¿Qué identificador necesita tu reserva de VPN?

Tres condiciones deciden qué identificador debe usar una reserva: qué sistema reparte la dirección, si ese sistema llega a ver alguna vez una trama de capa 2 y qué usa como clave de cliente. Un router doméstico con DHCP, una VPN puente y un túnel enrutado responden a esas preguntas de forma distinta. Elegir el identificador es más duradero que intentar congelar cada dirección MAC que informa un adaptador, porque el identificador es lo que el asignador lee de verdad.

Empieza por el asignador y trabaja hacia atrás; el identificador del lado del cliente es lo que acepte ese sistema.

Pregunta primero al asignador

Un servidor DHCP asigna de un grupo y compara las reservas con un identificador que reconoce, que puede ser la dirección de hardware, una cadena de identificador de cliente o un DUID según la versión del protocolo. Un servidor VPN asigna de su propio grupo y compara con lo que expone su modelo de configuración, a menudo el Common Name autenticado. Una red puente puede entregar el mismo problema al servidor DHCP que ya sirve a la LAN. Cada uno es una búsqueda distinta, y una reserva válida en uno es invisible para los demás.

Confirma qué ve realmente el servidor antes de configurar nada. Una reserva que nombra el identificador equivocado falla en silencio: el cliente simplemente recibe una dirección del grupo, y el error parece un problema del cliente.

Donde una dirección MAC todavía significa algo

En un enlace físico Ethernet o Wi-Fi, la dirección de hardware identifica una interfaz en ese segmento. Las funciones de privacidad la rotan, los adaptadores virtuales crean nuevas, y un portátil puede presentar valores distintos por Wi-Fi y en una base de acoplamiento. Un túnel TUN enrutado transporta paquetes IP y no transmite la identidad inalámbrica original a un servidor DHCP remoto, así que una reserva basada en MAC en esa ruta no tiene con qué compararse. TAP es distinto: transporta tramas Ethernet y puede unirse a un dominio puente donde los identificadores de capa 2 todavía importan.

Incluso allí, la dirección relevante es la que se usa en ese dominio, no automáticamente la del enlace físico superior.

Las direcciones de túnel y las claves de par tienen su propio espacio

Un despliegue de OpenVPN enrutado asigna direcciones mediante su propio modelo: configuración por cliente con clave por nombre autenticado, o un grupo explícito. Cambiar la reserva DHCP de un router de LAN no crea esa asignación, y añadir una reserva de túnel no influye en la LAN. WireGuard va más lejos, porque un par se identifica por su clave pública y sus direcciones permitidas, no por ningún identificador de hardware. Ninguna reserva genérica de Ethernet sustituye allí la configuración de par.

Mantén un inventario que separe cuatro objetos: la credencial del dispositivo, el adaptador virtual, el identificador del asignador y la dirección asignada. Una misma máquina física puede tener varios adaptadores, direcciones y sesiones.

Una dirección estable no es una identidad

Una dirección predecible es cómoda en operación y no es una credencial de autenticación. Las reglas de acceso que dependen de una dirección dejan de ser comprobaciones de identidad en el momento en que se reasigna, se comparte o se falsifica. Si una regla depende de la dirección, coordina la reasignación y la revocación con quien posee la identidad, y mantén la decisión real de autenticación en otro lugar. Así una comodidad no se convierte en la única prueba de qué dispositivo se conectó.

Registra el asignador, el identificador y la dirección asignada juntos. Cuando uno cambia, los otros dos son lo que compruebas.

Si dos sistemas afirman asignar para la misma subred, decide cuál la posee antes de añadir reservas a cualquiera de los dos.