Који идентификатор је потребан вашој VPN резервацији?

Три услова одлучују који идентификатор резервација треба да користи: који систем додељује адресу, да ли тај систем икада види оквир слоја 2 и шта користи као кључ клијента. Кућни рутер са DHCP-ом, мостни VPN и рутирани тунел одговарају на ова питања различито. Избор идентификатора је трајнији од покушаја замрзавања сваке MAC адресе коју адаптер пријављује, јер идентификатор је оно што додељивач заиста чита.

Почните од додељивача и радите уназад; идентификатор на страни клијента је оно што тај систем прихвата.

Прво питајте додељивача

DHCP сервер додељује из скупа и упоређује резервације са идентификатором који препознаје, а то може бити хардверска адреса, низ идентификатора клијента или DUID у зависности од верзије протокола. VPN сервер додељује из сопственог скупа и упоређује са оним што открива његов модел конфигурације, често са аутентификованим Common Name-ом. Мостна мрежа може исти проблем предати DHCP серверу који већ опслужује LAN. Сваки је друга претрага, а резервација важећа у једном невидљива је осталима.

Потврдите шта сервер заиста види пре него што било шта конфигуришете. Резервација са погрешним идентификатором тихо не успева: клијент једноставно добија адресу из скупа, а грешка изгледа као проблем клијента.

Где MAC адреса још нешто значи

На физичкој Ethernet или Wi-Fi вези хардверска адреса идентификује интерфејс на том сегменту. Функције приватности је обрћу, виртуелни адаптери стварају нове, а преносни рачунар може приказивати различите вредности на Wi-Fi-ју и у док станици. Рутирани TUN тунел преноси IP пакете и не преноси изворни бежични идентитет удаљеном DHCP серверу, па резервација заснована на MAC адреси на том путу нема шта да упореди. TAP је другачији: преноси Ethernet оквире и може се придружити мостној домени у којој идентификатори слоја 2 још важе.

Чак и тамо, релевантна адреса је она која се користи у тој домени, а не аутоматски адреса физичке горње везе.

Адресе тунела и кључеви партнера имају сопствени простор

Рутирано распоређивање OpenVPN-а додељује адресе кроз сопствени модел: конфигурација по клијенту кључана аутентификованим именом или изричит скуп. Промена DHCP резервације LAN рутера не ствара ту доделу, а додавање резервације тунела не утиче на LAN. WireGuard иде даље, јер се партнер идентификује својим јавним кључем и дозвољеним адресама, а не било којим хардверским идентификатором. Ниједна општа Ethernet резервација тамо не замењује конфигурацију партнера.

Водите инвентар који раздваја четири објекта: акредитацију уређаја, виртуелни адаптер, идентификатор додељивача и додељену адресу. Једна физичка машина може имати неколико адаптера, адреса и сесија.

Стабилна адреса није идентитет

Предвидљива адреса је оперативно прикладна и није акредитација за аутентификацију. Правила приступа која се ослањају на адресу престају да буду провере идентитета у тренутку када се она поново додели, подели или фалсификује. Ако правило зависи од адресе, ускладите поновну доделу и опозив са оним ко поседује идентитет, а стварну одлуку о аутентификацији држите другде. Тако прикладност не постаје једини доказ о томе који се уређај повезао.

Забележите додељивача, идентификатор и додељену адресу заједно. Када се једно промени, друга два су оно што проверавате.

Ако два система оба тврде да додељују за исту подмрежу, одлучите који је поседује пре него што иједном додате резервације.