Ktorý identifikátor potrebuje vaša rezervácia VPN?

Ktorý identifikátor má rezervácia použiť, rozhodujú tri podmienky: ktorý systém prideľuje adresu, či tento systém vôbec vidí rámec vrstvy 2 a čo používa ako kľúč klienta. Domáci router s DHCP, premostená VPN a smerovaný tunel odpovedajú na tieto otázky rôzne. Voľba identifikátora je trvácnejšia než snaha zmraziť každú MAC adresu, ktorú adaptér hlási, pretože identifikátor je to, čo prideľovač skutočne číta.

Začnite pri prideľovači a postupujte späť; identifikátor na strane klienta je to, čo tento systém prijíma.

Najprv sa opýtajte prideľovača

Server DHCP prideľuje z fondu a porovnáva rezervácie s identifikátorom, ktorý rozpozná; v závislosti od verzie protokolu to môže byť hardvérová adresa, reťazec identifikátora klienta alebo DUID. Server VPN prideľuje z vlastného fondu a porovnáva s tým, čo odhaľuje jeho konfiguračný model, často s overeným Common Name. Premostená sieť môže ten istý problém odovzdať serveru DHCP, ktorý už obsluhuje LAN. Každé z nich je iné hľadanie a rezervácia platná v jednom je pre ostatné neviditeľná.

Než čokoľvek nakonfigurujete, overte, čo server skutočne vidí. Rezervácia s nesprávnym identifikátorom zlyhá ticho: klient jednoducho dostane adresu z fondu a chyba vyzerá ako problém klienta.

Kde MAC adresa ešte niečo znamená

Na fyzickom Ethernetovom alebo Wi-Fi spojení hardvérová adresa identifikuje rozhranie v tomto segmente. Funkcie súkromia ju otáčajú, virtuálne adaptéry vytvárajú nové a notebook môže na Wi-Fi a v doku uvádzať rôzne hodnoty. Smerovaný tunel TUN prenáša IP pakety a neprenáša pôvodnú bezdrôtovú identitu vzdialenému serveru DHCP, takže rezervácia založená na MAC na tejto ceste nemá čo porovnávať. TAP sa líši: prenáša Ethernetové rámce a môže sa pripojiť k premostenej doméne, kde identifikátory vrstvy 2 stále záležia.

Aj tam je príslušnou adresou tá, ktorá sa v tejto doméne používa, nie automaticky adresa fyzického nadradeného spoja.

Adresy tunelov a kľúče partnerov majú vlastný priestor

Smerované nasadenie OpenVPN prideľuje adresy vlastným modelom: konfigurácia pre jednotlivých klientov s kľúčom podľa overeného mena alebo explicitný fond. Zmena rezervácie DHCP na routeri LAN toto priradenie nevytvorí a pridanie rezervácie tunela LAN neovplyvní. WireGuard ide ďalej, pretože partner sa identifikuje svojím verejným kľúčom a povolenými adresami, nie nejakým hardvérovým identifikátorom. Žiadna všeobecná Ethernetová rezervácia tam konfiguráciu partnera nenahradí.

Veďte inventár, ktorý oddeľuje štyri objekty: prihlasovací údaj zariadenia, virtuálny adaptér, identifikátor prideľovača a pridelenú adresu. Jeden fyzický stroj môže mať niekoľko adaptérov, adries a relácií.

Stabilná adresa nie je identita

Predvídateľná adresa je prevádzkovo pohodlná a nie je autentizačným údajom. Pravidlá prístupu, ktoré sa opierajú o adresu, prestávajú byť kontrolou identity v okamihu, keď je adresa preradená, zdieľaná alebo podvrhnutá. Ak pravidlo závisí od adresy, koordinujte preradenie a odvolanie s tým, kto vlastní identitu, a skutočné rozhodnutie o autentizácii držte inde. Tým sa z pohodlia nestane jediný dôkaz o tom, ktoré zariadenie sa pripojilo.

Zaznamenajte prideľovača, identifikátor a pridelenú adresu spoločne. Keď sa jeden zmení, zvyšné dva sú to, čo kontrolujete.

Ak dva systémy tvrdia, že prideľujú pre tú istú podsiet, rozhodnite, ktorý ju vlastní, skôr než do ktoréhokoľvek pridáte rezervácie.