Kāds identifikators nepieciešams jūsu VPN rezervācijai?

Trīs nosacījumi nosaka, kādu identifikatoru rezervācijai jāizmanto: kura sistēma izdala adresi, vai tā sistēma kaut reizi redz 2-slāņa kadru un ko tā izmanto kā klienta atslēgu. Mājas maršrutētājs ar DHCP, tiltots VPN un maršrutēts tunelis uz šiem jautājumiem atbild atšķirīgi. Identifikatora izvēle ir noturīgāka par mēģinājumu iesaldēt katru MAC adresi, ko ziņo adapteris, jo identifikators ir tas, ko piešķīrējs patiešām lasa.

Sāciet pie piešķīrēja un strādājiet atpakaļ; identifikators klienta pusē ir tas, ko šī sistēma pieņem.

Vispirms jautājiet piešķīrējam

DHCP serveris izdala no kopas un salīdzina rezervācijas ar identifikatoru, ko tas atpazīst; atkarībā no protokola versijas tas var būt aparatūras adrese, klienta identifikatora virkne vai DUID. VPN serveris izdala no savas kopas un salīdzina ar to, ko atklāj tā konfigurācijas modelis, bieži autentificēto Common Name. Tiltots tīkls var nodot to pašu problēmu DHCP serverim, kas jau apkalpo LAN. Katrs no tiem ir cita meklēšana, un rezervācija, kas der vienā, citiem ir neredzama.

Pirms kaut ko konfigurējat, apstipriniet, ko serveris patiešām redz. Rezervācija ar nepareizu identifikatoru neizdodas klusi: klients vienkārši saņem kopas adresi, un kļūda izskatās kā klienta problēma.

Kur MAC adresei vēl ir nozīme

Fiziskā Ethernet vai Wi-Fi savienojumā aparatūras adrese identificē saskarni šajā segmentā. Privātuma funkcijas to rotē, virtuālie adapteri veido jaunas, un klēpjdators var rādīt dažādas vērtības Wi-Fi un dokā. Maršrutēts TUN tunelis pārvadā IP paketes un nenodod sākotnējo bezvadu identitāti attālinātam DHCP serverim, tāpēc MAC balstītai rezervācijai šajā ceļā nav ar ko salīdzināt. TAP atšķiras: tas pārvadā Ethernet kadrus un var pievienoties tiltotam domēnam, kur 2-slāņa identifikatori joprojām ir svarīgi.

Arī tur attiecīgā adrese ir tā, kas tiek izmantota šajā domēnā, nevis automātiski fiziskās augšējās saites adrese.

Tuneļa adresēm un pāru atslēgām ir sava telpa

Maršrutēts OpenVPN izvietojums piešķir adreses ar savu modeli: katra klienta konfigurācija, kas piesaistīta autentificētam nosaukumam, vai skaidra kopa. LAN maršrutētāja DHCP rezervācijas maiņa nerada šo piešķīrumu, un tuneļa rezervācijas pievienošana neietekmē LAN. WireGuard iet tālāk, jo pāris tiek identificēts ar savu publisko atslēgu un atļautajām adresēm, nevis ar kādu aparatūras identifikatoru. Tur neviena vispārīga Ethernet rezervācija neaizstāj pāra konfigurāciju.

Uzturiet uzskaiti, kas atdala četrus objektus: ierīces akreditācijas datus, virtuālo adapteri, piešķīrēja identifikatoru un piešķirto adresi. Viena fiziska mašīna var būt ar vairākiem adapteriem, adresēm un sesijām.

Stabila adrese nav identitāte

Paredzama adrese ir operatīvi ērta un nav autentifikācijas akreditācijas dati. Piekļuves noteikumi, kas balstās uz adresi, pārstāj būt identitātes pārbaudes tajā brīdī, kad tā tiek piešķirta no jauna, koplietota vai viltota. Ja noteikums ir atkarīgs no adreses, saskaņojiet atkārtotu piešķiršanu un atsaukšanu ar identitātes īpašnieku un turiet īsto autentifikācijas lēmumu citur. Tā ērtība nekļūst par vienīgo pierādījumu, kura ierīce pievienojās.

Reģistrējiet piešķīrēju, identifikatoru un piešķirto adresi kopā. Kad viens mainās, pārējie divi ir tas, ko jūs pārbaudāt.

Ja divas sistēmas abas apgalvo, ka piešķir vienam un tam pašam apakštīklam, pirms pievienot rezervācijas kaut vienai no tām, izlemiet, kura tam pieder.