Kiun identigilon bezonas via VPN-rezervo?

Tri kondiĉoj decidas, kiun identigilon rezervo uzu: kiu sistemo disdonas la adreson, ĉu tiu sistemo iam vidas kadron de tavolo 2, kaj kion ĝi uzas kiel klientan ŝlosilon. Hejma enkursigilo kun DHCP, pontoforma VPN kaj enkursigita tunelo respondas tiujn demandojn malsame. Elekti la identigilon estas pli daŭra ol provi frostigi ĉiun MAC-adreson, kiun adaptilo raportas, ĉar la identigilo estas tio, kion la asignilo efektive legas.

Komencu ĉe la asignilo kaj laboru malantaŭen; la identigilo ĉe la klienta flanko estas io ajn, kion tiu sistemo akceptas.

Unue demandu la asignilon

DHCP-servilo asignas el baseno kaj kongruigas rezervojn kun identigilo, kiun ĝi rekonas, kiu povas esti la aparata adreso, klienta identigila ĉeno aŭ DUID laŭ la protokola versio. VPN-servilo asignas el sia propra baseno kaj kongruigas kun tio, kion malkaŝas ĝia agorda modelo, ofte la aŭtentigita Common Name. Pontoforma reto povas transdoni la saman problemon al la DHCP-servilo, kiu jam servas la LAN-on. Ĉiu estas malsama serĉo, kaj rezervo valida en unu estas nevidebla por la aliaj.

Konfirmu, kion la servilo efektive vidas, antaŭ ol agordi ion ajn. Rezervo, kiu nomas la malĝustan identigilon, malsukcesas silente: la kliento simple ricevas adreson el la baseno, kaj la eraro aspektas kiel klienta problemo.

Kie MAC-adreso ankoraŭ signifas ion

Sur fizika Ethernet- aŭ Wi-Fi-ligilo, la aparata adreso identigas interfacon en tiu segmento. Privatecaj funkcioj turnas ĝin, virtualaj adaptiloj kreas novajn, kaj tekkomputilo povas prezenti malsamajn valorojn per Wi-Fi kaj sur doko. Enkursigita TUN-tunelo portas IP-paketojn kaj ne transdonas la originan sendratan identecon al fora DHCP-servilo, do MAC-bazita rezervo sur tiu vojo havas nenion por kongruigi. TAP malsamas: ĝi portas Ethernet-kadrojn kaj povas aliĝi al pontoforma domajno, kie identigiloj de tavolo 2 ankoraŭ gravas.

Eĉ tie la koncerna adreso estas tiu uzata en tiu domajno, ne aŭtomate tiu de la fizika suprenligo.

Tunelaj adresoj kaj partneraj ŝlosiloj havas sian propran spacon

Enkursigita OpenVPN-ekspansio asignas adresojn per sia propra modelo: agordo por ĉiu kliento ŝlosita per aŭtentigita nomo, aŭ eksplicita baseno. Ŝanĝi la DHCP-rezervon de LAN-enkursigilo ne kreas tiun asignon, kaj aldoni tunelan rezervon ne influas la LAN-on. WireGuard iras pli malproksimen, ĉar partnero estas identigata per sia publika ŝlosilo kaj permesitaj adresoj, ne per ia aparata identigilo. Neniu ĝenerala Ethernet-rezervo anstataŭas la partneran agordon tie.

Tenu inventaron, kiu apartigas kvar objektojn: la aparatan akreditaĵon, la virtualan adaptilon, la identigilon de la asignilo kaj la asignitan adreson. Unu fizika maŝino povas havi plurajn adaptilojn, adresojn kaj seancojn.

Stabila adreso ne estas identeco

Antaŭvidebla adreso estas operative oportuna kaj ne estas aŭtentiga akreditaĵo. Alirreguloj, kiuj apogiĝas sur adreso, ĉesas esti identeckontroloj en la momento, kiam ĝi estas reasignita, kunhavata aŭ falsita. Se regulo dependas de la adreso, kunordigu reasignon kaj revokon kun tiu, kiu posedas la identecon, kaj tenu la veran aŭtentigan decidon aliloke. Tiel oportunaĵo ne fariĝas la sola pruvo pri tio, kiu aparato konektiĝis.

Registru la asignilon, la identigilon kaj la asignitan adreson kune. Kiam unu ŝanĝiĝas, la aliaj du estas tio, kion vi kontrolas.

Se du sistemoj ambaŭ asertas asigni por la sama subreto, decidu, kiu posedas ĝin, antaŭ ol aldoni rezervojn al iu el ili.