Які ідэнтыфікатар патрэбны вашаму рэзерваванню VPN?

Тры ўмовы вызначаюць, які ідэнтыфікатар павінна выкарыстоўваць рэзерваванне: якая сістэма выдае адрас, ці бачыць гэтая сістэма кадр узроўню 2 наогул і што яна выкарыстоўвае ў якасці ключа кліента. Хатні маршрутызатар з DHCP, маставы VPN і маршрутызаваны тунель адказваюць на гэтыя пытанні па-рознаму. Выбар ідэнтыфікатара больш трывалы, чым спроба замарозіць кожны MAC-адрас, які паведамляе адаптар, бо ідэнтыфікатар — гэта тое, што размеркавальнік сапраўды чытае.

Пачніце з размеркавальніка і рухайцеся назад; ідэнтыфікатар на баку кліента — гэта тое, што прымае гэтая сістэма.

Спачатку спытайце размеркавальнік

DHCP-сервер размеркавае з пула і супастаўляе рэзерваванні з ідэнтыфікатарам, які ён распазнае; гэта можа быць адрас абсталявання, радок ідэнтыфікатара кліента або DUID у залежнасці ад версіі пратакола. VPN-сервер размеркавае са свайго пула і супастаўляе з тым, што адкрывае яго мадэль канфігурацыі, часцей за ўсё з аўтэнтыфікаваным Common Name. Маставая сетка можа перадаць тую ж праблему DHCP-серверу, які ўжо абслугоўвае LAN. Кожны з іх — розны пошук, і рэзерваванне, сапраўднае ў адным, нябачнае для іншых.

Перад любой наладкай пацвердзіце, што сервер сапраўды бачыць. Рэзерваванне з няправільным ідэнтыфікатарам церпіць няўдачу маўкліва: кліент проста атрымлівае адрас з пула, і памылка выглядае як праблема кліента.

Дзе MAC-адрас яшчэ нешта значыць

На фізічным Ethernet- або Wi-Fi-злучэнні адрас абсталявання вызначае інтэрфейс на гэтым сегменце. Функцыі прыватнасці круцяць яго, віртуальныя адаптары ствараюць новыя, і ноўтбук можа паказваць розныя значэнні ў Wi-Fi і на док-станцыі. Маршрутызаваны тунель TUN пераносіць IP-пакеты і не перадае зыходную бесправодную ідэнтычнасць аддаленаму DHCP-серверу, таму рэзерваванне на аснове MAC на гэтым шляху не мае з чым супастаўляцца. TAP адрозніваецца: ён пераносіць кадры Ethernet і можа далучыцца да маставога дамена, дзе ідэнтыфікатары ўзроўню 2 яшчэ маюць значэнне.

Нават там адпаведны адрас — гэта той, што выкарыстоўваецца ў гэтым дамене, а не аўтаматычна адрас фізічнага верхняга канала.

Адрасы тунеля і ключы вузлоў маюць уласную прастору

Маршрутызаванае разгортванне OpenVPN прызначае адрасы праз уласную мадэль: канфігурацыя для кожнага кліента з ключом па аўтэнтыфікаваным імені або яўны пул. Змена DHCP-рэзервавання LAN-маршрутызатара не стварае гэтага прызначэння, а даданне рэзервавання тунеля не ўплывае на LAN. WireGuard ідзе далей, бо вузел вызначаецца сваім публічным ключом і дазволенымі адрасамі, а не любым ідэнтыфікатарам абсталявання. Ніякае агульнае Ethernet-рэзерваванне не замяняе канфігурацыю вузла там.

Трымайце інвентар, які раздзяляе чатыры аб’екты: уліковыя дадзеныя прылады, віртуальны адаптар, ідэнтыфікатар размеркавальніка і прызначаны адрас. Адна фізічная машына можа мець некалькі адаптараў, адрасоў і сесій.

Стабільны адрас — не ідэнтычнасць

Прадказальны адрас зручны з пункту гледжання эксплуатацыі і не з’яўляецца ўліковымі дадзенымі аўтэнтыфікацыі. Правілы доступу, якія спадзяюцца на адрас, перастаюць быць праверкай ідэнтычнасці ў момант, калі ён перапрызначаны, агучаны або падроблены. Калі правіла залежыць ад адраса, узгадніце перапрызначэнне і адкліканне з тымі, хто валодае ідэнтычнасцю, і трымайце сапраўднае рашэнне аб аўтэнтыфікацыі ў іншым месцы. Гэта не дазваляе зручнасці стаць адзіным доказам таго, якая прылада падключылася.

Запісвайце размеркавальнік, ідэнтыфікатар і прызначаны адрас разам. Калі адзін змяняецца, два іншыя — гэта тое, што вы правяраеце.

Калі дзве сістэмы абедзве заяўляюць, што размеркаваюць для адной падсеткі, вырашыце, якая з іх ёй валодае, перш чым дадаваць рэзерваванні ў любую з іх.