Cili identifikues i duhet rezervimit tuaj të VPN?

Tre kushte përcaktojnë cilin identifikues duhet të përdorë një rezervim: cili sistem shpërndan adresën, a e shikon ndonjëherë ai sistem një kornizë të shtresës 2 dhe çfarë përdor si çelës klienti. Një ruter shtëpiak me DHCP, një VPN me urë dhe një tunel i rrugëzuar u përgjigjen ndryshe këtyre pyetjeve. Zgjedhja e identifikuesit është më e qëndrueshme sesa përpjekja për të ngrirë çdo adresë MAC që raporton një përshtatës, sepse identifikuesi është ajo që alokuesi lexon vërtet.

Filloni te alokuesi dhe punoni mbrapsht; identifikuesi në anën e klientit është ajo që pranon ai sistem.

Pyetni së pari alokuesin

Një server DHCP alokon nga një grup dhe përputh rezervimet me një identifikues që njeh, i cili mund të jetë adresa e harduerit, një varg identifikuesi klienti ose një DUID sipas versionit të protokollit. Një server VPN alokon nga grupi i vet dhe përputh me atë që ekspozon modeli i tij i konfigurimit, shpesh Common Name i vërtetuar. Një rrjet me urë mund t'ia dorëzojë të njëjtin problem serverit DHCP që tashmë shërben LAN-in. Secili është një kërkim i ndryshëm, dhe një rezervim i vlefshëm në njërin është i padukshëm për të tjerët.

Konfirmoni çfarë sheh vërtet serveri përpara se të konfiguroni çdo gjë. Një rezervim që emërton identifikuesin e gabuar dështon në heshtje: klienti thjesht merr një adresë nga grupi, dhe gabimi duket si problem i klientit.

Ku një adresë MAC ende ka kuptim

Në një lidhje fizike Ethernet ose Wi-Fi, adresa e harduerit identifikon një ndërfaqe në atë segment. Funksionet e privatësisë e rrotullojnë, përshtatësit virtualë krijojnë të reja, dhe një laptop mund të shfaqë vlera të ndryshme në Wi-Fi dhe në një dock. Një tunel TUN i rrugëzuar transporton paketa IP dhe nuk e përcjell identitetin origjinal pa tel te një server DHCP në distancë, prandaj një rezervim i bazuar në MAC në atë rrugë nuk ka me çfarë të përputhet. TAP është ndryshe: transporton korniza Ethernet dhe mund t'i bashkohet një domeni me urë ku identifikuesit e shtresës 2 ende kanë rëndësi.

Edhe atje, adresa përkatëse është ajo që përdoret në atë domen, jo automatikisht ajo e lidhjes fizike sipër.

Adresat e tunelit dhe çelësat e homologëve kanë hapësirën e tyre

Një vendosje e rrugëzuar e OpenVPN cakton adresa përmes modelit të vet: konfigurim për çdo klient me çelës sipas një emri të vërtetuar, ose një grup i shprehur. Ndryshimi i rezervimit DHCP të një ruteri LAN nuk e krijon atë caktim, dhe shtimi i një rezervimi tuneli nuk ndikon në LAN. WireGuard shkon më tej, sepse një homolog identifikohet nga çelësi i tij publik dhe adresat e lejuara, jo nga ndonjë identifikues hardueri. Asnjë rezervim i përgjithshëm Ethernet nuk e zëvendëson atje konfigurimin e homologut.

Mbani një inventar që ndan katër objekte: kredencialin e pajisjes, përshtatësin virtual, identifikuesin e alokuesit dhe adresën e caktuar. Një makinë fizike mund të ketë disa përshtatës, adresa dhe sesione.

Një adresë e qëndrueshme nuk është identitet

Një adresë e parashikueshme është e përshtatshme operacionalisht dhe nuk është kredencial vërtetimi. Rregullat e aksesit që mbështeten në një adresë pushojnë së qeni kontrolle identiteti në momentin që ajo ricaktohet, ndahet ose falsifikohet. Nëse një rregull varet nga adresa, koordinoni ricaktimin dhe revokimin me atë që zotëron identitetin, dhe mbani vendimin e vërtetë të vërtetimit diku tjetër. Kështu një lehtësi nuk bëhet prova e vetme se cila pajisje u lidh.

Regjistroni bashkë alokuesin, identifikuesin dhe adresën e caktuar. Kur njëri ndryshon, dy të tjerët janë ajo që kontrolloni.

Nëse dy sisteme pretendojnë të dy se alokojnë për të njëjtën nënrrjet, vendosni cili e zotëron përpara se të shtoni rezervime në cilindo prej tyre.