Hvilken identifikator har din VPN-reservation brug for?

Tre forhold afgør, hvilken identifikator en reservation skal bruge: hvilket system der uddeler adressen, om det system nogensinde ser en layer-2-ramme, og hvad det bruger som klientnøgle. En hjemmerouter med DHCP, en broet VPN og en routet tunnel besvarer de spørgsmål forskelligt. At vælge identifikatoren er mere holdbart end at forsøge at fryse hver MAC-adresse, som en adapter rapporterer, fordi identifikatoren er det, tildeleren faktisk læser.

Start ved tildeleren og arbejd baglæns; identifikatoren på klientsiden er det, som systemet accepterer.

Spørg tildeleren først

En DHCP-server tildeler fra en pulje og matcher reservationer mod en identifikator, den genkender, som kan være hardwareadressen, en klientidentifikatorstreng eller en DUID afhængigt af protokolversionen. En VPN-server tildeler fra sin egen pulje og matcher mod det, dens konfigurationsmodel eksponerer, ofte det godkendte Common Name. Et broet netværk kan give det samme problem til den DHCP-server, der allerede betjener LAN’et. Hver er et forskelligt opslag, og en reservation, der er gyldig i det ene, er usynlig for de andre.

Bekræft, hvad serveren faktisk ser, før du konfigurerer noget. En reservation, der angiver den forkerte identifikator, fejler lydløst: klienten modtager blot en adresse fra puljen, og fejlen ser ud som et klientproblem.

Hvor en MAC-adresse stadig betyder noget

På et fysisk Ethernet- eller Wi-Fi-link identificerer hardwareadressen en grænseflade på det segment. Privatlivsfunktioner roterer den, virtuelle adaptere skaber nye, og en bærbar computer kan vise forskellige værdier på Wi-Fi og i en dock. En routet TUN-tunnel transporterer IP-pakker og overfører ikke den oprindelige trådløse identitet til en fjern DHCP-server, så en MAC-baseret reservation på den vej har intet at matche. TAP er anderledes: det transporterer Ethernet-rammer og kan tilslutte sig et broet domæne, hvor layer-2-identifikatorer stadig betyder noget.

Selv der er den relevante adresse den, der bruges på det domæne, ikke automatisk den fysiske uplinks.

Tunneladresser og peer-nøgler har deres eget rum

En routet OpenVPN-udrulning tildeler adresser gennem sin egen model: per-klient-konfiguration med nøgle efter et godkendt navn eller en eksplicit pulje. Ændring af en LAN-routers DHCP-reservation skaber ikke den tildeling, og tilføjelse af en tunnelreservation påvirker ikke LAN’et. WireGuard går videre, fordi en peer identificeres ved sin offentlige nøgle og tilladte adresser frem for nogen hardwareidentifikator. Ingen generisk Ethernet-reservation erstatter peer-konfigurationen der.

Hold en oversigt, der adskiller fire objekter: enhedens legitimationsoplysning, den virtuelle adapter, tildelerens identifikator og den tildelte adresse. Én fysisk maskine kan have flere adaptere, adresser og sessioner.

En stabil adresse er ikke en identitet

En forudsigelig adresse er driftsmæssigt bekvem og er ikke en autentificeringslegitimationsoplysning. Adgangsregler, der hviler på en adresse, holder op med at være identitetskontroller i det øjeblik, den tildeles igen, deles eller forfalskes. Hvis en regel afhænger af adressen, skal du koordinere gentildeling og tilbagekaldelse med den, der ejer identiteten, og holde den egentlige autentificeringsbeslutning et andet sted. Det forhindrer, at en bekvemmelighed bliver det eneste bevis for, hvilken enhed der blev forbundet.

Registrér tildeleren, identifikatoren og den tildelte adresse sammen. Når én ændres, er de to andre det, du kontrollerer.

Hvis to systemer begge hævder at tildele til det samme subnet, så afgør, hvilket der ejer det, før du tilføjer reservationer til nogen af dem.