การจอง VPN ของคุณต้องใช้ตัวระบุใด?

เงื่อนไขสามข้อตัดสินว่าการจองควรใช้ตัวระบุใด: ระบบใดแจกจ่ายที่อยู่ ระบบนั้นเคยเห็นเฟรมเลเยอร์ 2 หรือไม่ และใช้อะไรเป็นคีย์ไคลเอนต์ เราเตอร์บ้านที่ใช้ DHCP, VPN แบบบริดจ์ และอุโมงค์แบบกำหนดเส้นทางตอบคำถามเหล่านี้ต่างกัน การเลือกตัวระบุนั้นยั่งยืนกว่าการพยายามตรึงทุกที่อยู่ MAC ที่อะแดปเตอร์รายงาน เพราะตัวระบุคือสิ่งที่ตัวจัดสรรอ่านจริง ๆ

เริ่มจากตัวจัดสรรแล้วย้อนกลับไป ตัวระบุฝั่งไคลเอนต์คือสิ่งที่ระบบนั้นยอมรับ

ถามตัวจัดสรรก่อน

เซิร์ฟเวอร์ DHCP จัดสรรจากพูลและจับคู่การจองกับตัวระบุที่มันรู้จัก ซึ่งอาจเป็นที่อยู่ฮาร์ดแวร์ สตริงตัวระบุไคลเอนต์ หรือ DUID ขึ้นอยู่กับเวอร์ชันโปรโตคอล เซิร์ฟเวอร์ VPN จัดสรรจากพูลของตัวเองและจับคู่กับสิ่งที่โมเดลการกำหนดค่าของมันเปิดเผย มักเป็น Common Name ที่ผ่านการรับรองความถูกต้อง เครือข่ายแบบบริดจ์สามารถส่งปัญหาเดียวกันให้เซิร์ฟเวอร์ DHCP ที่ให้บริการ LAN อยู่แล้ว แต่ละอย่างเป็นการค้นหาที่ต่างกัน และการจองที่ใช้ได้ในระบบหนึ่งจะมองไม่เห็นจากระบบอื่น

ยืนยันว่าเซิร์ฟเวอร์เห็นอะไรจริง ๆ ก่อนกำหนดค่าสิ่งใด การจองที่ระบุตัวระบุผิดจะล้มเหลวอย่างเงียบ ๆ: ไคลเอนต์ได้รับที่อยู่จากพูลเท่านั้น และข้อผิดพลาดดูเหมือนปัญหาไคลเอนต์

ที่ที่ที่อยู่ MAC ยังมีความหมาย

บนลิงก์ Ethernet หรือ Wi-Fi จริง ที่อยู่ฮาร์ดแวร์ระบุอินเทอร์เฟซบนเซกเมนต์นั้น คุณสมบัติความเป็นส่วนตัวหมุนเวียนมัน อะแดปเตอร์เสมือนสร้างใหม่ และแล็ปท็อปอาจแสดงค่าต่างกันบน Wi-Fi และบนด็อก อุโมงค์ TUN แบบกำหนดเส้นทางบรรทุกแพ็กเก็ต IP และไม่ส่งอัตลักษณ์ไร้สายดั้งเดิมไปยังเซิร์ฟเวอร์ DHCP ระยะไกล ดังนั้นการจองที่อิง MAC บนเส้นทางนั้นจึงไม่มีอะไรให้จับคู่ TAP ต่างออกไป: มันบรรทุกเฟรม Ethernet และสามารถเข้าร่วมโดเมนแบบบริดจ์ที่ตัวระบุเลเยอร์ 2 ยังสำคัญอยู่

แม้ที่นั่น ที่อยู่ที่เกี่ยวข้องคือที่อยู่ที่ใช้บนโดเมนนั้น ไม่ใช่ที่อยู่ของลิงก์กายภาพด้านบนโดยอัตโนมัติ

ที่อยู่อุโมงค์และคีย์เพียร์มีพื้นที่ของตัวเอง

การติดตั้ง OpenVPN แบบกำหนดเส้นทางจัดสรรที่อยู่ผ่านโมเดลของตัวเอง: การกำหนดค่าต่อไคลเอนต์ที่ล็อกด้วยชื่อที่ผ่านการรับรอง หรือพูลที่ชัดเจน การเปลี่ยนการจอง DHCP ของเราเตอร์ LAN ไม่ได้สร้างการกำหนดค่านั้น และการเพิ่มการจองอุโมงค์ไม่ส่งผลต่อ LAN WireGuard ไปไกลกว่านั้น เพราะเพียร์ถูกระบุด้วยคีย์สาธารณะและที่อยู่ที่อนุญาต ไม่ใช่ตัวระบุฮาร์ดแวร์ใด ๆ ไม่มีการจอง Ethernet ทั่วไปแทนที่การกำหนดค่าเพียร์ที่นั่น

เก็บบัญชีที่แยกสี่วัตถุ: ข้อมูลรับรองของอุปกรณ์ อะแดปเตอร์เสมือน ตัวระบุของตัวจัดสรร และที่อยู่ที่จัดสรร หนึ่งเครื่องกายภาพสามารถมีอะแดปเตอร์ ที่อยู่ และเซสชันได้หลายรายการ

ที่อยู่ที่มั่นคงไม่ใช่อัตลักษณ์

ที่อยู่ที่คาดเดาได้นั้นสะดวกในการปฏิบัติงานและไม่ใช่ข้อมูลรับรองการรับรองความถูกต้อง กฎการเข้าถึงที่อาศัยที่อยู่จะเลิกเป็นการตรวจสอบอัตลักษณ์ในทันทีที่ที่อยู่ถูกจัดสรรใหม่ ถูกแบ่งปัน หรือถูกปลอมแปลง หากกฎขึ้นอยู่กับที่อยู่ ให้ประสานการจัดสรรใหม่และการเพิกถอนกับผู้ที่เป็นเจ้าของอัตลักษณ์ และเก็บการตัดสินใจรับรองความถูกต้องที่แท้จริงไว้ที่อื่น ด้วยวิธีนี้ความสะดวกจะไม่กลายเป็นหลักฐานเดียวว่าอุปกรณ์ใดเชื่อมต่อ

บันทึกตัวจัดสรร ตัวระบุ และที่อยู่ที่จัดสรรไว้ด้วยกัน เมื่อสิ่งหนึ่งเปลี่ยน อีกสองสิ่งคือสิ่งที่คุณตรวจสอบ

หากสองระบบอ้างว่าจัดสรรสำหรับซับเน็ตเดียวกัน ให้ตัดสินว่าระบบใดเป็นเจ้าของก่อนเพิ่มการจองให้กับระบบใดระบบหนึ่ง