Melyik azonosítóra van szüksége a VPN-foglalásának?

Három feltétel dönti el, melyik azonosítót használja egy foglalás: melyik rendszer osztja ki a címet, lát-e az a rendszer valaha 2-es rétegbeli keretet, és mit használ kliens kulcsként. Egy otthoni DHCP-s router, egy áthidalt VPN és egy irányított alagút különbözőképpen válaszol ezekre a kérdésekre. Az azonosító kiválasztása tartósabb, mint megpróbálni befagyasztani minden MAC-címet, amelyet az adapter jelent, mert az azonosító az, amit a kiosztó valóban olvas.

Kezdje a kiosztónál, és haladjon visszafelé; a kliens oldali azonosító az, amit az a rendszer elfogad.

Először a kiosztót kérdezze

A DHCP-kiszolgáló egy készletből oszt ki, és a foglalásokat egy általa felismert azonosítóhoz illeszti, amely a protokollverziótól függően a hardvercím, egy ügyfélazonosító-karakterlánc vagy egy DUID lehet. A VPN-kiszolgáló a saját készletéből oszt ki, és ahhoz illeszt, amit a konfigurációs modellje felfed, gyakran a hitelesített Common Name-hez. Egy áthidalt hálózat ugyanezt a problémát adhatja át annak a DHCP-kiszolgálónak, amely már a LAN-t kiszolgálja. Mindegyik más keresés, és az egyikben érvényes foglalás a többiek számára láthatatlan.

Erősítse meg, mit lát valójában a kiszolgáló, mielőtt bármit konfigurál. A rossz azonosítót megnevező foglalás csendben meghiúsul: a kliens egyszerűen egy készletbeli címet kap, és a hiba kliensproblémának tűnik.

Ahol a MAC-cím még számít valamit

Fizikai Ethernet- vagy Wi-Fi-kapcsolaton a hardvercím azonosít egy interfészt azon a szegmensen. Az adatvédelmi funkciók forgatják, a virtuális adapterek újakat hoznak létre, és egy laptop eltérő értékeket mutathat Wi-Fi-n és dokkolón. Egy irányított TUN-alagút IP-csomagokat szállít, és nem továbbítja az eredeti vezeték nélküli identitást egy távoli DHCP-kiszolgálónak, ezért a MAC-alapú foglalásnak ezen az útvonalon nincs mihez illeszkednie. A TAP más: Ethernet-kereteket szállít, és csatlakozhat olyan áthidalt tartományhoz, ahol a 2-es rétegbeli azonosítók még számítanak.

Még ott is a releváns cím az, amelyet azon a tartományon használnak, nem automatikusan a fizikai felső kapcsolaté.

Az alagútcímeknek és a partnerkulcsoknak saját terük van

Egy irányított OpenVPN-telepítés saját modelljén keresztül oszt címeket: ügyfelenkénti konfiguráció hitelesített névhez kötött kulccsal, vagy explicit készlet. A LAN-router DHCP-foglalásának módosítása nem hozza létre ezt a hozzárendelést, és az alagútfoglalás hozzáadása nem befolyásolja a LAN-t. A WireGuard tovább megy, mert a partnert a nyilvános kulcsa és az engedélyezett címek azonosítják, nem valamilyen hardverazonosító. Ott semmilyen általános Ethernet-foglalás nem helyettesíti a partner konfigurációját.

Vezessen olyan leltárt, amely négy objektumot különít el: az eszköz hitelesítő adatát, a virtuális adaptert, a kiosztó azonosítóját és a kiosztott címet. Egy fizikai gépnek több adaptere, címe és munkamenete lehet.

A stabil cím nem identitás

Egy kiszámítható cím üzemeltetésileg kényelmes, és nem hitelesítési adat. A címre támaszkodó hozzáférési szabályok abban a pillanatban megszűnnek identitásellenőrzések lenni, amikor a címet újra kiosztják, megosztják vagy meghamisítják. Ha egy szabály a címtől függ, egyeztesse az újrakiosztást és a visszavonást az identitás tulajdonosával, és a tényleges hitelesítési döntést tartsa máshol. Így a kényelem nem válik annak egyetlen bizonyítékává, melyik eszköz csatlakozott.

Rögzítse együtt a kiosztót, az azonosítót és a kiosztott címet. Amikor az egyik változik, a másik kettő az, amit ellenőriz.

Ha két rendszer egyaránt azt állítja, hogy ugyanahhoz az alhálózathoz oszt ki, döntse el, melyik birtokolja, mielőtt bármelyikhez foglalásokat adna.