Watter identifiseerder het jou VPN-reservering nodig?

Drie voorwaardes bepaal watter identifiseerder ’n reservering moet gebruik: watter stelsel die adres uitdeel, of daardie stelsel ooit ’n layer-2-raam sien, en wat dit as sy kliëntsleutel gebruik. ’n Huisroeteerder wat DHCP doen, ’n oorbrugde VPN en ’n tonnel wat op IP-roetes werk, beantwoord dié vrae verskillend. Om die identifiseerder te kies is duursamer as om elke MAC-adres te probeer vasvries wat ’n adapter rapporteer, want dit is die identifiseerder wat die toekenner werklik lees.

Begin by die toekenner en werk terug; die kliëntkant-identifiseerder is enigiets wat daardie stelsel aanvaar.

Vra eers die toekenner

’n DHCP-bediener deel uit uit ’n poel en pas reserverings toe teen ’n identifiseerder wat hy herken, wat die hardeware-adres, ’n kliëntidentifiseerder-string of ’n DUID kan wees, afhangend van die protokolweergawe. ’n VPN-bediener deel uit uit sy eie poel en pas toe teen wat sy konfigurasiewyse blootlê, dikwels die geauthentiseerde Common Name. ’n Oorbrugde netwerk kan dieselfde probleem aan die DHCP-bediener gee wat reeds die LAN bedien. Elkeen is ’n ander opsoek, en ’n reservering wat in een geldig is, is onsigbaar vir die ander.

Bevestig wat die bediener werklik sien voordat jy enigiets konfigureer. ’n Reservering wat die verkeerde identifiseerder noem, misluk stilweg: die kliënt kry bloot ’n poeladres, en die fout lyk soos ’n kliëntprobleem.

Waar ’n MAC-adres nog iets beteken

Op ’n fisiese Ethernet- of Wi-Fi-skakel identifiseer die hardeware-adres ’n koppelvlak op daardie segment. Privaatheidkenmerke roteer dit, virtuele adapters skep nuwes, en ’n skootrekenaar kan verskillende waardes op Wi-Fi en op ’n dockingstasie toon. ’n TUN-tonnel wat IP-pakkette dra, stuur nie die oorspronklike draadlose identiteit aan ’n afgeleë DHCP-bediener oor nie, so ’n MAC-gebaseerde reservering op daardie pad het niks om mee te pas nie. TAP verskil: dit dra Ethernet-rame en kan by ’n oorbrugde domein aansluit waar layer-2-identifiseerders nog saak maak.

Selfs daar is die betrokke adres die een wat op daardie domein gebruik word, nie outomaties dié van die fisiese opvangslyn nie.

Tonneladresse en peer-sleutels het hul eie ruimte

’n OpenVPN-ontplooiing met roetering ken adresse toe deur sy eie model: per-kliënt-konfigurasie wat deur ’n geauthentiseerde naam gesleutel word, of ’n eksplisiete poel. Om ’n LAN-roeteerder se DHCP-reservering te verander, skep nie daardie toekenning nie, en om ’n tonnelreservering by te voeg, beïnvloed nie die LAN nie. WireGuard gaan verder, want ’n peer word deur sy publieke sleutel en toegelate adresse geïdentifiseer, nie deur enige hardeware-identifiseerder nie. Geen generiese Ethernet-reservering vervang peer-konfigurasie daar nie.

Hou ’n inventaris wat vier objekte skei: die toestelbewys, die virtuele adapter, die toekenner se identifiseerder en die toegekende adres. Een fisiese masjien kan verskeie adapters, adresse en sessies hê.

’n Stabiele adres is nie ’n identiteit nie

’n Voorspelbare adres is operasioneel gerieflik en is nie ’n verifikasiebewys nie. Toegangsreëls wat op ’n adres staatmaak, hou op om identiteitskontroles te wees die oomblik dat dit hertoegewys, gedeel of vervals word. As ’n reël van die adres afhang, koördineer hertoewysing en intrekking met wie die identiteit besit, en hou die werklike verifikasiebeslissing elders. Dit verhoed dat ’n gerief die enigste bewys word van watter toestel gekoppel het.

Teken die toekenner, die identifiseerder en die toegekende adres saam aan. Wanneer een verander, is die ander twee wat jy nagaan.

As twee stelsels albei daarop aanspraak maak dat hulle vir dieselfde subnet toeken, besluit watter een dit besit voordat jy reserverings by enige van die twee voeg.