Hokker identifikaasje hat dyn VPN-reservearring nedich?

Trije betingsten bepale hokker identifikaasje in reservearring brûke moat: hokker systeem it adres útdielt, oft dat systeem ea in layer-2-ramte sjocht en wat it as klantkaai brûkt. In thúsrouter mei DHCP, in brêge VPN en in tunnel dy’t op IP-rûtes wurket, beantwurdzje dy fragen oars. De identifikaasje kieze is duorsumer as besykje elk MAC-adres te befriezen dat in adapter rapportearret, want de identifikaasje is wat de tawizer echt lêst.

Begjin by de tawizer en wurk efterút; de identifikaasje oan klantkant is wat dat systeem akseptearret.

Freegje earst de tawizer

In DHCP-tsjinner jout út in pool en ferienet reservearringen mei in identifikaasje dy’t er werkenint, dat kin it hardware-adres, in klantidentifikaasje-string of in DUID wêze ôfhinklik fan de protokolferzje. In VPN-tsjinner jout út syn eigen pool en ferienet mei wat syn konfiguraasjemodel blootleit, faak de autentisearre Common Name. In brêge netwurk kin itselde probleem oan de DHCP-tsjinner jaan dy’t al it LAN betsjinnet. Elk is in oare syktocht, en in reservearring dy’t yn ien jildt is ûnsichtber foar de oaren.

Befêstigje wat de tsjinner echt sjocht foardatst wat konfigurearrest. In reservearring mei de ferkearde identifikaasje mislearret stil: de klant krijt gewoan in pooladres, en de flater liket in klantprobleem.

Wêr’t in MAC-adres noch wat betsjut

Op in fysike Ethernet- of Wi-Fi-keppeling identifisearret it hardware-adres in ynterface op dat segmint. Privacyfunksjes rotearje it, firtuele adapters meitsje nije, en in laptop kin ferskate wearden toane op Wi-Fi en op in dock. In TUN-tunnel dy’t oer rûtes giet, draacht IP-pakketten en jout de oarspronklike draadloaze identiteit net troch oan in fiere DHCP-tsjinner, dus in MAC-basearre reservearring op dat paad hat neat om mei te ferienjen. TAP ferskilt: it draacht Ethernet-ramten en kin him by in brêge domein jaan wêr’t layer-2-identifikaasjes noch ta dogge.

Sels dêr is it oanbelangjende adres datjinge dat op dat domein brûkt wurdt, net automatysk dat fan de fysike uplink.

Tunneladressen en peer-kaaien hawwe har eigen romte

In OpenVPN-útrôljen oer rûtes jout adressen fia syn eigen model: per-klant-konfiguraasje mei in kaai by in autentisearre namme, of in eksplisite pool. It feroarjen fan de DHCP-reservearring fan in LAN-rûter makket dy tawizing net, en it tafoegjen fan in tunnelreservearring beynfloedet it LAN net. WireGuard giet fierder, want in peer wurdt identifisearre troch syn publike kaai en tastiene adressen, net troch in hardware-identifikaasje. Gjin generike Ethernet-reservearring ferfangt dêr de peer-konfiguraasje.

Hâld in ynventaris dy’t fjouwer objekten skiedt: it bewiis fan it apparaat, de firtuele adapter, de identifikaasje fan de tawizer en it tawiisde adres. Ien fysike masine kin ferskate adapters, adressen en sesjes hawwe.

In stabyl adres is gjin identiteit

In foarsisber adres is operasjoneel handich en is gjin autentikaasjebewiis. Tagongsregels dy’t op in adres steune, hâlde op identiteitskontrôles te wêzen op it stuit dat it opnij tawiisd, dield of ferfalske wurdt. As in regel fan it adres ôfhinget, koördinearje dan de opnij tawizing en yntrekking mei wa’t de identiteit besit, en hâld de echte autentikaasjebeslissing earne oars. Sa wurdt in handichheid net it iennige bewiis fan hokker apparaat ferbûn wie.

Registrearje de tawizer, de identifikaasje en it tawiisde adres tegearre. As ien feroaret, binne de oare twa watst kontrolearrest.

As twa systemen beide beweare dat se foar itselde subnet tawize, beslút dan hokker it besit foardatst reservearringen oan ien fan beide tafoeget.