Identitas Mana yang Dibutuhkan Reservasi VPN Anda?

Tiga kondisi menentukan identitas mana yang harus digunakan reservasi: sistem mana yang membagikan alamat, apakah sistem itu pernah melihat frame lapisan 2, dan apa yang digunakannya sebagai kunci klien. Router rumah dengan DHCP, VPN yang dijembatani, dan terowongan yang dirutekan menjawab pertanyaan itu secara berbeda. Memilih identitas lebih tahan lama daripada mencoba membekukan setiap alamat MAC yang dilaporkan adaptor, karena identitas adalah hal yang benar-benar dibaca pengalokasi.

Mulailah dari pengalokasi dan bekerja mundur; identitas di sisi klien adalah apa pun yang diterima sistem itu.

Tanyakan dulu kepada pengalokasi

Server DHCP mengalokasikan dari kumpulan dan mencocokkan reservasi dengan identitas yang dikenalnya, yang bisa berupa alamat perangkat keras, string pengenal klien, atau DUID tergantung versi protokol. Server VPN mengalokasikan dari kumpulannya sendiri dan mencocokkan dengan apa yang diungkapkan model konfigurasinya, sering kali Common Name yang terautentikasi. Jaringan yang dijembatani dapat menyerahkan masalah yang sama kepada server DHCP yang sudah melayani LAN. Masing-masing adalah pencarian berbeda, dan reservasi yang valid di satu tidak terlihat oleh yang lain.

Konfirmasikan apa yang benar-benar dilihat server sebelum mengonfigurasi apa pun. Reservasi yang menyebut identitas salah gagal secara diam-diam: klien hanya menerima alamat dari kumpulan, dan kesalahan itu tampak seperti masalah klien.

Di mana alamat MAC masih berarti

Pada tautan Ethernet atau Wi-Fi fisik, alamat perangkat keras mengidentifikasi antarmuka pada segmen itu. Fitur privasi memutarnya, adaptor virtual membuat yang baru, dan laptop dapat menampilkan nilai berbeda di Wi-Fi dan di dock. Terowongan TUN yang dirutekan membawa paket IP dan tidak meneruskan identitas nirkabel asli ke server DHCP jarak jauh, sehingga reservasi berbasis MAC pada jalur itu tidak punya apa pun untuk dicocokkan. TAP berbeda: ia membawa frame Ethernet dan dapat bergabung dengan domain yang dijembatani tempat identitas lapisan 2 masih penting.

Bahkan di sana, alamat yang relevan adalah yang digunakan pada domain itu, bukan otomatis alamat uplink fisiknya.

Alamat terowongan dan kunci peer memiliki ruangnya sendiri

Penerapan OpenVPN yang dirutekan menetapkan alamat melalui modelnya sendiri: konfigurasi per klien yang dikunci dengan nama terautentikasi, atau kumpulan eksplisit. Mengubah reservasi DHCP router LAN tidak menciptakan penetapan itu, dan menambahkan reservasi terowongan tidak memengaruhi LAN. WireGuard melangkah lebih jauh, karena peer diidentifikasi oleh kunci publik dan alamat yang diizinkan, bukan oleh identitas perangkat keras apa pun. Tidak ada reservasi Ethernet umum yang menggantikan konfigurasi peer di sana.

Simpan inventaris yang memisahkan empat objek: kredensial perangkat, adaptor virtual, identitas pengalokasi, dan alamat yang ditetapkan. Satu mesin fisik dapat memiliki beberapa adaptor, alamat, dan sesi.

Alamat stabil bukan identitas

Alamat yang dapat diprediksi nyaman secara operasional dan bukan kredensial autentikasi. Aturan akses yang bergantung pada alamat berhenti menjadi pemeriksaan identitas pada saat alamat itu dialokasikan ulang, dibagikan, atau dipalsukan. Jika sebuah aturan bergantung pada alamat, koordinasikan pengalokasian ulang dan pencabutan dengan pemilik identitas, dan simpan keputusan autentikasi yang sebenarnya di tempat lain. Dengan begitu kemudahan tidak menjadi satu-satunya bukti perangkat mana yang terhubung.

Catat pengalokasi, identitas, dan alamat yang ditetapkan bersama-sama. Ketika salah satunya berubah, dua lainnya adalah yang Anda periksa.

Jika dua sistem sama-sama mengklaim mengalokasikan untuk subnet yang sama, putuskan mana yang memilikinya sebelum menambahkan reservasi ke salah satunya.