VPN rezervasyonunuz hangi tanımlayıcıya ihtiyaç duyuyor?

Bir rezervasyonun hangi tanımlayıcıyı kullanacağını üç koşul belirler: adresi hangi sistemin dağıttığı, o sistemin hiç katman-2 çerçevesi görüp görmediği ve istemci anahtarı olarak ne kullandığı. DHCP kullanan bir ev yönlendiricisi, köprülenmiş bir VPN ve yönlendirilmiş bir tünel bu sorulara farklı yanıt verir. Tanımlayıcıyı seçmek, bir bağdaştırıcının bildirdiği her MAC adresini dondurmaya çalışmaktan daha kalıcıdır, çünkü ayırıcının gerçekten okuduğu şey tanımlayıcıdır.

Ayırıcıdan başlayın ve geriye doğru çalışın; istemci tarafındaki tanımlayıcı, o sistemin kabul ettiği şeydir.

Önce ayırıcıya sorun

Bir DHCP sunucusu havuzdan ayırır ve rezervasyonları tanıdığı bir tanımlayıcıyla eşleştirir; bu, protokol sürümüne bağlı olarak donanım adresi, istemci tanımlayıcı dizesi veya DUID olabilir. Bir VPN sunucusu kendi havuzundan ayırır ve yapılandırma modelinin açığa çıkardığı şeyle, çoğunlukla kimliği doğrulanmış Common Name ile eşleştirir. Köprülenmiş bir ağ aynı sorunu zaten LAN'a hizmet eden DHCP sunucusuna verebilir. Her biri farklı bir aramadır ve birinde geçerli olan rezervasyon diğerleri için görünmezdir.

Herhangi bir şeyi yapılandırmadan önce sunucunun gerçekte ne gördüğünü doğrulayın. Yanlış tanımlayıcıyı adlandıran bir rezervasyon sessizce başarısız olur: istemci yalnızca havuzdan bir adres alır ve hata istemci sorunu gibi görünür.

MAC adresinin hâlâ anlam taşıdığı yer

Fiziksel bir Ethernet veya Wi-Fi bağlantısında donanım adresi o segmentteki bir arayüzü tanımlar. Gizlilik özellikleri onu döndürür, sanal bağdaştırıcılar yenilerini oluşturur ve bir dizüstü bilgisayar Wi-Fi'de ve bir dock'ta farklı değerler gösterebilir. Yönlendirilmiş bir TUN tüneli IP paketleri taşır ve özgün kablosuz kimliği uzak bir DHCP sunucusuna iletmez, bu nedenle o yoldaki MAC tabanlı bir rezervasyonun eşleştirecek hiçbir şeyi yoktur. TAP farklıdır: Ethernet çerçeveleri taşır ve katman-2 tanımlayıcılarının hâlâ önemli olduğu köprülenmiş bir alana katılabilir.

Orada bile ilgili adres, o alanda kullanılan adrestir, otomatik olarak fiziksel üst bağlantının adresi değildir.

Tünel adresleri ve eş anahtarlarının kendi alanı vardır

Yönlendirilmiş bir OpenVPN dağıtımı adresleri kendi modeliyle atar: kimliği doğrulanmış bir ada göre anahtarlanmış istemci başına yapılandırma veya açık bir havuz. Bir LAN yönlendiricisinin DHCP rezervasyonunu değiştirmek bu atamayı oluşturmaz ve bir tünel rezervasyonu eklemek LAN'ı etkilemez. WireGuard daha ileri gider, çünkü bir eş genel anahtarı ve izin verilen adresleriyle tanımlanır, herhangi bir donanım tanımlayıcısıyla değil. Orada hiçbir genel Ethernet rezervasyonu eş yapılandırmasının yerini almaz.

Dört nesneyi ayıran bir envanter tutun: cihazın kimlik bilgisi, sanal bağdaştırıcı, ayırıcının tanımlayıcısı ve atanan adres. Tek bir fiziksel makine birden çok bağdaştırıcı, adres ve oturuma sahip olabilir.

Kararlı adres kimlik değildir

Öngörülebilir bir adres operasyonel açıdan elverişlidir ve bir kimlik doğrulama bilgisi değildir. Adrese dayanan erişim kuralları, adres yeniden atandığı, paylaşıldığı veya sahte olarak üretildiği anda kimlik denetimi olmaktan çıkar. Bir kural adrese bağlıysa, yeniden atamayı ve iptali kimliğin sahibiyle koordine edin ve gerçek kimlik doğrulama kararını başka bir yerde tutun. Böylece kolaylık, hangi cihazın bağlandığının tek kanıtı hâline gelmez.

Ayırıcıyı, tanımlayıcıyı ve atanan adresi birlikte kaydedin. Biri değiştiğinde, diğer ikisi kontrol ettiğiniz şeydir.

İki sistem de aynı alt ağ için ayırdığını iddia ediyorsa, herhangi birine rezervasyon eklemeden önce hangisinin ona sahip olduğuna karar verin.