Кой идентификатор е нужен на вашата VPN резервация?

Три условия решават кой идентификатор трябва да използва една резервация: коя система раздава адреса, дали тази система изобщо вижда кадър от слой 2 и какво използва като ключ за клиента. Домашен рутер с DHCP, мостов VPN и маршрутизиран тунел отговарят на тези въпроси по различен начин. Изборът на идентификатора е по-трайно решение от опита да замразите всеки MAC адрес, който адаптерът съобщава, защото идентификаторът е това, което разпределителят действително чете.

Започнете от разпределителя и работете назад; идентификаторът от страна на клиента е каквото тази система приема.

Питайте първо разпределителя

DHCP сървърът разпределя от пул и съпоставя резервациите с идентификатор, който разпознава, а това може да е адресът на хардуера, низ за идентификатор на клиента или DUID в зависимост от версията на протокола. VPN сървърът разпределя от свой собствен пул и съпоставя с това, което неговият модел на конфигурация разкрива, често удостовереното Common Name. Мостова мрежа може да предаде същия проблем на DHCP сървъра, който вече обслужва LAN. Всяко от тях е различно търсене и резервация, валидна в едното, е невидима за другите.

Потвърдете какво всъщност вижда сървърът, преди да конфигурирате каквото и да е. Резервация с грешен идентификатор се проваля тихо: клиентът просто получава адрес от пула и грешката изглежда като проблем с клиента.

Къде MAC адресът все още означава нещо

На физическа Ethernet или Wi-Fi връзка адресът на хардуера идентифицира интерфейс в този сегмент. Функциите за поверителност го сменят, виртуалните адаптери създават нови, а лаптопът може да показва различни стойности по Wi-Fi и в докинг станция. Маршрутизиран TUN тунел носи IP пакети и не предава оригиналната безжична идентичност на отдалечен DHCP сървър, затова резервация на базата на MAC по този път няма с какво да се съпостави. TAP се различава: той носи Ethernet кадри и може да се присъедини към мостов домейн, където идентификаторите от слой 2 все още имат значение.

Дори там съответният адрес е този, използван в този домейн, а не автоматично адресът на физическата връзка.

Адресите на тунела и ключовете на партньорите имат собствено пространство

Маршрутизирано внедряване на OpenVPN задава адреси чрез собствен модел: конфигурация за всеки клиент с ключ по удостоверено име или явен пул. Промяната на DHCP резервация на LAN рутера не създава това назначение, а добавянето на резервация за тунел не влияе на LAN. WireGuard отива по-далеч, защото партньорът се идентифицира с публичния си ключ и разрешените адреси, а не с някакъв хардуерен идентификатор. Там никаква обща Ethernet резервация не заменя конфигурацията на партньора.

Поддържайте инвентар, който разделя четири обекта: идентификационните данни на устройството, виртуалния адаптер, идентификатора на разпределителя и зададения адрес. Една физическа машина може да има няколко адаптера, адреса и сесии.

Стабилният адрес не е идентичност

Предвидимият адрес е удобен за експлоатация и не е идентификационни данни за удостоверяване. Правилата за достъп, които разчитат на адрес, престават да бъдат проверка на идентичността в момента, в който той бъде преназначен, споделен или подправен. Ако правило зависи от адреса, координирайте преназначаването и отнемането с този, който притежава идентичността, и дръжте истинското решение за удостоверяване другаде. Така удобството не се превръща в единственото доказателство кое устройство се е свързало.

Записвайте разпределителя, идентификатора и зададения адрес заедно. Когато едното се промени, другите две са това, което проверявате.

Ако две системи твърдят, че разпределят за една и съща подмрежа, решете коя я притежава, преди да добавите резервации към която и да е от тях.