在内部使用非私有 IP 地址的风险?

网络工程 路由 ipv4
2021-07-09 14:33:32

我公司收到了一台装有许多联网设备的大型工业机器。不幸的是,负责工程师在机器上使用了公共 IP 地址范围。我在欧洲。所选地址范围属于一家美国公司。假设它是 143.166.0.0(实际上属于戴尔)。

假设我没有将机器连接到我们公司的 LAN(暂时),但我确实将我的笔记本电脑连接到它来对设备进行编程 - 比如说 143.166.0.1。假设我的笔记本电脑无线网络适配器连接到公司 LAN,因此连接到 Internet。现在我有两个可能的路由到共享一个地址的两个设备。我想要的本地地址和戴尔地址。

我的问题是,“我应该有多担心?” 在这种情况下应该和会发生什么?我的猜测是本地机器会首先响应,我可能会逃脱,但最终我会被咬。顺便说一句,我也在其他机器上看到了公共 IP 地址。似乎工程师要么不了解私有寻址,要么不希望他们的机器连接到更广阔的世界。

任何想法/意见?(不涉及对机器工程师的暴力)?

结语

我们发现了一个有趣的问题,迫使我们将 IP 地址更改为私有。

  • 机器上的其中一个设备是使用 ActiveX 组件通过 Internet Explorer 进行编程的。该设备将尝试将数据推送到 ActiveX“侦听器”(而不是从远程服务器请求数据的通常浏览器模式)。
  • 我们的 Active Directory 配置会在登录时将安全策略下载到我们的计算机。策略中包括受信任站点的列表。这些包括:
    • 批准的公司地址。
    • 各种外部地址,例如我们的银行。
    • 私有地址 192.168.0.0/16、172.16.0.0/20 和 10.0.0.0/24。
    • 其他一切都被阻止。
  • 由于安全策略,ActiveX 组件从未收到任何数据,因为传入流量被安全策略阻止!

这迫使我让供应商将地址更改为 172.16.0.0。我会睡得更轻松。

谢谢大家的关心。

4个回答

简短回答:复制分配的公共地址是一个坏主意。

稍微长一点的答案:暂时搁置路由问题,假设您永远不需要从直接连接的电缆以外的其他地方访问这台机器,或者公共或私有地址分配是静态的并且永远不会改变是不安全的.

远程访问问题很明显:全球互联网认为 143.166/16 在一个地方,而你希望它在另一个地方。路由器不会进入您的机器。

所有权可能会发生变化。即使这个地址没有分配给戴尔,将来也可以分配给他们。戴尔今天确实有这个地址,但明天可能会有其他人使用不同的路线。谁知道?您的组织甚至可能会购买该地址块,并进行更多路由冒险。

底线:不要认为可以永远安全地隔离重复的 IP。

至于路由,您的有线接口更喜欢本地地址而不是戴尔的。您的有线接口将发送该地址的 ARP 请求,并直接从工业机器获取,无需网关。此后,发往该地址的数据包将使用工业机器的目标 MAC 地址。

这将工作正常,因为您只使用电缆进行访问,并且只要您永远不需要从其他地方到达这台机器,并且只要全局路由表保持静态。

这是很多如果。您最好通过使用唯一的公共地址或私有地址池之外的内容来避免该问题。

唯一的问题是无法与具有这些地址的真实(互联网)机器通信。当然,你可以在你的网络和这个东西之间放置一个防火墙(“nat box”),让它看起来像你的网络的私有地址。

由于人们懒惰并为自己的目的使用“未分配”的地址,这种事情已经流行了很多年;现在他们被分配了,它提出了一个小问题。

[编辑:为了记录,我从未重新编号我的家庭网络。但我不太可能需要与现在拥有该地址空间的人交谈。15 年,而且还在继续……]

我的问题是,“我应该有多担心?” 在这种情况下应该和会发生什么?我的猜测是本地机器会首先响应,我可能会逃脱,但最终我会被咬。

作为旁注,这与谁先回答无关。如果你给你的计算机一个位于同一子网的地址,流量将直接到达机器,不涉及路由器。

即使您使用路由,在您网络中的某些内部路由器上输入到 143.166.0.0/16 的路由,他们也会更喜欢这条路由而不是他们(默认?)到互联网的路由。发生这种情况是因为首选“最长前缀匹配”,即。选择最具体的路线。

您对最终结果的正确性是,如果您在内部路由器中安装路由,则您或您的网络将无法访问 Internet 的 143.166.0.0/16 部分。/16 对于这个问题似乎有点大,你路由到的子网越小,被咬的机会就越小。

下面是我编辑过的答案 - 最初并没有意识到它不是“拥有”的 IP 空间,而是其他人的空间。

只要是你的 空间,都无所谓。IP地址是一个IP地址。您的应用程序不知道什么是私有的,什么是公共的。如果您有空间,您甚至可能有一些“内部”子网和一些“外部”可访问的子网——可通过通常的路由控制、防火墙等进行控制。

内部的所有公共空间意味着您不必担心 NAT 进出您的网络。

如果它不是您自己的 IP 空间,而是其他人的,那么它在技术上是可行的。但是,如果没有大量额外的努力和配置,您将永远无法到达他们的空间——例如隧道、NAT 或双 NAT,或更具体的路由。最好建议重新编址你的网络,以书面形式,并详细说明如何去做,如何管理它等。把它写下来,然后如果有问题,你可以拿出你的“我告诉过你这样的电子邮件”。

下面的反对票来自我最初的回答,我在其中误读了这个问题。

感谢大家。