أي معرّف يحتاج إليه حجز VPN لديك؟

ثلاثة شروط تحدد المعرّف الذي ينبغي أن يستخدمه الحجز: أي نظام يوزّع العنوان، وهل يرى ذلك النظام إطارًا من الطبقة 2 أصلًا، وما الذي يستخدمه كمفتاح للعميل. يجيب موجّه منزلي يعمل بـ DHCP وشبكة VPN جسرية ونفق موجّه عن هذه الأسئلة إجابات مختلفة. اختيار المعرّف أدوم من محاولة تجميد كل عنوان MAC يبلّغ عنه محوّل، لأن المعرّف هو ما يقرأه المخصِّص فعلًا.

ابدأ من المخصِّص واعمل بالعكس؛ معرّف جهة العميل هو ما يقبله ذلك النظام.

اسأل المخصِّص أولًا

يخصّص خادم DHCP من مجموعة عناوين ويطابق الحجوزات مع معرّف يتعرّف عليه، وقد يكون عنوان العتاد أو سلسلة معرّف عميل أو DUID بحسب إصدار البروتوكول. ويخصّص خادم VPN من مجموعته الخاصة ويطابق مع ما يعرضه نموذج إعداده، وغالبًا الاسم الشائع الموثّق. ويمكن لشبكة جسرية أن تسلّم المشكلة نفسها إلى خادم DHCP الذي يخدم الشبكة المحلية أصلًا. كل ذلك بحث مختلف، والحجز الصالح في أحدها غير مرئي للآخرين.

تأكد مما يراه الخادم فعلًا قبل إعداد أي شيء. الحجز الذي يذكر المعرّف الخطأ يفشل بصمت: يتلقى العميل عنوانًا من المجموعة فحسب، ويبدو الخطأ مشكلة في العميل.

حيث لا يزال عنوان MAC يعني شيئًا

على رابط إيثرنت أو Wi-Fi فعلي، يحدد عنوان العتاد واجهة على ذلك المقطع. تدوّره ميزات الخصوصية، وتنشئ المحوّلات الافتراضية عناوين جديدة، وقد يعرض حاسوب محمول قيمًا مختلفة على Wi-Fi وعلى قاعدة توصيل. نفق TUN الموجّه يحمل حزم IP ولا ينقل الهوية اللاسلكية الأصلية إلى خادم DHCP بعيد، لذا لا يجد الحجز القائم على MAC على ذلك المسار ما يطابقه. يختلف TAP: فهو يحمل إطارات إيثرنت ويمكنه الانضمام إلى نطاق جسري لا تزال معرّفات الطبقة 2 مهمة فيه.

حتى هناك، العنوان المعني هو المستخدم على ذلك النطاق، وليس تلقائيًا عنوان الوصلة الفيزيائية.

عناوين النفق ومفاتيح النظير لها مساحتها الخاصة

نشر OpenVPN الموجّه يعيّن العناوين عبر نموذجه الخاص: إعداد لكل عميل مفتاحه اسم موثّق، أو مجموعة صريحة. تغيير حجز DHCP في موجّه الشبكة المحلية لا ينشئ ذلك التعيين، وإضافة حجز نفق لا تؤثر في الشبكة المحلية. ويذهب WireGuard أبعد، لأن النظير يُعرَّف بمفتاحه العام والعناوين المسموح بها لا بأي معرّف عتاد. لا يستبدل أي حجز إيثرنت عام إعداد النظير هناك.

احتفظ بجرد يفصل أربعة كائنات: بيانات اعتماد الجهاز، والمحوّل الافتراضي، ومعرّف المخصِّص، والعنوان المعيّن. يمكن لآلة فيزيائية واحدة أن تملك عدة محوّلات وعناوين وجلسات.

العنوان المستقر ليس هوية

العنوان المتوقع مريح تشغيليًا وليس بيانات اعتماد للمصادقة. قواعد الوصول التي تعتمد على عنوان تتوقف عن كونها فحوص هوية لحظة إعادة تعيينه أو مشاركته أو انتحاله. وإذا كانت قاعدة تعتمد على العنوان، فنسّق إعادة التعيين والإبطال مع مالك الهوية، وأبقِ قرار المصادقة الحقيقي في مكان آخر. بذلك لا يصبح التيسير الدليل الوحيد على الجهاز الذي اتصل.

سجّل المخصِّص والمعرّف والعنوان المعيّن معًا. وعندما يتغير أحدها، يكون الاثنان الآخران هما ما تتحقق منه.

إذا ادّعى نظامان أنهما يخصّصان للشبكة الفرعية نفسها، فحدد أيّهما يملكها قبل إضافة حجوزات إلى أي منهما.