Que identificador necesita a túa reserva de VPN?

Tres condicións deciden que identificador debe usar unha reserva: que sistema reparte o enderezo, se ese sistema chega a ver algunha vez unha trama de capa 2 e que usa como chave de cliente. Un router doméstico con DHCP, unha VPN ponte e un túnel encamiñado responden a esas preguntas de forma distinta. Escoller o identificador é máis duradeiro que intentar conxelar cada enderezo MAC que informa un adaptador, porque o identificador é o que o asignador le de verdade.

Comeza polo asignador e traballa cara atrás; o identificador do lado do cliente é o que acepte ese sistema.

Pregunta primeiro ao asignador

Un servidor DHCP asigna dun grupo e compara as reservas cun identificador que recoñece, que pode ser o enderezo de hardware, unha cadea de identificador de cliente ou un DUID segundo a versión do protocolo. Un servidor VPN asigna do seu propio grupo e compara co que expón o seu modelo de configuración, a miúdo o Common Name autenticado. Unha rede ponte pode entregar o mesmo problema ao servidor DHCP que xa serve a LAN. Cada un é unha busca distinta, e unha reserva válida nun é invisible para os demais.

Confirma que ve realmente o servidor antes de configurar nada. Unha reserva que nomea o identificador equivocado falla en silencio: o cliente simplemente recibe un enderezo do grupo, e o erro parece un problema do cliente.

Onde un enderezo MAC aínda significa algo

Nunha ligazón física Ethernet ou Wi-Fi, o enderezo de hardware identifica unha interface nese segmento. As funcións de privacidade rótano, os adaptadores virtuais crean novos, e un portátil pode presentar valores distintos por Wi-Fi e nunha base de acoplamento. Un túnel TUN encamiñado transporta paquetes IP e non transmite a identidade sen fíos orixinal a un servidor DHCP remoto, así que unha reserva baseada en MAC nesa ruta non ten con que compararse. TAP é distinto: transporta tramas Ethernet e pode unirse a un dominio ponte onde os identificadores de capa 2 aínda importan.

Incluso alí, o enderezo relevante é o que se usa nese dominio, non automaticamente o do enlace físico superior.

Os enderezos de túnel e as chaves de par teñen o seu propio espazo

Un despregamento de OpenVPN encamiñado asigna enderezos mediante o seu propio modelo: configuración por cliente con chave por nome autenticado, ou un grupo explícito. Cambiar a reserva DHCP dun router de LAN non crea esa asignación, e engadir unha reserva de túnel non inflúe na LAN. WireGuard vai máis lonxe, porque un par identifícase pola súa chave pública e os seus enderezos permitidos, non por ningún identificador de hardware. Ningunha reserva xenérica de Ethernet substitúe alí a configuración de par.

Mantén un inventario que separe catro obxectos: a credencial do dispositivo, o adaptador virtual, o identificador do asignador e o enderezo asignado. Unha mesma máquina física pode ter varios adaptadores, enderezos e sesións.

Un enderezo estable non é unha identidade

Un enderezo previsible é cómodo en operación e non é unha credencial de autenticación. As regras de acceso que dependen dun enderezo deixan de ser comprobacións de identidade no momento en que se reasigna, se comparte ou se falsifica. Se unha regra depende do enderezo, coordina a reasignación e a revocación con quen posúe a identidade, e mantén a decisión real de autenticación noutro lugar. Así unha comodidade non se converte na única proba de que dispositivo se conectou.

Rexistra o asignador, o identificador e o enderezo asignado xuntos. Cando un cambia, os outros dous son o que comprobas.

Se dous sistemas afirman asignar para a mesma subrede, decide cal a posúe antes de engadir reservas a calquera dos dous.