Quin identificador necessita la teva reserva de VPN?

Tres condicions decideixen quin identificador ha d’usar una reserva: quin sistema reparteix l’adreça, si aquest sistema arriba a veure mai una trama de capa 2 i què fa servir com a clau de client. Un encaminador domèstic amb DHCP, una VPN pont i un túnel encaminat responen aquestes preguntes de manera diferent. Triar l’identificador és més durador que intentar congelar cada adreça MAC que reporta un adaptador, perquè l’identificador és el que l’assignador llegeix de veritat.

Comenceu per l’assignador i treballeu cap enrere; l’identificador del costat del client és el que aquell sistema accepta.

Pregunteu primer a l’assignador

Un servidor DHCP assigna d’un pool i compara les reserves amb un identificador que reconeix, que pot ser l’adreça de maquinari, una cadena d’identificador de client o un DUID segons la versió del protocol. Un servidor VPN assigna del seu propi pool i compara amb el que exposa el seu model de configuració, sovint el Common Name autenticat. Una xarxa pont pot lliurar el mateix problema al servidor DHCP que ja serveix la LAN. Cadascun és una consulta diferent, i una reserva vàlida en un és invisible per als altres.

Confirmeu què veu realment el servidor abans de configurar res. Una reserva que anomena l’identificador equivocat falla en silenci: el client simplement rep una adreça del pool, i l’error sembla un problema del client.

On una adreça MAC encara vol dir alguna cosa

En un enllaç físic Ethernet o Wi-Fi, l’adreça de maquinari identifica una interfície en aquell segment. Les funcions de privacitat la roten, els adaptadors virtuals en creen de noves, i un portàtil pot presentar valors diferents per Wi-Fi i en una base d’acoblament. Un túnel TUN encaminat transporta paquets IP i no transmet la identitat sense fil original a un servidor DHCP remot, així que una reserva basada en MAC en aquest camí no té res amb què comparar-se. El TAP és diferent: transporta trames Ethernet i es pot unir a un domini pont on els identificadors de capa 2 encara importen.

Fins i tot allà, l’adreça rellevant és la que s’usa en aquell domini, no automàticament la de l’enllaç físic superior.

Les adreces de túnel i les claus de parell tenen el seu propi espai

Un desplegament d’OpenVPN encaminat assigna adreces mitjançant el seu propi model: configuració per client amb clau per nom autenticat, o un pool explícit. Canviar la reserva DHCP d’un encaminador de LAN no crea aquesta assignació, i afegir una reserva de túnel no influeix en la LAN. WireGuard va més enllà, perquè un parell s’identifica per la seva clau pública i les adreces permeses, no per cap identificador de maquinari. Cap reserva genèrica d’Ethernet no substitueix la configuració de parell allà.

Manteniu un inventari que separi quatre objectes: la credencial del dispositiu, l’adaptador virtual, l’identificador de l’assignador i l’adreça assignada. Una màquina física pot tenir diversos adaptadors, adreces i sessions.

Una adreça estable no és una identitat

Una adreça predictible és operativament còmoda i no és una credencial d’autenticació. Les regles d’accés que es basen en una adreça deixen de ser comprovacions d’identitat en el moment que es reassigna, es comparteix o es falsifica. Si una regla depèn de l’adreça, coordineu la reassignació i la revocació amb qui posseeix la identitat, i manteniu la decisió real d’autenticació en un altre lloc. Així una comoditat no es converteix en l’única evidència de quin dispositiu es va connectar.

Registreu l’assignador, l’identificador i l’adreça assignada junts. Quan un canvia, els altres dos són el que comproveu.

Si dos sistemes afirmen assignar per a la mateixa subxarxa, decidiu quin la posseeix abans d’afegir reserves a cap dels dos.