Eine geänderte MAC-Adresse auf einem Pi: Welche Schnittstelle hat sich geändert?

Nachdem eine VPN-Einrichtung auf einem Pi gelandet ist, können mehrere Schnittstellenidentitäten verschoben erscheinen. Die gestrige Ethernet-Adresse passt nicht mehr zur heutigen Liste, und die Schlussfolgerung schreibt sich selbst: Das VPN hat die MAC geändert. Meistens hat es das nicht. Einen physischen Uplink mit einer Bridge oder einem virtuellen Adapter zu vergleichen ist kein Vergleich, und die erste Aufgabe ist zu entscheiden, welches Objekt Sie tatsächlich betrachten.

Benennen Sie die Schnittstelle und den Beobachter

Notieren Sie den Gerätenamen, den Schnittstellentyp, die aktuelle Adresse der Sicherungsschicht und den Manager, der sie verwaltet. Fügen Sie den Zeitstempel hinzu, denn eine Anzeige, die sich beim Start geändert hat, ist ein anderes Ereignis als eine, die sich beim Hochfahren des Tunnels geändert hat.

Tun Sie dies für dieselbe Schnittstelle vor und nach dem Verbindungsereignis. Zwei Beobachtungen eines Objekts sind Beweise; eine Beobachtung zweier Objekte ist ein Zufall mit angehängter Geschichte. Der Unterschied ist die gesamte Untersuchung. Erwischen Sie das falsche Objekt, ist jede spätere Messung verschwendet.

Wenn eine DHCP-Reservierung Teil des Problems ist, halten Sie fest, welche Client-Identität der Zuteiler tatsächlich erhalten hat. Eine Desktop-Liste, eine Bridge-Identität und ein alter Lease-Eintrag sind drei verschiedene Datensätze, und nur einer davon ist das, was der Router gesehen hat.

TUN, TAP und der Uplink sind verschiedene Objekte

Der Kernel zieht eine harte Grenze zwischen den beiden virtuellen Typen. TUN transportiert IP-Pakete und hat überhaupt keine Ethernet-Identität. TAP transportiert Ethernet-Frames und hat daher eine.

Das bedeutet, dass eine Adresse auf der TAP-Seite nicht die Adresse des physischen Uplinks ist und eine geroutete TUN-Adresse kein Ersatz für eine Wi-Fi-MAC. Es sind verschiedene Schichten derselben Maschine.

Eine Bridge ist ein drittes Objekt. Sie hat ihre eigene Adresse der Sicherungsschicht, abgeleitet oder unabhängig von den angeschlossenen Ports konfiguriert, sodass eine hochkommende Bridge ändern kann, was eine Auflistung zeigt, ohne Hardware anzufassen. Die Ports behalten darunter ihre eigenen Adressen. Ihre Adresse kann auch ausdrücklich gesetzt werden, und dann stammt nichts daran von der Hardware.

Wer eine echte Änderung tatsächlich verursacht

Wenn dieselbe physische Schnittstelle wirklich ihre Adresse wechselt, schauen Sie sich das aktive Verbindungsprofil an, bevor Sie eine Ursache zuweisen. Datenschutzeinstellungen, Kloneinstellungen und ein neu erzeugtes virtuelles Gerät erzeugen dieses Symptom ohne jede Beteiligung eines VPN.

Nähe in der Zeit ist keine Kausalität. Ein startender Tunnel und ein erneut angewendetes Profil geschehen oft in derselben Sekunde, weil eines das andere ausgelöst hat, und die Adressänderung gehört zum Profil. Lesen Sie das Profil, bevor Sie das Tunnelprotokoll lesen.

Unterscheiden Sie auch eine neu erzeugte Schnittstelle von einem bestehenden Gerät. Dauerhafte Konfiguration und Laufzeitschnittstelle sind verwandte Objekte, und keines von beiden ist eine dauerhafte Hardware-Identität.

Was die Klonwerte eines Managers bedeuten

Die Referenz zu den Ethernet-Einstellungen von NetworkManager trennt eine ausdrücklich zugewiesene Adresse von Sonderwerten wie preserve, permanent, random und stable, mit unterschiedlicher Schreibweise auf der Kommandozeile und an der D-Bus-Schnittstelle.

Diese Werte sind eine unterstützte Fähigkeit eines Managers. Sie sind kein Beweis dafür, dass dieses Image diesen Manager ausführt, dass dieses Profil Randomisierung verwendet hat oder dass ein VPN-Prozess eine NIC umgeschrieben hat. Nur die aktive Konfiguration auf diesem Host beantwortet das.

Prüfen Sie den Eigentümer der Einstellung, statt einen zweiten Manager zu installieren, um die Einstellung verfügbar zu machen. Zwei Manager, die um eine Schnittstelle streiten, erzeugen genau die Instabilität, die Menschen dann dem Tunnel anlasten.

Beheben Sie die Identitätsanforderung, nicht die Anzeige

Wo eine lokale Reservierung nötig ist, folgen Sie dem Client-Identitätsmechanismus des Zuteilers selbst und bringen Sie ihn mit der Konfiguration der Schnittstelle in Einklang. Eine unabhängige Bridge- oder Tunneladresse festzunageln, damit eine Liste stabil aussieht, löst nichts. Sie schafft auch eine zweite Identität, die niemand dokumentiert hat.

Ein entferntes geroutetes VPN authentifiziert seinen eigenen Peer und weist Adressen über sein eigenes Modell zu. Eine LAN-Adresse einzufrieren nimmt diesen Peer nicht auf und erzeugt keine feste Tunnelzuweisung.

Vor einer genehmigten Identitätsänderung halten Sie die vorherige Konfiguration wiederherstellbar, besonders auf einer Maschine ohne Bildschirm, zu der Sie nicht hingehen können. Prüfen Sie danach dieselbe Schnittstelle und denselben lokalen Dienst nach einer erneuten Verbindung.

Der Befund, der es wert ist, aufgeschrieben zu werden, ist: welches Objekt sich geändert hat, wer es konfiguriert hat und ob das den beabsichtigten Identitätsvertrag verletzt. Alles Breitere ist eine Vermutung im Gewand einer Schlussfolgerung. Enge Befunde überstehen auch eine Überprüfung.