Ποιο αναγνωριστικό χρειάζεται η κράτηση VPN σας;

Τρεις συνθήκες καθορίζουν ποιο αναγνωριστικό πρέπει να χρησιμοποιεί μια κράτηση: ποιο σύστημα διανέμει τη διεύθυνση, αν αυτό το σύστημα βλέπει ποτέ πλαίσιο επιπέδου 2 και τι χρησιμοποιεί ως κλειδί πελάτη. Ένας οικιακός δρομολογητής με DHCP, ένα γεφυρωμένο VPN και μια δρομολογημένη σήραγγα απαντούν σε αυτές τις ερωτήσεις διαφορετικά. Η επιλογή του αναγνωριστικού είναι πιο ανθεκτική από την προσπάθεια να παγώσετε κάθε διεύθυνση MAC που αναφέρει ένας προσαρμογέας, γιατί το αναγνωριστικό είναι αυτό που διαβάζει πραγματικά ο εκχωρητής.

Ξεκινήστε από τον εκχωρητή και δουλέψτε αντίστροφα· το αναγνωριστικό στην πλευρά του πελάτη είναι ό,τι δέχεται αυτό το σύστημα.

Ρωτήστε πρώτα τον εκχωρητή

Ένας διακομιστής DHCP εκχωρεί από μια δεξαμενή και αντιστοιχίζει κρατήσεις με ένα αναγνωριστικό που αναγνωρίζει, το οποίο μπορεί να είναι η διεύθυνση υλικού, μια συμβολοσειρά αναγνωριστικού πελάτη ή ένα DUID ανάλογα με την έκδοση του πρωτοκόλλου. Ένας διακομιστής VPN εκχωρεί από τη δική του δεξαμενή και αντιστοιχίζει με ό,τι εκθέτει το μοντέλο ρύθμισής του, συχνά το πιστοποιημένο Common Name. Ένα γεφυρωμένο δίκτυο μπορεί να δώσει το ίδιο πρόβλημα στον διακομιστή DHCP που εξυπηρετεί ήδη το LAN. Κάθε ένα είναι διαφορετική αναζήτηση, και μια κράτηση έγκυρη στο ένα είναι αόρατη στα άλλα.

Επιβεβαιώστε τι βλέπει πραγματικά ο διακομιστής πριν ρυθμίσετε οτιδήποτε. Μια κράτηση που ονομάζει λάθος αναγνωριστικό αποτυγχάνει σιωπηλά: ο πελάτης λαμβάνει απλώς μια διεύθυνση από τη δεξαμενή, και το λάθος μοιάζει με πρόβλημα πελάτη.

Όπου μια διεύθυνση MAC σημαίνει ακόμη κάτι

Σε ένα φυσικό Ethernet ή Wi-Fi, η διεύθυνση υλικού προσδιορίζει μια διεπαφή σε εκείνο το τμήμα. Οι λειτουργίες απορρήτου την εναλλάσσουν, οι εικονικοί προσαρμογείς δημιουργούν νέες, και ένα φορητό μπορεί να εμφανίζει διαφορετικές τιμές στο Wi-Fi και σε μια βάση σύνδεσης. Μια δρομολογημένη σήραγγα TUN μεταφέρει πακέτα IP και δεν μεταδίδει την αρχική ασύρματη ταυτότητα σε απομακρυσμένο διακομιστή DHCP, οπότε μια κράτηση βάσει MAC σε εκείνη τη διαδρομή δεν έχει τίποτα να αντιστοιχίσει. Το TAP διαφέρει: μεταφέρει πλαίσια Ethernet και μπορεί να ενταχθεί σε γεφυρωμένο τομέα όπου τα αναγνωριστικά επιπέδου 2 μετράνε ακόμη.

Ακόμη και εκεί, η σχετική διεύθυνση είναι εκείνη που χρησιμοποιείται σε αυτόν τον τομέα, όχι αυτόματα του φυσικού uplink.

Οι διευθύνσεις σήραγγας και τα κλειδιά ομότιμων έχουν τον δικό τους χώρο

Μια δρομολογημένη ανάπτυξη OpenVPN εκχωρεί διευθύνσεις μέσω του δικού της μοντέλου: ρύθμιση ανά πελάτη με κλειδί από πιστοποιημένο όνομα, ή ρητή δεξαμενή. Η αλλαγή της κράτησης DHCP ενός δρομολογητή LAN δεν δημιουργεί αυτή την εκχώρηση, και η προσθήκη κράτησης σήραγγας δεν επηρεάζει το LAN. Το WireGuard πηγαίνει παραπέρα, γιατί ένας ομότιμος αναγνωρίζεται από το δημόσιο κλειδί του και τις επιτρεπόμενες διευθύνσεις και όχι από κάποιο αναγνωριστικό υλικού. Καμία γενική κράτηση Ethernet δεν αντικαθιστά εκεί τη ρύθμιση ομότιμου.

Τηρείτε ένα αρχείο που χωρίζει τέσσερα αντικείμενα: το διαπιστευτήριο της συσκευής, τον εικονικό προσαρμογέα, το αναγνωριστικό του εκχωρητή και τη διεύθυνση που εκχωρήθηκε. Ένα φυσικό μηχάνημα μπορεί να έχει πολλούς προσαρμογείς, διευθύνσεις και συνεδρίες.

Μια σταθερή διεύθυνση δεν είναι ταυτότητα

Μια προβλέψιμη διεύθυνση είναι λειτουργικά βολική και δεν είναι διαπιστευτήριο ταυτοποίησης. Οι κανόνες πρόσβασης που βασίζονται σε μια διεύθυνση παύουν να είναι έλεγχοι ταυτότητας τη στιγμή που αυτή επανεκχωρείται, κοινοποιείται ή πλαστογραφείται. Αν ένας κανόνας εξαρτάται από τη διεύθυνση, συντονίστε την επανεκχώρηση και την ανάκληση με όποιον κατέχει την ταυτότητα, και κρατήστε την πραγματική απόφαση ταυτοποίησης αλλού. Έτσι μια διευκόλυνση δεν γίνεται η μόνη απόδειξη για το ποια συσκευή συνδέθηκε.

Καταγράψτε μαζί τον εκχωρητή, το αναγνωριστικό και τη διεύθυνση που εκχωρήθηκε. Όταν αλλάζει ένα, τα άλλα δύο είναι αυτά που ελέγχετε.

Αν δύο συστήματα ισχυρίζονται και τα δύο ότι εκχωρούν για το ίδιο υποδίκτυο, αποφασίστε ποιο το κατέχει πριν προσθέσετε κρατήσεις σε οποιοδήποτε από τα δύο.