Minkä tunnisteen VPN-varauksesi tarvitsee?

Kolme ehtoa ratkaisee, mitä tunnistetta varauksen pitäisi käyttää: mikä järjestelmä jakaa osoitteen, näkeekö se järjestelmä koskaan kerroksen 2 kehystä ja mitä se käyttää asiakasavaimena. Kotireititin DHCP:llä, sillattu VPN ja reititetty tunneli vastaavat näihin kysymyksiin eri tavoin. Tunnisteen valitseminen on kestävämpää kuin yritys jäädyttää jokainen MAC-osoite, jonka sovitin ilmoittaa, koska tunniste on se, mitä jakaja todella lukee.

Aloita jakajasta ja etene taaksepäin; asiakaspuolen tunniste on se, minkä järjestelmä hyväksyy.

Kysy ensin jakajalta

DHCP-palvelin jakaa osoitteita altaasta ja sovittaa varaukset tunnisteeseen, jonka se tunnistaa; protokollaversiosta riippuen se voi olla laiteosoite, asiakastunnisteen merkkijono tai DUID. VPN-palvelin jakaa omasta altaastaan ja sovittaa siihen, mitä sen määritysmalli paljastaa, usein todennettu Common Name. Sillattu verkko voi antaa saman ongelman DHCP-palvelimelle, joka palvelee jo lähiverkkoa. Jokainen on eri haku, ja yhdessä kelvollinen varaus on näkymätön muille.

Vahvista, mitä palvelin todella näkee, ennen kuin määrität mitään. Väärän tunnisteen nimeävä varaus epäonnistuu hiljaisesti: asiakas saa yksinkertaisesti altaan osoitteen, ja virhe näyttää asiakasongelmalta.

Missä MAC-osoitteella on vielä merkitystä

Fyysisellä Ethernet- tai Wi-Fi-linkillä laiteosoite yksilöi liitännän kyseisessä segmentissä. Yksityisyysominaisuudet vaihtavat sitä, virtuaalisovittimet luovat uusia, ja kannettava voi näyttää eri arvoja Wi-Fi:ssä ja telakassa. Reititetty TUN-tunneli kuljettaa IP-paketteja eikä välitä alkuperäistä langattoman identiteettiä etäiselle DHCP-palvelimelle, joten MAC-pohjaisella varauksella ei ole sillä polulla mitään sovitettavaa. TAP eroaa: se kuljettaa Ethernet-kehyksiä ja voi liittyä sillattuun toimialueeseen, jossa kerroksen 2 tunnisteet ovat yhä merkityksellisiä.

Vielä sielläkin kyseessä oleva osoite on se, jota kyseisellä toimialueella käytetään, ei automaattisesti fyysisen ylälinkin osoite.

Tunneliosoitteilla ja vertaisavaimilla on oma tilansa

Reititetty OpenVPN-jakelu antaa osoitteita oman mallinsa kautta: asiakaskohtainen määritys, joka on avaimistettu todennettuun nimeen, tai nimenomainen allas. Lähiverkon reitittimen DHCP-varauksen muuttaminen ei luo tätä määritystä, eikä tunnelivarauksen lisääminen vaikuta lähiverkkoon. WireGuard menee pidemmälle, koska vertainen tunnistetaan julkisella avaimellaan ja sallituilla osoitteillaan eikä millään laitetunnisteella. Mikään yleinen Ethernet-varaus ei korvaa siellä vertaisen määritystä.

Pidä luetteloa, joka erottaa neljä kohdetta: laitteen tunnistetiedon, virtuaalisovittimen, jakajan tunnisteen ja määritetyn osoitteen. Yhdellä fyysisellä koneella voi olla useita sovittimia, osoitteita ja istuntoja.

Vakaa osoite ei ole identiteetti

Ennustettava osoite on käytännöllinen ja ei ole todennuksen tunnistetieto. Osoitteeseen nojaavat käyttösäännöt lakkaavat olemasta identiteettitarkistuksia heti, kun se määritetään uudelleen, jaetaan tai väärennetään. Jos sääntö riippuu osoitteesta, sovita uudelleenmääritys ja peruutus identiteetin omistajan kanssa ja pidä varsinainen todennuspäätös muualla. Näin mukavuudesta ei tule ainoaa todistetta siitä, mikä laite yhdisti.

Kirjaa jakaja, tunniste ja määritetty osoite yhdessä. Kun yksi muuttuu, kaksi muuta ovat se, mitä tarkistat.

Jos kaksi järjestelmää väittää jakavansa samaa aliverkkoa, päätä, kumpi omistaa sen, ennen kuin lisäät varauksia kumpaankaan.