nhưng không cấp cho chúng địa chỉ tĩnh độc lập hay quyền sở hữu độc lập. Nếu hai thiết bị phải cùng tồn tại, hãy đăng ký chúng riêng để mỗi thiết bị có danh tính và cấp phát riêng. Coi cài đặt trùng lặp là cách sửa cảnh báo này sẽ để nguyên điều bí ẩn và thêm một cái thứ hai.
Chứng minh rằng liên kết đã thay đổi
Áp dụng bản sửa qua chủ sở hữu cấu hình, rồi kết nối lại máy khách bị ảnh hưởng để chính sách mới được nạp.
Lặp lại cùng luồng và xác nhận ba điều: nguồn bên trong của gói tin, thực thể máy khách mà máy chủ liên kết với nó, và hành vi của đích sau đó.
Nếu cảnh báo dừng nhưng ứng dụng vẫn lỗi, vấn đề đã di chuyển chứ không biến mất. Chuyển tiếp, quy tắc tường lửa và đường về là các giai đoạn riêng, và việc vượt qua bước kiểm tra liên kết chỉ có nghĩa là gói tin được phép rời đường hầm.