Кој идентификатор и е потребен на вашата VPN резервација?

Три услови одлучуваат кој идентификатор треба да го користи резервацијата: кој систем ја распределува адресата, дали тој систем некогаш гледа рамка од слој 2 и што користи како клуч на клиентот. Домашен рутер со DHCP, мостен VPN и рутиран тунел одговараат на овие прашања различно. Изборот на идентификаторот е поиздржлив од обидот да се замрзне секоја MAC адреса што ја пријавува адаптерот, бидејќи идентификаторот е она што доделувачот навистина го чита.

Започнете од доделувачот и работете наназад; идентификаторот на клиентската страна е она што тој систем го прифаќа.

Прво прашајте го доделувачот

DHCP серверот доделува од базен и ги споредува резервациите со идентификатор што го препознава, кој може да биде адресата на хардверот, низа за идентификатор на клиент или DUID зависно од верзијата на протоколот. VPN серверот доделува од сопствениот базен и споредува со она што го открива неговиот модел на конфигурација, често автентифицираното Common Name. Мостена мрежа може да го пренесе истиот проблем на DHCP серверот што веќе го опслужува LAN. Секој е различно пребарување, а резервација важечка во едното е невидлива за другите.

Потврдете што серверот навистина гледа пред да конфигурирате нешто. Резервација со погрешен идентификатор пропаѓа тивко: клиентот едноставно добива адреса од базенот, а грешката изгледа како проблем на клиентот.

Каде MAC адресата уште значи нешто

На физичка Ethernet или Wi-Fi врска, адресата на хардверот идентификува интерфејс на тој сегмент. Функциите за приватност ја ротираат, виртуелните адаптери создаваат нови, а преносен компјутер може да прикажува различни вредности на Wi-Fi и на док. Рутиран TUN тунел носи IP пакети и не ја пренесува оригиналната безжична идентичност до оддалечен DHCP сервер, така што резервацијата заснована на MAC на тој пат нема што да спореди. TAP е различен: тој носи Ethernet рамки и може да се приклучи на мостен домен каде идентификаторите од слој 2 уште се важни.

Дури и таму, релевантната адреса е онаа што се користи на тој домен, а не автоматски адресата на физичката горна врска.

Адресите на тунелот и клучевите на партнерите имаат свој простор

Рутирано распоредување на OpenVPN доделува адреси преку свој модел: конфигурација по клиент клучена со автентифицирано име или експлицитен базен. Менувањето на DHCP резервацијата на LAN рутерот не го создава тоа доделување, а додавањето резервација на тунел не влијае на LAN. WireGuard оди подалеку, бидејќи партнерот се идентификува со својот јавен клуч и дозволените адреси, а не со каков било хардверски идентификатор. Таму ниту една општа Ethernet резервација не ја заменува конфигурацијата на партнерот.

Водете инвентар што раздвојува четири објекти: акредитациите на уредот, виртуелниот адаптер, идентификаторот на доделувачот и доделената адреса. Една физичка машина може да има повеќе адаптери, адреси и сесии.

Стабилната адреса не е идентитет

Предвидливата адреса е оперативно погодна и не е акредитација за автентикација. Правилата за пристап што се потпираат на адреса престануваат да бидат проверки на идентитет во моментот кога таа се доделува повторно, се споделува или се фалсификува. Ако правилото зависи од адресата, координирајте повторно доделување и отповикување со оној што го поседува идентитетот, а вистинската одлука за автентикација држете ја на друго место. Така погодноста не станува единствениот доказ за тоа кој уред се поврзал.

Запишете ги доделувачот, идентификаторот и доделената адреса заедно. Кога едното се менува, другите две се она што го проверувате.

Ако два системи тврдат дека доделуваат за истата подмрежа, одлучете кој ја поседува пред да додадете резервации на кој било од нив.