Bản đặt trước VPN của bạn cần định danh nào?

Ba điều kiện quyết định bản đặt trước nên dùng định danh nào: hệ thống nào phân phối địa chỉ, hệ thống đó có bao giờ thấy khung lớp 2 hay không, và nó dùng gì làm khóa máy khách. Một bộ định tuyến gia đình chạy DHCP, một VPN cầu nối và một đường hầm định tuyến trả lời những câu hỏi đó theo cách khác nhau. Chọn định danh bền vững hơn việc cố đóng băng từng địa chỉ MAC mà bộ điều hợp báo cáo, vì định danh mới là thứ bộ cấp phát thực sự đọc.

Hãy bắt đầu từ bộ cấp phát và làm ngược lại; định danh phía máy khách là bất cứ thứ gì hệ thống đó chấp nhận.

Hỏi bộ cấp phát trước

Máy chủ DHCP cấp phát từ một nhóm và đối chiếu bản đặt trước với định danh mà nó nhận ra, có thể là địa chỉ phần cứng, chuỗi định danh máy khách hoặc DUID tùy phiên bản giao thức. Máy chủ VPN cấp phát từ nhóm riêng và đối chiếu với những gì mô hình cấu hình của nó phơi bày, thường là Common Name đã xác thực. Một mạng cầu nối có thể giao cùng vấn đề đó cho máy chủ DHCP vốn đã phục vụ LAN. Mỗi cái là một tra cứu khác nhau, và một bản đặt trước hợp lệ ở cái này thì vô hình với những cái kia.

Hãy xác nhận điều máy chủ thực sự thấy trước khi cấu hình bất cứ thứ gì. Một bản đặt trước nêu sai định danh sẽ thất bại âm thầm: máy khách chỉ nhận được địa chỉ từ nhóm, và lỗi trông như vấn đề của máy khách.

Nơi địa chỉ MAC vẫn còn ý nghĩa

Trên một liên kết Ethernet hoặc Wi-Fi vật lý, địa chỉ phần cứng nhận diện một giao diện trên phân đoạn đó. Các tính năng riêng tư xoay nó, bộ điều hợp ảo tạo ra cái mới, và máy tính xách tay có thể hiển thị giá trị khác nhau trên Wi-Fi và trên đế cắm. Một đường hầm TUN định tuyến mang gói IP và không truyền danh tính không dây gốc tới máy chủ DHCP từ xa, nên bản đặt trước dựa trên MAC trên đường đó không có gì để đối chiếu. TAP khác: nó mang khung Ethernet và có thể gia nhập một miền cầu nối nơi định danh lớp 2 vẫn còn quan trọng.

Ngay cả ở đó, địa chỉ liên quan là địa chỉ được dùng trên miền đó, không tự động là địa chỉ của liên kết vật lý phía trên.

Địa chỉ đường hầm và khóa ngang hàng có không gian riêng

Một triển khai OpenVPN định tuyến gán địa chỉ qua mô hình riêng của nó: cấu hình theo từng máy khách được khóa bằng tên đã xác thực, hoặc một nhóm rõ ràng. Thay đổi bản đặt trước DHCP của bộ định tuyến LAN không tạo ra việc gán đó, và thêm bản đặt trước đường hầm không ảnh hưởng tới LAN. WireGuard đi xa hơn, vì một ngang hàng được nhận diện bằng khóa công khai và các địa chỉ được phép của nó, chứ không bằng bất kỳ định danh phần cứng nào. Không có bản đặt trước Ethernet chung nào thay thế cấu hình ngang hàng ở đó.

Hãy giữ một bản kiểm kê tách bốn đối tượng: thông tin đăng nhập của thiết bị, bộ điều hợp ảo, định danh của bộ cấp phát và địa chỉ được gán. Một máy vật lý có thể có nhiều bộ điều hợp, địa chỉ và phiên.

Địa chỉ ổn định không phải danh tính

Một địa chỉ dự đoán được thì tiện cho vận hành và không phải thông tin đăng nhập xác thực. Các quy tắc truy cập dựa vào địa chỉ sẽ thôi là kiểm tra danh tính ngay khi địa chỉ được gán lại, chia sẻ hoặc giả mạo. Nếu một quy tắc phụ thuộc vào địa chỉ, hãy phối hợp việc gán lại và thu hồi với người sở hữu danh tính, và giữ quyết định xác thực thật ở nơi khác. Nhờ vậy sự tiện lợi không trở thành bằng chứng duy nhất về thiết bị nào đã kết nối.

Ghi lại bộ cấp phát, định danh và địa chỉ được gán cùng nhau. Khi một thứ thay đổi, hai thứ còn lại là thứ bạn kiểm tra.

Nếu hai hệ thống đều tuyên bố cấp phát cho cùng một mạng con, hãy quyết định hệ thống nào sở hữu nó trước khi thêm bản đặt trước vào bất kỳ bên nào.