Kokio identifikatoriaus reikia jūsų VPN rezervacijai?

Trys sąlygos nusprendžia, kokį identifikatorių rezervacija turėtų naudoti: kuri sistema paskirsto adresą, ar ta sistema kada nors mato 2 sluoksnio kadrą ir ką ji naudoja kaip kliento raktą. Namų maršrutizatorius su DHCP, sujungtas VPN ir maršrutizuotas tunelis į šiuos klausimus atsako skirtingai. Identifikatoriaus pasirinkimas yra ilgaamžiškesnis nei bandymas užšaldyti kiekvieną MAC adresą, kurį praneša adapteris, nes identifikatorius yra tai, ką paskirstytuvas iš tikrųjų skaito.

Pradėkite nuo paskirstytuvo ir dirbkite atgal; kliento pusės identifikatorius yra tai, ką ta sistema priima.

Pirmiausia paklauskite paskirstytuvo

DHCP serveris paskirsto iš telkinio ir lygina rezervacijas su identifikatoriumi, kurį atpažįsta; priklausomai nuo protokolo versijos tai gali būti aparatūros adresas, kliento identifikatoriaus eilutė arba DUID. VPN serveris paskirsto iš savo telkinio ir lygina su tuo, ką atskleidžia jo konfigūracijos modelis, dažnai autentifikuotu Common Name. Sujungtas tinklas gali perduoti tą pačią problemą DHCP serveriui, kuris jau aptarnauja LAN. Kiekvienas jų yra kita paieška, o viename galiojanti rezervacija kitiems nematoma.

Prieš ką nors konfigūruodami patvirtinkite, ką serveris iš tikrųjų mato. Rezervacija, nurodanti neteisingą identifikatorių, nepastebimai nepavyksta: klientas tiesiog gauna telkinio adresą, o klaida atrodo kaip kliento problema.

Kur MAC adresas dar ką nors reiškia

Fizinėje Ethernet arba Wi-Fi jungtyje aparatūros adresas identifikuoja sąsają tame segmente. Privatumo funkcijos jį keičia, virtualūs adapteriai kuria naujus, o nešiojamasis kompiuteris gali rodyti skirtingas reikšmes per Wi-Fi ir doke. Maršrutizuotas TUN tunelis perduoda IP paketus ir neperduoda pradinės belaidės tapatybės nuotoliniam DHCP serveriui, todėl MAC pagrįsta rezervacija tame kelyje neturi ko lyginti. TAP skiriasi: jis perduoda Ethernet kadrus ir gali prisijungti prie sujungto domeno, kuriame 2 sluoksnio identifikatoriai dar svarbūs.

Net ten atitinkamas adresas yra tas, kuris naudojamas tame domene, o ne automatiškai fizinės viršutinės jungties.

Tunelio adresai ir porų raktai turi savo erdvę

Maršrutizuotas OpenVPN diegimas priskiria adresus savo modeliu: kiekvieno kliento konfigūracija, susieta su autentifikuotu vardu, arba aiškus telkinys. LAN maršrutizatoriaus DHCP rezervacijos pakeitimas nesukuria to priskyrimo, o tunelio rezervacijos pridėjimas neturi įtakos LAN. WireGuard eina toliau, nes pora identifikuojama savo viešuoju raktu ir leidžiamais adresais, o ne kokia nors aparatūros identifikacija. Jokia bendra Ethernet rezervacija ten nepakeičia poros konfigūracijos.

Tvarkykite inventorizaciją, kuri atskiria keturis objektus: įrenginio prisijungimo duomenis, virtualų adapterį, paskirstytuvo identifikatorių ir priskirtą adresą. Viena fizinė mašina gali turėti kelis adapterius, adresus ir sesijas.

Stabilus adresas nėra tapatybė

Nuspėjamas adresas yra patogus eksploatuojant ir nėra autentifikavimo prisijungimo duomenys. Prieigos taisyklės, kurios remiasi adresu, nustoja būti tapatybės patikromis tuo metu, kai jis priskiriamas iš naujo, bendrinamas arba suklastojamas. Jei taisyklė priklauso nuo adreso, suderinkite priskyrimą iš naujo ir atšaukimą su tuo, kas valdo tapatybę, o tikrąjį autentifikavimo sprendimą laikykite kitur. Taip patogumas netampa vieninteliu įrodymu, kuris įrenginys prisijungė.

Užrašykite paskirstytuvą, identifikatorių ir priskirtą adresą kartu. Kai vienas pasikeičia, kiti du yra tai, ką tikrinate.

Jei dvi sistemos abi teigia paskirstančios tam pačiam potinkiui, nuspręskite, kuri jam priklauso, prieš pridėdami rezervacijas bet kuriai iš jų.