Millist identifikaatorit sinu VPN-i broneering vajab?

Millist identifikaatorit broneering peaks kasutama, otsustavad kolm tingimust: milline süsteem aadressi välja jagab, kas see süsteem näeb kunagi kihi 2 kaadrit ja mida see kliendivõtmena kasutab. Kodune DHCP-ruuter, sillatud VPN ja marsruuditud tunnel vastavad nendele küsimustele erinevalt. Identifikaatori valimine on vastupidavam kui katse külmutada iga MAC-aadress, millest adapter teatab, sest identifikaator on see, mida jaotur tegelikult loeb.

Alusta jaoturist ja liigu tagurpidi; kliendipoolne identifikaator on see, mida see süsteem aktsepteerib.

Küsi kõigepealt jaoturilt

DHCP-server jaotab basseinist ja sobitab broneeringuid identifikaatoriga, mida ta tunneb; sõltuvalt protokolli versioonist võib see olla riistvaraaadress, kliendi identifikaatori string või DUID. VPN-server jaotab oma basseinist ja sobitab sellega, mida tema seadistusmudel paljastab, sageli autenditud Common Name. Sillatud võrk võib sama probleemi anda DHCP-serverile, mis juba LAN-i teenindab. Igaüks neist on erinev otsing ja ühes kehtiv broneering on teiste jaoks nähtamatu.

Enne millegi seadistamist kinnita, mida server tegelikult näeb. Vale identifikaatorit nimetav broneering ebaõnnestub vaikselt: klient saab lihtsalt basseini aadressi ja viga näeb välja kliendiprobleemina.

Kus MAC-aadress veel midagi tähendab

Füüsilisel Etherneti või Wi-Fi lingil identifitseerib riistvaraaadress liidese selles segmendis. Privaatsusfunktsioonid pööravad seda, virtuaalsed adapterid loovad uusi ja sülearvuti võib Wi-Fi ja doki korral näidata erinevaid väärtusi. Marsruuditud TUN-tunnel kannab IP-pakette ega edasta algset traadita identiteeti kaugemale DHCP-serverile, seega MAC-põhisel broneeringul sellel teel pole millegagi sobitada. TAP erineb: see kannab Etherneti kaadreid ja saab liituda sillatud domeeniga, kus kihi 2 identifikaatorid loevad endiselt.

Isegi seal on asjakohane aadress see, mida selles domeenis kasutatakse, mitte automaatselt füüsilise üleslingi oma.

Tunneli aadressidel ja partneri võtmetel on oma ruum

Marsruuditud OpenVPN-i juurutus määrab aadressid oma mudeli kaudu: kliendipõhine seadistus, mis on võtmeks autenditud nimele, või selgesõnaline bassein. LAN-ruuteri DHCP-broneeringu muutmine ei loo seda määramist ja tunnelibroneeringu lisamine ei mõjuta LAN-i. WireGuard läheb kaugemale, sest partnerit identifitseeritakse tema avaliku võtme ja lubatud aadressidega, mitte ühegi riistvara identifikaatoriga. Ükski üldine Etherneti broneering ei asenda seal partneri seadistust.

Pea inventari, mis eraldab neli objekti: seadme volituse, virtuaalse adapteri, jaoturi identifikaatori ja määratud aadressi. Ühel füüsilisel masinal võib olla mitu adapterit, aadressi ja sessiooni.

Püsiv aadress ei ole identiteet

Ennustatav aadress on kasutusmugav ja ei ole autentimisvolitus. Aadressile toetuvad juurdepääsureeglid lakkavad olemast identiteedikontrollid hetkel, mil see määratakse uuesti, jagatakse või võltsitakse. Kui reegel sõltub aadressist, koordineeri ümbermääramine ja tühistamine sellega, kellele identiteet kuulub, ja hoia tegelik autentimisotsus mujal. Nii ei muutu mugavus ainsaks tõendiks, milline seade ühendus.

Kirjuta jaotur, identifikaator ja määratud aadress koos üles. Kui üks muutub, on ülejäänud kaks see, mida kontrollid.

Kui kaks süsteemi väidavad mõlemad, et jagavad sama alavõrku, otsusta, milline neist seda valdab, enne kui kummalelegi broneeringuid lisad.