Identiti Mana Yang Diperlukan Tempahan VPN Anda?

Tiga keadaan menentukan identiti mana yang perlu digunakan oleh tempahan: sistem mana yang mengagihkan alamat, sama ada sistem itu pernah melihat bingkai lapisan 2, dan apa yang digunakannya sebagai kunci klien. Penghala rumah dengan DHCP, VPN berjambatan dan terowong berpenghala menjawab soalan-soalan itu secara berbeza. Memilih identiti lebih tahan lama daripada cuba membekukan setiap alamat MAC yang dilaporkan oleh penyesuai, kerana identiti itulah yang benar-benar dibaca oleh penguntuk.

Mulakan daripada penguntuk dan bekerja ke belakang; identiti di sisi klien ialah apa sahaja yang diterima oleh sistem itu.

Tanya penguntuk dahulu

Pelayan DHCP mengagihkan daripada kumpulan dan memadankan tempahan dengan identiti yang dikenalnya, yang mungkin alamat perkakasan, rentetan identiti klien atau DUID bergantung pada versi protokol. Pelayan VPN mengagihkan daripada kumpulannya sendiri dan memadankan dengan apa yang didedahkan oleh model konfigurasinya, selalunya Common Name yang disahkan. Rangkaian berjambatan boleh menyerahkan masalah yang sama kepada pelayan DHCP yang sudah melayani LAN. Setiap satu ialah carian berbeza, dan tempahan yang sah dalam satu tidak kelihatan kepada yang lain.

Sahkan apa yang sebenarnya dilihat oleh pelayan sebelum mengkonfigurasi apa-apa. Tempahan yang menamakan identiti yang salah gagal secara senyap: klien hanya menerima alamat daripada kumpulan, dan kesilapan itu kelihatan seperti masalah klien.

Di mana alamat MAC masih bermakna

Pada pautan Ethernet atau Wi-Fi fizikal, alamat perkakasan mengenal pasti antara muka pada segmen itu. Ciri privasi memutarkannya, penyesuai maya mencipta yang baharu, dan komputer riba mungkin memaparkan nilai berbeza pada Wi-Fi dan pada dok. Terowong TUN berpenghala membawa paket IP dan tidak menyampaikan identiti wayarles asal kepada pelayan DHCP jauh, jadi tempahan berasaskan MAC pada laluan itu tiada apa untuk dipadankan. TAP berbeza: ia membawa bingkai Ethernet dan boleh menyertai domain berjambatan di mana identiti lapisan 2 masih penting.

Malah di sana, alamat yang berkaitan ialah yang digunakan pada domain itu, bukan secara automatik alamat pautan atas fizikal.

Alamat terowong dan kunci rakan sebaya mempunyai ruangnya sendiri

Penggunaan OpenVPN berpenghala mengagihkan alamat melalui modelnya sendiri: konfigurasi setiap klien yang dikunci dengan nama disahkan, atau kumpulan eksplisit. Menukar tempahan DHCP penghala LAN tidak mencipta pengagihan itu, dan menambah tempahan terowong tidak mempengaruhi LAN. WireGuard melangkah lebih jauh, kerana rakan sebaya dikenal pasti melalui kunci awam dan alamat yang dibenarkan, bukan melalui identiti perkakasan. Tiada tempahan Ethernet generik menggantikan konfigurasi rakan sebaya di sana.

Simpan inventori yang memisahkan empat objek: kelayakan peranti, penyesuai maya, identiti penguntuk dan alamat yang diagihkan. Satu mesin fizikal boleh mempunyai beberapa penyesuai, alamat dan sesi.

Alamat stabil bukan identiti

Alamat yang boleh diramal adalah mudah dari segi operasi dan bukan kelayakan pengesahan. Peraturan akses yang bergantung pada alamat berhenti menjadi pemeriksaan identiti pada saat ia diagihkan semula, dikongsi atau dipalsukan. Jika peraturan bergantung pada alamat, selaraskan pengagihan semula dan pembatalan dengan pemilik identiti, dan simpan keputusan pengesahan sebenar di tempat lain. Dengan itu kemudahan tidak menjadi satu-satunya bukti peranti mana yang bersambung.

Rekod penguntuk, identiti dan alamat yang diagihkan bersama-sama. Apabila satu berubah, dua yang lain ialah apa yang anda semak.

Jika dua sistem kedua-duanya mendakwa mengagihkan untuk subnet yang sama, tentukan mana yang memilikinya sebelum menambah tempahan kepada mana-mana satu.