Který identifikátor vaše rezervace VPN potřebuje?

Který identifikátor má rezervace použít, rozhodují tři podmínky: který systém přiděluje adresu, zda tento systém vůbec vidí rámec vrstvy 2 a co používá jako klíč klienta. Domácí router s DHCP, přemostěná VPN a směrovaný tunel odpovídají na tyto otázky různě. Volba identifikátoru je trvanlivější než snaha zmrazit každou MAC adresu, kterou adaptér hlásí, protože identifikátor je to, co přidělovač skutečně čte.

Začněte u přidělovače a postupujte zpět; identifikátor na straně klienta je to, co tento systém přijímá.

Nejprve se zeptejte přidělovače

Server DHCP přiděluje z fondu a porovnává rezervace s identifikátorem, který rozpozná; může to být hardwarová adresa, řetězec identifikátoru klienta nebo DUID podle verze protokolu. Server VPN přiděluje z vlastního fondu a porovnává s tím, co odhaluje jeho konfigurační model, často s ověřeným Common Name. Přemostěná síť může stejný problém předat serveru DHCP, který už obsluhuje LAN. Každé z nich je jiné hledání a rezervace platná v jednom je pro ostatní neviditelná.

Než cokoli nakonfigurujete, ověřte, co server skutečně vidí. Rezervace s nesprávným identifikátorem selže tiše: klient prostě dostane adresu z fondu a chyba vypadá jako problém klienta.

Kde MAC adresa ještě něco znamená

Na fyzickém Ethernetovém nebo Wi-Fi spojení hardwarová adresa identifikuje rozhraní v tomto segmentu. Funkce soukromí ji otáčejí, virtuální adaptéry vytvářejí nové a notebook může na Wi-Fi a v doku uvádět různé hodnoty. Směrovaný tunel TUN přenáší IP pakety a nepředává původní bezdrátovou identitu vzdálenému serveru DHCP, takže rezervace založená na MAC na této cestě nemá co porovnávat. TAP se liší: přenáší Ethernetové rámce a může se připojit k přemostěné doméně, kde identifikátory vrstvy 2 stále záleží.

I tam je příslušnou adresou ta, která se v této doméně používá, ne automaticky adresa fyzického páteřního spoje.

Adresy tunelů a klíče protějšků mají vlastní prostor

Směrované nasazení OpenVPN přiděluje adresy vlastním modelem: konfigurace pro jednotlivé klienty s klíčem podle ověřeného jména, nebo explicitní fond. Změna rezervace DHCP na routeru LAN tuto přiřazení nevytvoří a přidání rezervace tunelu LAN neovlivní. WireGuard jde dál, protože protějšek se identifikuje svým veřejným klíčem a povolenými adresami, nikoli nějakým hardwarovým identifikátorem. Žádná obecná Ethernetová rezervace tam konfiguraci protějšku nenahradí.

Veďte inventář, který odděluje čtyři objekty: přihlašovací údaj zařízení, virtuální adaptér, identifikátor přidělovače a přidělenou adresu. Jeden fyzický stroj může mít několik adaptérů, adres a relací.

Stabilní adresa není identita

Předvídatelná adresa je provozně pohodlná a není autentizačním údajem. Přístupová pravidla, která se opírají o adresu, přestávají být kontrolou identity ve chvíli, kdy je adresa přeřazena, sdílena nebo podvržena. Pokud pravidlo závisí na adrese, koordinujte přeřazení a odvolání s tím, kdo vlastní identitu, a skutečné rozhodnutí o autentizaci držte jinde. Tím se z pohodlí nestane jediný důkaz o tom, které zařízení se připojilo.

Zaznamenejte přidělovač, identifikátor a přidělenou adresu společně. Když se jeden změní, zbývající dva jsou to, co kontrolujete.

Pokud dva systémy tvrdí, že přidělují pro stejnou podsíť, rozhodněte, který ji vlastní, než do kteréhokoli přidáte rezervace.