Koji identifikator treba vaša VPN rezervacija?

Tri uvjeta odlučuju koji identifikator rezervacija treba koristiti: koji sustav dodjeljuje adresu, vidi li taj sustav ikada okvir sloja 2 i što koristi kao ključ klijenta. Kućni usmjerivač s DHCP-om, premošćeni VPN i usmjereni tunel odgovaraju na ta pitanja različito. Odabir identifikatora trajniji je od pokušaja zamrzavanja svake MAC adrese koju adapter prijavljuje, jer identifikator je ono što dodjeljivač stvarno čita.

Krenite od dodjeljivača i radite unatrag; identifikator na strani klijenta je ono što taj sustav prihvaća.

Najprije pitajte dodjeljivača

DHCP poslužitelj dodjeljuje iz skupa i uspoređuje rezervacije s identifikatorom koji prepoznaje, a to može biti hardverska adresa, niz identifikatora klijenta ili DUID ovisno o verziji protokola. VPN poslužitelj dodjeljuje iz vlastitog skupa i uspoređuje s onim što otkriva njegov model konfiguracije, često autentificirani Common Name. Premošćena mreža može isti problem predati DHCP poslužitelju koji već poslužuje LAN. Svaki je drugi upit, a rezervacija valjana u jednome nevidljiva je ostalima.

Potvrdite što poslužitelj doista vidi prije nego što bilo što konfigurirate. Rezervacija s pogrešnim identifikatorom ne uspijeva tiho: klijent jednostavno dobije adresu iz skupa, a pogreška izgleda kao problem klijenta.

Gdje MAC adresa još nešto znači

Na fizičkoj Ethernet ili Wi-Fi vezi hardverska adresa identificira sučelje na tom segmentu. Značajke privatnosti je okreću, virtualni adapteri stvaraju nove, a prijenosnik može prikazivati različite vrijednosti na Wi-Fi mreži i u dok stanici. Usmjereni TUN tunel prenosi IP pakete i ne prenosi izvorni bežični identitet udaljenom DHCP poslužitelju, pa rezervacija temeljena na MAC adresi na tom putu nema što usporediti. TAP je drukčiji: prenosi Ethernet okvire i može se pridružiti premošćenoj domeni u kojoj identifikatori sloja 2 još vrijede.

Čak i tamo, relevantna adresa je ona koja se koristi u toj domeni, a ne automatski adresa fizičke gornje veze.

Adrese tunela i ključevi partnera imaju vlastiti prostor

Usmjerena OpenVPN implementacija dodjeljuje adrese kroz vlastiti model: konfiguracija po klijentu ključana autentificiranim imenom ili izričit skup. Promjena DHCP rezervacije LAN usmjerivača ne stvara tu dodjelu, a dodavanje rezervacije tunela ne utječe na LAN. WireGuard ide dalje, jer se partner identificira svojim javnim ključem i dopuštenim adresama, a ne bilo kojim hardverskim identifikatorom. Nijedna opća Ethernet rezervacija tamo ne zamjenjuje konfiguraciju partnera.

Vodite popis koji razdvaja četiri objekta: vjerodajnicu uređaja, virtualni adapter, identifikator dodjeljivača i dodijeljenu adresu. Jedan fizički stroj može imati nekoliko adaptera, adresa i sesija.

Stabilna adresa nije identitet

Predvidljiva adresa operativno je prikladna i nije vjerodajnica za autentifikaciju. Pravila pristupa koja se oslanjaju na adresu prestaju biti provjere identiteta u trenutku kada se ona ponovno dodijeli, podijeli ili krivotvori. Ako pravilo ovisi o adresi, uskladite ponovnu dodjelu i opoziv s onim tko posjeduje identitet, a stvarnu odluku o autentifikaciji držite drugdje. Time prikladnost ne postaje jedini dokaz koje se uređaj povezao.

Zabilježite dodjeljivača, identifikator i dodijeljenu adresu zajedno. Kada se jedan promijeni, druga dva su ono što provjeravate.

Ako dva sustava oba tvrde da dodjeljuju za istu podmrežu, odlučite koji ju posjeduje prije nego što ijednom dodate rezervacije.