Welke identificatie heeft je VPN-reservering nodig?

Drie voorwaarden bepalen welke identificatie een reservering moet gebruiken: welk systeem het adres uitgeeft, of dat systeem ooit een layer-2-frame ziet en wat het als clientsleutel gebruikt. Een thuisrouter met DHCP, een overbrugde VPN en een gerouteerde tunnel beantwoorden die vragen verschillend. De identificatie kiezen is duurzamer dan elk MAC-adres dat een adapter meldt proberen vast te vriezen, omdat de identificatie is wat de toewijzer werkelijk leest.

Begin bij de toewijzer en werk terug; de identificatie aan de clientkant is wat dat systeem accepteert.

Vraag eerst de toewijzer

Een DHCP-server deelt uit een pool uit en vergelijkt reserveringen met een identificatie die hij herkent, wat het hardwareadres, een client-identificatiereeks of een DUID kan zijn, afhankelijk van de protocolversie. Een VPN-server deelt uit zijn eigen pool uit en vergelijkt met wat zijn configuratiemodel blootlegt, vaak de geauthenticeerde Common Name. Een overbrugd netwerk kan hetzelfde probleem aan de DHCP-server geven die al het LAN bedient. Elk is een andere opzoeking, en een reservering die in het ene geldt, is onzichtbaar voor de andere.

Bevestig wat de server werkelijk ziet voordat je iets configureert. Een reservering met de verkeerde identificatie mislukt stil: de client krijgt gewoon een pooladres, en de fout lijkt een clientprobleem.

Waar een MAC-adres nog iets betekent

Op een fysieke Ethernet- of Wi-Fi-verbinding identificeert het hardwareadres een interface op dat segment. Privacyfuncties roteren het, virtuele adapters maken nieuwe, en een laptop kan verschillende waarden tonen op Wi-Fi en in een dock. Een gerouteerde TUN-tunnel vervoert IP-pakketten en geeft de oorspronkelijke draadloze identiteit niet door aan een externe DHCP-server, dus een op MAC gebaseerde reservering op dat pad heeft niets om mee te vergelijken. TAP is anders: het vervoert Ethernet-frames en kan lid worden van een overbrugd domein waar layer-2-identificaties nog tellen.

Zelfs daar is het relevante adres het adres dat op dat domein wordt gebruikt, niet automatisch dat van de fysieke uplink.

Tunneladressen en peersleutels hebben hun eigen ruimte

Een gerouteerde OpenVPN-implementatie wijst adressen toe via zijn eigen model: per-clientconfiguratie met een sleutel op een geauthenticeerde naam, of een expliciete pool. Het DHCP-adres van een LAN-router wijzigen maakt die toewijzing niet, en een tunnelreservering toevoegen beïnvloedt het LAN niet. WireGuard gaat verder, omdat een peer wordt geïdentificeerd door zijn publieke sleutel en toegestane adressen, niet door een hardware-identificatie. Geen enkele generieke Ethernet-reservering vervangt daar de peerconfiguratie.

Houd een inventaris bij die vier objecten scheidt: de inloggegevens van het apparaat, de virtuele adapter, de identificatie van de toewijzer en het toegewezen adres. Eén fysieke machine kan meerdere adapters, adressen en sessies hebben.

Een stabiel adres is geen identiteit

Een voorspelbaar adres is operationeel handig en is geen authenticatiegegeven. Toegangsregels die op een adres leunen, zijn geen identiteitscontroles meer op het moment dat het opnieuw wordt toegewezen, gedeeld of vervalst. Als een regel van het adres afhangt, coördineer hertoewijzing en intrekking met wie de identiteit bezit, en houd de echte authenticatiebeslissing elders. Zo wordt een gemak niet het enige bewijs van welk apparaat verbonden was.

Leg de toewijzer, de identificatie en het toegewezen adres samen vast. Wanneer één verandert, zijn de andere twee wat je controleert.

Als twee systemen allebei claimen voor hetzelfde subnet toe te wijzen, beslis welk ervan eigenaar is voordat je aan een van beide reserveringen toevoegt.