Hvilken identifikator trenger VPN-reservasjonen din?

Tre forhold avgjør hvilken identifikator en reservasjon bør bruke: hvilket system som deler ut adressen, om det systemet noen gang ser en layer-2-ramme, og hva det bruker som klientnøkkel. En hjemmeruter med DHCP, en broet VPN og en rutet tunnel svarer ulikt på disse spørsmålene. Å velge identifikatoren er mer varig enn å prøve å fryse hver MAC-adresse en adapter rapporterer, fordi identifikatoren er det tildeleren faktisk leser.

Start hos tildeleren og arbeid bakover; identifikatoren på klientsiden er det systemet godtar.

Spør tildeleren først

En DHCP-server tildeler fra en pool og matcher reservasjoner mot en identifikator den kjenner igjen, som kan være maskinvareadressen, en klientidentifikatorstreng eller en DUID avhengig av protokollversjonen. En VPN-server tildeler fra sin egen pool og matcher mot det konfigurasjonsmodellen eksponerer, ofte det autentiserte Common Name. Et broet nettverk kan gi det samme problemet til DHCP-serveren som allerede betjener LAN-et. Hver er et ulikt oppslag, og en reservasjon som er gyldig i ett, er usynlig for de andre.

Bekreft hva serveren faktisk ser før du konfigurerer noe. En reservasjon som navngir feil identifikator feiler lydløst: klienten mottar bare en adresse fra poolen, og feilen ser ut som et klientproblem.

Der en MAC-adresse fortsatt betyr noe

På en fysisk Ethernet- eller Wi-Fi-kobling identifiserer maskinvareadressen et grensesnitt på det segmentet. Personvernfunksjoner roterer den, virtuelle adaptere lager nye, og en bærbar datamaskin kan vise ulike verdier på Wi-Fi og i en dokk. En rutet TUN-tunnel frakter IP-pakker og overfører ikke den opprinnelige trådløse identiteten til en ekstern DHCP-server, så en MAC-basert reservasjon på den veien har ingenting å matche. TAP er annerledes: det frakter Ethernet-rammer og kan bli med i et broet domene der layer-2-identifikatorer fortsatt betyr noe.

Selv der er den relevante adressen den som brukes på det domenet, ikke automatisk den fysiske opplenken.

Tunneladresser og peer-nøkler har sitt eget rom

En rutet OpenVPN-utrulling tildeler adresser gjennom sin egen modell: per-klient-konfigurasjon nøklet til et autentisert navn, eller en eksplisitt pool. Å endre DHCP-reservasjonen til en LAN-ruter skaper ikke den tildelingen, og å legge til en tunnelreservasjon påvirker ikke LAN-et. WireGuard går lenger, fordi en peer identifiseres av sin offentlige nøkkel og tillatte adresser, ikke av noen maskinvareidentifikator. Ingen generisk Ethernet-reservasjon erstatter peer-konfigurasjonen der.

Hold en oversikt som skiller fire objekter: enhetens legitimasjon, den virtuelle adapteren, tildelerens identifikator og den tildelte adressen. Én fysisk maskin kan ha flere adaptere, adresser og økter.

En stabil adresse er ikke en identitet

En forutsigbar adresse er driftsmessig praktisk og er ikke en autentiseringslegitimasjon. Tilgangsregler som hviler på en adresse, slutter å være identitetskontroller i det øyeblikket den tildeles på nytt, deles eller forfalskes. Hvis en regel avhenger av adressen, koordiner ny tildeling og tilbakekalling med den som eier identiteten, og hold den egentlige autentiseringsbeslutningen et annet sted. Slik blir ikke en bekvemmelighet det eneste beviset for hvilken enhet som koblet til.

Registrer tildeleren, identifikatoren og den tildelte adressen sammen. Når én endres, er de to andre det du kontrollerer.

Hvis to systemer begge hevder å tildele for det samme subnettet, avgjør hvilket som eier det før du legger til reservasjoner i noen av dem.