Którego identyfikatora potrzebuje twoja rezerwacja VPN?

Trzy warunki decydują, którego identyfikatora rezerwacja powinna użyć: który system przydziela adres, czy ten system kiedykolwiek widzi ramkę warstwy 2 i czego używa jako klucza klienta. Router domowy z DHCP, VPN w trybie mostu i tunel routowany odpowiadają na te pytania różnie. Wybór identyfikatora jest trwalszy niż próba zamrożenia każdego adresu MAC zgłaszanego przez adapter, ponieważ identyfikator to właśnie to, co przydzielacz naprawdę czyta.

Zacznij od przydzielacza i cofaj się; identyfikator po stronie klienta to to, co ten system akceptuje.

Najpierw zapytaj przydzielacz

Serwer DHCP przydziela z puli i dopasowuje rezerwacje do identyfikatora, który rozpoznaje; w zależności od wersji protokołu może to być adres sprzętowy, ciąg identyfikatora klienta lub DUID. Serwer VPN przydziela z własnej puli i dopasowuje do tego, co ujawnia jego model konfiguracji, często uwierzytelnioną nazwę Common Name. Sieć w trybie mostu może przekazać ten sam problem serwerowi DHCP, który już obsługuje LAN. Każde z nich to inne wyszukiwanie, a rezerwacja ważna w jednym jest niewidoczna dla pozostałych.

Potwierdź, co serwer naprawdę widzi, zanim cokolwiek skonfigurujesz. Rezerwacja wskazująca zły identyfikator zawodzi po cichu: klient po prostu otrzymuje adres z puli, a błąd wygląda jak problem klienta.

Gdzie adres MAC jeszcze coś znaczy

Na fizycznym łączu Ethernet lub Wi-Fi adres sprzętowy identyfikuje interfejs w tym segmencie. Funkcje prywatności go rotują, adaptery wirtualne tworzą nowe, a laptop może pokazywać różne wartości w Wi-Fi i w stacji dokującej. Routowany tunel TUN przenosi pakiety IP i nie przekazuje pierwotnej tożsamości bezprzewodowej zdalnemu serwerowi DHCP, więc rezerwacja oparta na MAC na tej ścieżce nie ma czego dopasować. TAP różni się: przenosi ramki Ethernet i może dołączyć do domeny mostu, w której identyfikatory warstwy 2 nadal mają znaczenie.

Nawet tam istotny adres to ten używany w tej domenie, a nie automatycznie adres fizycznego łącza nadrzędnego.

Adresy tuneli i klucze peerów mają własną przestrzeń

Routowane wdrożenie OpenVPN przydziela adresy przez własny model: konfiguracja dla każdego klienta z kluczem według uwierzytelnionej nazwy albo jawna pula. Zmiana rezerwacji DHCP routera LAN nie tworzy tego przypisania, a dodanie rezerwacji tunelu nie wpływa na LAN. WireGuard idzie dalej, ponieważ peer jest identyfikowany przez swój klucz publiczny i dozwolone adresy, a nie przez jakikolwiek identyfikator sprzętowy. Żadna ogólna rezerwacja Ethernet nie zastępuje tam konfiguracji peera.

Prowadź ewidencję, która rozdziela cztery obiekty: poświadczenie urządzenia, adapter wirtualny, identyfikator przydzielacza i przydzielony adres. Jedna fizyczna maszyna może mieć kilka adapterów, adresów i sesji.

Stały adres to nie tożsamość

Przewidywalny adres jest wygodny operacyjnie i nie jest poświadczeniem uwierzytelniania. Reguły dostępu oparte na adresie przestają być kontrolą tożsamości w chwili, gdy adres zostaje przydzielony ponownie, udostępniony lub podszyty. Jeśli reguła zależy od adresu, skoordynuj ponowne przydzielenie i unieważnienie z właścicielem tożsamości, a prawdziwą decyzję o uwierzytelnieniu trzymaj gdzie indziej. Dzięki temu wygoda nie staje się jedynym dowodem, które urządzenie się połączyło.

Zapisuj przydzielacza, identyfikator i przydzielony adres razem. Gdy jeden się zmienia, pozostałe dwa są tym, co sprawdzasz.

Jeśli dwa systemy twierdzą, że przydzielają dla tej samej podsieci, zdecyduj, który ją posiada, zanim dodasz rezerwacje do któregokolwiek.