Kateri identifikator potrebuje vaša rezervacija VPN?

Trije pogoji odločajo, kateri identifikator naj rezervacija uporabi: kateri sistem dodeljuje naslov, ali ta sistem kdaj vidi okvir plasti 2 in kaj uporablja kot ključ odjemalca. Domači usmerjevalnik z DHCP, premosten VPN in usmerjen tunel odgovarjajo na ta vprašanja različno. Izbira identifikatorja je trajnejša od poskusa zamrznitve vsakega naslova MAC, ki ga poroča vmesnik, ker je identifikator tisto, kar dodeljevalnik resnično bere.

Začnite pri dodeljevalniku in delajte nazaj; identifikator na strani odjemalca je tisto, kar ta sistem sprejme.

Najprej vprašajte dodeljevalnik

Strežnik DHCP dodeljuje iz nabora in primerja rezervacije z identifikatorjem, ki ga prepozna; glede na različico protokola je to lahko naslov strojne opreme, niz identifikatorja odjemalca ali DUID. Strežnik VPN dodeljuje iz svojega nabora in primerja s tem, kar razkrije njegov konfiguracijski model, pogosto z overjenim Common Name. Premosteno omrežje lahko isto težavo preda strežniku DHCP, ki že streže LAN. Vsak od njih je drugo iskanje, in rezervacija, veljavna v enem, je za druge nevidna.

Preden karkoli konfigurirate, potrdite, kaj strežnik v resnici vidi. Rezervacija z napačnim identifikatorjem tiho ne uspe: odjemalec preprosto prejme naslov iz nabora, in napaka je videti kot težava odjemalca.

Kjer naslov MAC še nekaj pomeni

Na fizični povezavi Ethernet ali Wi-Fi naslov strojne opreme identificira vmesnik v tem segmentu. Funkcije zasebnosti ga vrtijo, virtualni vmesniki ustvarjajo nove, prenosnik pa lahko prikazuje različne vrednosti v Wi-Fi in v priklopni postaji. Usmerjen tunel TUN prenaša pakete IP in ne posreduje izvorne brezžične identitete oddaljenemu strežniku DHCP, zato rezervacija na osnovi MAC na tej poti nima česa primerjati. TAP se razlikuje: prenaša okvire Ethernet in se lahko pridruži premosteni domeni, kjer identifikatorji plasti 2 še vedno štejejo.

Tudi tam je ustrezni naslov tisti, ki se uporablja v tej domeni, ne pa samodejno naslov fizične nadrejene povezave.

Naslovi tunelov in ključi partnerjev imajo svoj prostor

Usmerjena namestitev OpenVPN dodeljuje naslove prek svojega modela: konfiguracija za vsakega odjemalca s ključem po overjenem imenu ali izrecen nabor. Spreminjanje rezervacije DHCP na usmerjevalniku LAN te dodelitve ne ustvari, dodajanje rezervacije tunela pa ne vpliva na LAN. WireGuard gre dlje, ker se partner identificira s svojim javnim ključem in dovoljenimi naslovi, ne s kakršnim koli identifikatorjem strojne opreme. Nobena splošna rezervacija Ethernet tam ne nadomesti konfiguracije partnerja.

Vodite popis, ki ločuje štiri predmete: poverilnico naprave, virtualni vmesnik, identifikator dodeljevalnika in dodeljeni naslov. En fizični stroj ima lahko več vmesnikov, naslovov in sej.

Stabilen naslov ni identiteta

Predvidljiv naslov je operativno priročen in ni poverilnica za preverjanje pristnosti. Pravila dostopa, ki se opirajo na naslov, prenehajo biti preverjanje identitete v trenutku, ko je naslov znova dodeljen, deljen ali ponarejen. Če je pravilo odvisno od naslova, uskladite ponovno dodelitev in preklic s tistim, ki ima identiteto, resnično odločitev o preverjanju pristnosti pa hranite drugje. Tako priročnost ne postane edini dokaz, katera naprava se je povezala.

Zabeležite dodeljevalnik, identifikator in dodeljeni naslov skupaj. Ko se eden spremeni, sta druga dva tisto, kar preverjate.

Če dva sistema zatrjujeta, da dodeljujeta za isto podomrežje, odločite, kateri ga ima v lasti, preden kateremu dodate rezervacije.