Моя внутренняя сеть 192.168.0.x со шлюзом 192.168.0.1.
У меня есть пользователи, которые VPN в наш брандмауэр, который затем по существу добавляет их в сеть.
Однако, если их домашний маршрутизатор имеет IP-адрес 192.168.0.1, тогда, конечно, у нас есть все виды проблем.
Итак, какова идеальная настройка сетевого адреса, чтобы избежать этого? Я видел установки, где удаленные пользователи имеют адреса маршрутизаторов в диапазоне 10.x, поэтому не уверен, что я могу сделать, чтобы предотвратить это.
Любые комментарии очень приветствуются!
networking
vpn
ip
Джон
источник
источник
Лучшее, что вы можете сделать, - это использовать диапазон для сети, к которой вы предоставляете доступ vpn, который, как вы ожидаете, никто из ваших пользователей не использует. Существует большая вероятность того, что многие ваши пользователи не изменились бы, если бы их маршрутизаторы использовали 192.168.0.0/24 или 192.168.1.0/24 (два диапазона, которые я чаще всего видел в потребительском оборудовании), если у вас есть представление о некоторых кто мог бы выбрать другой диапазон, спросите их, что они используют, но пользователи, которые сделали это, также будут знать, как изменить настройки своего собственного маршрутизатора, чтобы избежать конфликта.
источник
Вы никогда не можете быть на 100% уверены, но вы можете минимизировать риск, избегая использования тех же подсетей, что и все остальные.
Я бы избегал использования подсетей в нижней части блоков, так как многие люди начинают нумерацию своих сетей с самого начала блока.
ИМО Ваша самая безопасная ставка для предотвращения конфликтов - это использовать подсеть где-то посередине блока 172.16.0.0/12. Я никогда не видел, чтобы домашний маршрутизатор был предварительно настроен с подсетью из этого блока.
Случайная подсеть от 10.0.0.0/8 также относительно безопасна, но я однажды использовал домашний маршрутизатор, который выделил все 10.0.0.0/8 для локальной сети по умолчанию и разрешил только маски, которые соответствуют классовой настройке по умолчанию.
192.168 является наиболее уязвимым для конфликтов, потому что это относительно небольшой блок и широко используется на домашних маршрутизаторах.
источник
Чтобы избежать всех проблем, упомянутых выше, я бы определенно использовал диапазон IP-адресов в диапазоне 172.16.nn или 10.nnn. Например, в файле конфигурации сервера для VPN-сервера я бы выделил диапазон IP-адресов, скажем, 10.66.77.0, с маской 255.255.255.0 - сам VPN-сервер займет 10.66.77.1, каждый VPN-клиент получит следующий бесплатный IP выше этого. Работает для меня, никаких конфликтов со связями, использующими «домашние» маршрутизаторы, которые в основном находятся в диапазоне 192.168.nn.
источник
Это немного смущает меня, потому что в большинстве сред, с которыми я сталкиваюсь, чтобы удаленные пользователи имели доступ к VPN, администратор должен иметь контроль / управление над соединением пользователей, чтобы гарантировать, что сеть остается безопасной. Это означает административный доступ, контроль и т. Д. Для подключения компьютеров и пользователей. Это означает, что администратор может контролировать диапазон IP-адресов, что означает, что шансы того, что вы описываете, в принципе невозможны.
Тем не менее, ваше решение кажется работоспособным, но очень сложным в отношении использования разных диапазонов IP-адресов.
Одним из вариантов является создание сценария, который вы запускаете в подключающихся системах для перезаписи таблиц маршрутизации, чтобы уменьшить вероятность возможного конфликта (помните, что некоторые решения VPN могут это сделать). По сути, настройка сети организации будет иметь приоритет над настройкой локальной сети.
/unix/263678/openvpn-understand-the-routing-table-how-to-route-only-the-traffic-to-a-spec
клиент openvpn переопределяет шлюз по умолчанию для сервера vpn
Это приводит к другим возможностям. Предполагая, что пользователи не подключаются напрямую к IP-адресам, вы можете изменить настройки DNS / записи файла хоста так, чтобы они технически переопределяли существующие настройки локальной сети.
https://hostsfileeditor.codeplex.com/
https://support.rackspace.com/how-to/modify-your-hosts-file/
Другой способ - изменить настройки организации, чтобы иметь менее распространенную магистраль IP-адреса. Поскольку у вас есть административный доступ, вы сможете сделать это быстро и легко (хотя с тех пор я прочитал еще один комментарий, который затрагивает проблему IPv6).
Очевидно, вам нужно изменить тип настройки VPN, который вам нужен, чтобы дать вам некоторые из вариантов, которые я обрисовал в общих чертах выше, если у вас их еще нет.
источник