Vilken identifierare behöver din VPN-reservation?

Tre villkor avgör vilken identifierare en reservation bör använda: vilket system som delar ut adressen, om det systemet någonsin ser en layer-2-ram och vad det använder som klientnyckel. En hemrouter med DHCP, ett bryggat VPN och en routad tunnel svarar olika på de frågorna. Att välja identifieraren är mer hållbart än att försöka frysa varje MAC-adress som en adapter rapporterar, eftersom identifieraren är det som tilldelaren faktiskt läser.

Börja vid tilldelaren och arbeta bakåt; identifieraren på klientsidan är vad det systemet accepterar.

Fråga tilldelaren först

En DHCP-server tilldelar från en pool och matchar reservationer mot en identifierare som den känner igen, vilket kan vara maskinvaruadressen, en klientidentifierarsträng eller en DUID beroende på protokollversionen. En VPN-server tilldelar från sin egen pool och matchar mot vad dess konfigurationsmodell exponerar, ofta det autentiserade Common Name. Ett bryggat nätverk kan ge samma problem till DHCP-servern som redan betjänar LAN:et. Var och en är en annan uppslagning, och en reservation som gäller i en är osynlig för de andra.

Bekräfta vad servern faktiskt ser innan du konfigurerar något. En reservation som namnger fel identifierare misslyckas tyst: klienten får helt enkelt en adress från poolen, och felet ser ut som ett klientproblem.

Där en MAC-adress fortfarande betyder något

På en fysisk Ethernet- eller Wi-Fi-länk identifierar maskinvaruadressen ett gränssnitt på det segmentet. Integritetsfunktioner roterar den, virtuella adaptrar skapar nya, och en bärbar dator kan visa olika värden på Wi-Fi och i en docka. En routad TUN-tunnel transporterar IP-paket och förmedlar inte den ursprungliga trådlösa identiteten till en extern DHCP-server, så en MAC-baserad reservation på den vägen har inget att matcha. TAP är annorlunda: det transporterar Ethernet-ramar och kan ansluta till en bryggad domän där layer-2-identifierare fortfarande spelar roll.

Även där är den relevanta adressen den som används på den domänen, inte automatiskt den fysiska upplänkens.

Tunneladresser och peer-nycklar har sitt eget utrymme

En routad OpenVPN-utrullning tilldelar adresser via sin egen modell: per-klient-konfiguration nycklad till ett autentiserat namn, eller en explicit pool. Att ändra DHCP-reservationen för en LAN-router skapar inte den tilldelningen, och att lägga till en tunnelreservation påverkar inte LAN:et. WireGuard går längre, eftersom en peer identifieras av sin publika nyckel och tillåtna adresser, inte av någon maskinvaruidentifierare. Ingen generisk Ethernet-reservation ersätter peer-konfigurationen där.

Håll en förteckning som skiljer fyra objekt: enhetens autentiseringsuppgift, den virtuella adaptern, tilldelarens identifierare och den tilldelade adressen. En fysisk maskin kan ha flera adaptrar, adresser och sessioner.

En stabil adress är inte en identitet

En förutsägbar adress är driftsmässigt praktisk och är inte en autentiseringsuppgift. Åtkomstregler som vilar på en adress upphör att vara identitetskontroller i det ögonblick den tilldelas på nytt, delas eller förfalskas. Om en regel beror på adressen, samordna omtilldelning och återkallelse med den som äger identiteten, och håll det egentliga autentiseringsbeslutet någon annanstans. Så blir inte en bekvämlighet det enda beviset för vilken enhet som anslöt.

Registrera tilldelaren, identifieraren och den tilldelade adressen tillsammans. När en ändras är de andra två det du kontrollerar.

Om två system båda hävdar att de tilldelar för samma subnät, avgör vilket som äger det innan du lägger till reservationer i något av dem.