Kva identifikator treng VPN-reservasjonen din?

Tre vilkår avgjer kva identifikator ein reservasjon bør bruke: kva system som deler ut adressa, om det systemet nokon gong ser ein layer-2-ramme, og kva det brukar som klientnøkkel. Ein heimeruter med DHCP, ein brua VPN og ein ruta tunnel svarar ulikt på desse spørsmåla. Å velje identifikatoren er meir varig enn å prøve å fryse kvar MAC-adresse ein adapter rapporterer, fordi identifikatoren er det tildelaren faktisk les.

Start hjå tildelaren og arbeid bakover; identifikatoren på klientsida er det systemet godtek.

Spør tildelaren fyrst

Ein DHCP-server tildeler frå ein pool og matchar reservasjonar mot ein identifikator han kjenner att, som kan vere maskinvareadressa, ein klientidentifikatorstreng eller ein DUID avhengig av protokollversjonen. Ein VPN-server tildeler frå sin eigen pool og matchar mot det konfigurasjonsmodellen eksponerer, ofte det autentiserte Common Name. Eit brua nettverk kan gje det same problemet til DHCP-serveren som allereie tenar LAN-et. Kvar er eit ulikt oppslag, og ein reservasjon som gjeld i eitt, er usynleg for dei andre.

Stadfest kva serveren faktisk ser før du konfigurerer noko. Ein reservasjon som nemner feil identifikator feilar lydlaust: klienten mottek berre ei adresse frå poolen, og feilen ser ut som eit klientproblem.

Der ei MAC-adresse framleis tyder noko

På ei fysisk Ethernet- eller Wi-Fi-kopling identifiserer maskinvareadressa eit grensesnitt på det segmentet. Personvernfunksjonar roterer ho, virtuelle adapterar lagar nye, og ein berbar datamaskin kan vise ulike verdiar på Wi-Fi og i ein dokk. Ein ruta TUN-tunnel fraktar IP-pakkar og overfører ikkje den opphavlege trådlause identiteten til ein ekstern DHCP-server, så ein MAC-basert reservasjon på den vegen har ingenting å matche. TAP er annleis: det fraktar Ethernet-rammer og kan bli med i eit brua domene der layer-2-identifikatorar framleis tyder noko.

Sjølv der er den relevante adressa den som blir brukt på det domenet, ikkje automatisk den fysiske opplenka.

Tunneladresser og partnarnøklar har sitt eige rom

Ein ruta OpenVPN-utrulling tildeler adresser gjennom sin eigen modell: per-klient-konfigurasjon nøkla til eit autentisert namn, eller ein eksplisitt pool. Å endre DHCP-reservasjonen til ein LAN-ruter skaper ikkje den tildelinga, og å leggje til ein tunnelreservasjon påverkar ikkje LAN-et. WireGuard går lenger, fordi ein partnar blir identifisert av sin offentlege nøkkel og tillatne adresser, ikkje av nokon maskinvareidentifikator. Ingen generisk Ethernet-reservasjon erstattar partnarkonfigurasjonen der.

Hald ei oversikt som skil fire objekt: legitimasjonen til eininga, den virtuelle adapteren, identifikatoren til tildelaren og den tildelte adressa. Éi fysisk maskin kan ha fleire adapterar, adresser og økter.

Ei stabil adresse er ikkje ein identitet

Ei føreseieleg adresse er driftsmessig praktisk og er ikkje ein autentiseringslegitimasjon. Tilgangsreglar som kviler på ei adresse, sluttar å vere identitetskontrollar i det augneblunken ho blir tildelt på nytt, delt eller forfalska. Om ein regel er avhengig av adressa, koordiner ny tildeling og tilbakekalling med den som eig identiteten, og hald den eigentlege autentiseringsavgjerda ein annan stad. Slik blir ikkje ein komfort det einaste beviset for kva eining som kopla til.

Registrer tildelaren, identifikatoren og den tildelte adressa saman. Når éin endrar seg, er dei to andre det du kontrollerer.

Om to system båe hevdar å tildele for det same subnettet, avgjer kva som eig det før du legg til reservasjonar i nokon av dei.