איזה מזהה דרוש להזמנת ה-VPN שלך?
הזמנה עובדת רק אם היא מציינת את המזהה שהמקצה קורא. בחרו בין כתובת חומרה, זהות מנהרה ומפתח עמית לפני ההגדרה.
שלושה תנאים קובעים איזה מזהה הזמנה צריכה להשתמש בו: איזו מערכת מחלקת את הכתובת, אם אותה מערכת רואה אי פעם מסגרת של שכבה 2, ומה היא משתמשת כמפתח לקוח. נתב ביתי עם DHCP, VPN מגושר ומנהרה מנותבת עונים על השאלות האלה אחרת. בחירת המזהה עמידה יותר מניסיון להקפיא כל כתובת MAC שמתאם מדווח עליה, כי המזהה הוא הדבר שהמקצה באמת קורא.
התחילו מהמקצה ועבדו אחורה; המזהה בצד הלקוח הוא מה שאותה מערכת מקבלת.
שאלו קודם את המקצה
שרת DHCP מקצה ממאגר ומתאים הזמנות למזהה שהוא מזהה, שעשוי להיות כתובת החומרה, מחרוזת מזהה לקוח או DUID בהתאם לגרסת הפרוטוקול. שרת VPN מקצה מהמאגר שלו ומתאים למה שמודל התצורה שלו חושף, לרוב ה-Common Name המאומת. רשת מגושרת יכולה להעביר את אותה בעיה לשרת ה-DHCP שכבר משרת את ה-LAN. כל אחד מהם הוא חיפוש אחר, והזמנה תקפה באחד אינה נראית לאחרים.
אשרו מה השרת באמת רואה לפני שמגדירים משהו. הזמנה שמציינת את המזהה הלא נכון נכשלת בשקט: הלקוח פשוט מקבל כתובת מהמאגר, והטעות נראית כמו בעיית לקוח.
איפה כתובת MAC עדיין משמעותית
בקישור Ethernet או Wi-Fi פיזי, כתובת החומרה מזהה ממשק באותו סגמנט. תכונות פרטיות מסובבות אותה, מתאמים וירטואליים יוצרים חדשים, ומחשב נייד עשוי להציג ערכים שונים ב-Wi-Fi ובתחנת עגינה. מנהרת TUN מנותבת נושאת מנות IP ואינה מעבירה את הזהות האלחוטית המקורית לשרת DHCP מרוחק, ולכן להזמנה מבוססת MAC בנתיב הזה אין מה להתאים. TAP שונה: הוא נושא מסגרות Ethernet ויכול להצטרף לתחום מגושר שבו מזהי שכבה 2 עדיין חשובים.
גם שם, הכתובת הרלוונטית היא זו שמשתמשים בה באותו תחום, לא אוטומטית זו של הקישור הפיזי העליון.
לכתובות מנהרה ולמפתחות עמית יש מרחב משלהם
פריסת OpenVPN מנותבת מקצה כתובות דרך המודל שלה: תצורה לכל לקוח שממופתחת לפי שם מאומת, או מאגר מפורש. שינוי הזמנת DHCP של נתב LAN אינו יוצר את ההקצאה הזו, והוספת הזמנת מנהרה אינה משפיעה על ה-LAN. WireGuard הולך רחוק יותר, מפני שעמית מזוהה לפי המפתח הציבורי שלו והכתובות המותרות שלו ולא לפי שום מזהה חומרה. שום הזמנת Ethernet גנרית אינה מחליפה שם את תצורת העמית.
נהלו מלאי שמפריד ארבעה אובייקטים: אישור הזהות של ההתקן, המתאם הווירטואלי, המזהה של המקצה והכתובת שהוקצתה. מכונה פיזית אחת יכולה להחזיק כמה מתאמים, כתובות והפעלות.
כתובת יציבה אינה זהות
כתובת צפויה נוחה תפעולית ואינה אישור זהות לאימות. כללי גישה שנשענים על כתובת מפסיקים להיות בדיקות זהות ברגע שהיא מוקצית מחדש, משותפת או מזויפת. אם כלל תלוי בכתובת, תאמו הקצאה מחדש וביטול עם מי שמחזיק בזהות, והשאירו את החלטת האימות האמיתית במקום אחר. כך נוחות אינה הופכת לראיה היחידה לאיזו התקן התחבר.
תעדו יחד את המקצה, המזהה והכתובת שהוקצתה. כשאחד משתנה, השניים האחרים הם מה שאתם בודקים.
אם שתי מערכות טוענות שתיהן להקצות לאותה תת-רשת, החליטו מי הבעלים שלה לפני שמוסיפים הזמנות לאחת מהן.