आपके VPN आरक्षण को किस पहचानकर्ता की आवश्यकता है?

तीन शर्तें तय करती हैं कि आरक्षण को कौन-सा पहचानकर्ता इस्तेमाल करना चाहिए: कौन-सी प्रणाली पता बाँटती है, वह प्रणाली कभी लेयर-2 फ़्रेम देखती है या नहीं, और वह क्लाइंट कुंजी के रूप में क्या इस्तेमाल करती है। DHCP चलाने वाला घरेलू राउटर, ब्रिज किया गया VPN और रूट किया गया सुरंग इन सवालों के अलग-अलग जवाब देते हैं। पहचानकर्ता चुनना हर उस MAC पते को जमाने की कोशिश से अधिक टिकाऊ है जिसकी सूचना एडाप्टर देता है, क्योंकि पहचानकर्ता ही वह चीज़ है जो आवंटक वास्तव में पढ़ता है।

आवंटक से शुरू करें और पीछे की ओर काम करें; क्लाइंट पक्ष का पहचानकर्ता वह है जिसे वह प्रणाली स्वीकार करती है।

पहले आवंटक से पूछें

DHCP सर्वर पूल से आवंटन करता है और आरक्षणों को उस पहचानकर्ता से मिलाता है जिसे वह पहचानता है, जो प्रोटोकॉल संस्करण के अनुसार हार्डवेयर पता, क्लाइंट पहचानकर्ता स्ट्रिंग या DUID हो सकता है। VPN सर्वर अपने पूल से आवंटन करता है और उससे मिलाता है जो उसका कॉन्फ़िगरेशन मॉडल उजागर करता है, अक्सर प्रमाणित Common Name। ब्रिज किया गया नेटवर्क वही समस्या उस DHCP सर्वर को दे सकता है जो पहले से LAN की सेवा करता है। हर एक अलग खोज है, और एक में मान्य आरक्षण दूसरों के लिए अदृश्य है।

कुछ भी कॉन्फ़िगर करने से पहले पुष्टि करें कि सर्वर वास्तव में क्या देखता है। गलत पहचानकर्ता का नाम बताने वाला आरक्षण चुपचाप विफल होता है: क्लाइंट को बस पूल का पता मिलता है, और गलती क्लाइंट की समस्या जैसी दिखती है।

जहाँ MAC पता अभी भी मायने रखता है

किसी भौतिक Ethernet या Wi-Fi लिंक पर, हार्डवेयर पता उस सेगमेंट पर एक इंटरफ़ेस की पहचान करता है। गोपनीयता सुविधाएँ उसे घुमाती हैं, वर्चुअल एडाप्टर नए बनाते हैं, और लैपटॉप Wi-Fi पर और डॉक पर अलग-अलग मान दिखा सकता है। रूट किया गया TUN सुरंग IP पैकेट ले जाती है और मूल वायरलेस पहचान दूर के DHCP सर्वर तक नहीं पहुँचाती, इसलिए उस रास्ते पर MAC-आधारित आरक्षण के पास मिलाने को कुछ नहीं है। TAP अलग है: यह Ethernet फ़्रेम ले जाता है और ऐसे ब्रिज किए गए डोमेन में शामिल हो सकता है जहाँ लेयर-2 पहचानकर्ता अभी भी मायने रखते हैं।

वहाँ भी, प्रासंगिक पता वही है जो उस डोमेन पर इस्तेमाल होता है, अपने आप भौतिक अपलिंक का नहीं।

सुरंग पतों और पीयर कुंजियों का अपना स्थान है

रूट किया गया OpenVPN परिनियोजन अपने मॉडल से पते आवंटित करता है: प्रमाणित नाम से कुंजीबद्ध प्रति-क्लाइंट कॉन्फ़िगरेशन, या स्पष्ट पूल। LAN राउटर का DHCP आरक्षण बदलने से वह आवंटन नहीं बनता, और सुरंग आरक्षण जोड़ने से LAN पर असर नहीं पड़ता। WireGuard आगे जाता है, क्योंकि पीयर की पहचान उसकी सार्वजनिक कुंजी और अनुमत पतों से होती है, किसी हार्डवेयर पहचानकर्ता से नहीं। वहाँ कोई सामान्य Ethernet आरक्षण पीयर कॉन्फ़िगरेशन की जगह नहीं लेता।

ऐसी सूची रखें जो चार वस्तुओं को अलग करे: डिवाइस का क्रेडेंशियल, वर्चुअल एडाप्टर, आवंटक का पहचानकर्ता और आवंटित पता। एक भौतिक मशीन में कई एडाप्टर, पते और सत्र हो सकते हैं।

स्थिर पता पहचान नहीं है

अनुमानित पता परिचालन की दृष्टि से सुविधाजनक है और प्रमाणीकरण क्रेडेंशियल नहीं है। पते पर निर्भर पहुँच नियम उसी क्षण पहचान जाँच होना बंद कर देते हैं जब वह फिर से आवंटित, साझा या नकली किया जाता है। अगर कोई नियम पते पर निर्भर है, तो पुनःआवंटन और निरसन का समन्वय पहचान के मालिक के साथ करें, और असली प्रमाणीकरण निर्णय कहीं और रखें। इससे सुविधा यह साबित करने का एकमात्र प्रमाण नहीं बन जाती कि कौन-सा डिवाइस जुड़ा था।

आवंटक, पहचानकर्ता और आवंटित पते को साथ दर्ज करें। जब एक बदलता है, तो बाकी दो ही वह हैं जिन्हें आप जाँचते हैं।

अगर दो प्रणालियाँ दोनों एक ही सबनेट के लिए आवंटन करने का दावा करती हैं, तो किसी एक में आरक्षण जोड़ने से पहले तय करें कि उसका मालिक कौन है।