Який ідентифікатор потрібен вашій резервації VPN?

Три умови визначають, який ідентифікатор має використовувати резервація: яка система видає адресу, чи бачить вона коли-небудь кадр рівня 2 і що вона використовує як ключ клієнта. Домашній маршрутизатор з DHCP, мостовий VPN і маршрутизований тунель відповідають на ці питання по-різному. Вибір ідентифікатора міцніший за спробу заморозити кожну MAC-адресу, яку повідомляє адаптер, бо ідентифікатор — це те, що розподільник справді читає.

Почніть із розподільника й рухайтеся назад; ідентифікатор на боці клієнта — це те, що приймає ця система.

Спершу запитайте розподільник

DHCP-сервер виділяє з пулу й зіставляє резервації з ідентифікатором, який він розпізнає; залежно від версії протоколу це може бути апаратна адреса, рядок ідентифікатора клієнта або DUID. VPN-сервер виділяє з власного пулу й зіставляє з тим, що розкриває його модель конфігурації, найчастіше з автентифікованим Common Name. Мостова мережа може передати те саме завдання DHCP-серверу, який уже обслуговує LAN. Кожен із них — окремий пошук, і резервація, чинна в одному, невидима для інших.

Перш ніж щось налаштовувати, підтвердьте, що сервер справді бачить. Резервація з неправильним ідентифікатором тихо не спрацьовує: клієнт просто отримує адресу з пулу, і помилка виглядає як проблема клієнта.

Де MAC-адреса ще щось означає

На фізичному каналі Ethernet або Wi-Fi апаратна адреса ідентифікує інтерфейс у цьому сегменті. Функції приватності її змінюють, віртуальні адаптери створюють нові, а ноутбук може показувати різні значення у Wi-Fi і в док-станції. Маршрутизований тунель TUN переносить IP-пакети й не передає початкову бездротову ідентичність віддаленому DHCP-серверу, тож резервації на основі MAC на цьому шляху немає з чим зіставлятися. TAP відрізняється: він переносить кадри Ethernet і може приєднатися до мостового домену, де ідентифікатори рівня 2 ще важливі.

Навіть там релевантна адреса — та, що використовується в цьому домені, а не автоматично адреса фізичного верхнього каналу.

Адреси тунелів і ключі партнерів мають власний простір

Маршрутизоване розгортання OpenVPN призначає адреси через власну модель: конфігурація для кожного клієнта з ключем за автентифікованим іменем або явний пул. Зміна DHCP-резервації LAN-маршрутизатора не створює цього призначення, а додавання резервації тунелю не впливає на LAN. WireGuard іде далі, бо партнер ідентифікується своїм відкритим ключем і дозволеними адресами, а не якимось апаратним ідентифікатором. Жодна загальна резервація Ethernet там не замінює конфігурацію партнера.

Ведіть інвентаризацію, що розділяє чотири об'єкти: облікові дані пристрою, віртуальний адаптер, ідентифікатор розподільника й призначену адресу. Одна фізична машина може мати кілька адаптерів, адрес і сеансів.

Стабільна адреса не є ідентичністю

Передбачувана адреса зручна в експлуатації й не є обліковими даними автентифікації. Правила доступу, що спираються на адресу, перестають бути перевіркою особи в той момент, коли її перепризначають, ділять або підробляють. Якщо правило залежить від адреси, узгодьте перепризначення й відкликання з власником ідентичності, а справжнє рішення про автентифікацію тримайте в іншому місці. Так зручність не стає єдиним доказом того, який пристрій підключився.

Записуйте розподільник, ідентифікатор і призначену адресу разом. Коли одне змінюється, інші два — це те, що ви перевіряєте.

Якщо дві системи обидві стверджують, що виділяють адреси для однієї підмережі, вирішіть, яка з них нею володіє, перш ніж додавати резервації до будь-якої з них.