我们的IT服务公司正在提出一种networking重新configuration,在内部使用IP范围10.10.150.1 – 10.10.150.254,因为它们使用制造商的默认值192.168.1.x声明当前的IPscheme是“使其易于开发”。
这是真的? 如何知道/不知道内部IPscheme使networking更易被利用? 所有内部系统位于SonicWALL NAT和防火墙路由器的后面。
这将最多添加一个非常薄的“安全隐蔽”层,因为192.168.xy是一种更常用的专用networkingnetworking地址,但为了使用内部地址,坏男孩必须已经在你的networking中,只有最愚蠢的攻击工具会被“非标准”地址scheme所迷惑。
实现这一点几乎没有成本,几乎没有提供任何回报。
听起来像是对我来说有钱的忙碌。
除了许多消费类设备使用192.168.xx地址空间(可以像其他任何东西一样被利用)之外,我并不认为这会改变企业networking的安全格局。 里面的东西被locking了,或者不是。
保持您的机器/设备在当前的软件/固件上,遵循networking安全的最佳实践,并且状态良好。
听起来像你的IT公司想要一些收费的工作给我。
我能想到远离192.168.0.x或192.168.1.x子网唯一合法的原因是由于与vpn客户端有重叠的子网。 这不是不可能解决,但是增加了一些复杂的设置vpn的和诊断问题。
不使用192.168.xx寻址的一大优势是避免与用户的家庭networking重叠。 在build立VPN时,如果你的networking和他们的networking是不同的,那么可以预测的更多。
我不认为这是可能的。
任何值得其权重的利用将使用全部三个私有子网范围进行扫描。
这里有一些关于你的IT的参考资料,
2.0.0.0/8
企业内部网 ,讨论甚至覆盖企业使用1.0.0.0/8
和2.0.0.0/8
等networking的可能性! (嗅…嗅)我闻到…什么。 这似乎来自你的IT公司的方向。 闻起来像…胡扯。
交换子网充其量只能提供保护。 没关系,你们其余的人没有被覆盖…
硬编码病毒的日子早已过去,你会发现恶意代码是“智能的”,足以查看受感染的机器的子网,并从那里开始扫描。
我会说这不是更安全。 如果他们闯入你的路由器,它将会显示他们的内部范围。
正如另一个人所说,只有从192.168.1.x更改的好理由是,如果您使用客户端家庭路由器的VPN。 这就是我pipe理的每个networking都有不同的子网的原因,因为我和我的客户端机器都使用VPN。
我的猜测是,某些路过的路由器利用脚本被硬编码去查看标准的homerouter地址。 所以他们的回答是“通过默默无闻的安全性”…除非它不是模糊的,因为根据脚本的工作原理,它可能访问网关地址。
真的,这只是一个城市的传说。
无论如何,他们的推理可能如下:假设,192.168.x.0 / 24范围更常用。 那么,也许下一个假设就是,在其中一台PC上有一个恶意软件会扫描活动计算机的192.168.x.0 / 24范围。 无视事实,它可能会使用一些Windows内置机制进行networking发现。
再次 – 这听起来像是对我的货物邪教。
制造商的默认设置总是更易被利用,因为它们是第一个尝试的选项,但是10范围也是非常着名的私有范围,如果192.168不起作用,将会是下一个尝试的。 我会打电话给他们“公牛”。
这两个范围都是“私人”地址,同样广为人知。 让别人来照顾你的IT。
知道你在内部使用的地址范围是绝对没有优势的。 一旦有人访问你的内部networking,他们可以看到你使用的是什么地址。 直到这一点,这是一个公平的竞争环境。
我不是一个networking人,但作为一个Linux的人,我不明白这会有什么不同。 交换一个内部类C到另一个没有任何真正的任何事情。 如果您在networking上,不pipeIP地址是什么,您仍将获得相同的访问权限。
从不知道自己的无线路由器带来的默认设置为192.168.0 / 32的人的angular度来看,可能会有一点点差异。 但它确实不是更安全。
今天的许多威胁来自内部,通过粗心大意的用户执行恶意软件。 虽然可能不会提供太多保护,但我不会完全否定它作为都市传奇。
如果保护依赖于默默无闻(比如将秘密文档放在公用Web服务器上,使用“随机”文件夹名称),那么这将被称为安全性,这显然不是这种情况。
一些脚本可能被硬编码来扫描192.168.1.x范围并传播自己的副本。 另一个实际的原因是家庭路由器通常configuration有这个范围,所以当你从家用机器设置vpn时,它可能会发生冲突,有时会造成事故。
如果攻击者有能力危害你的内部networking,他们有能力知道你的IP范围。
有点像这样:如果你使用的唯一的保护是你的IP地址范围,我可以插入一个未configuration的机器到交换机,并在几秒钟内学习你的networkingconfiguration,只需通过ARP请求。 如果背后的唯一原因是“安全”,那么这基本上是忙碌的。
所有的痛苦,没有收获。
使用一个地址类别而不提供超出已经实现的真正的安全性。
有三种主要types的私有IP地址类别:
A类:10.0.0.0-10.255.255.255 B类:172.16.0.0-172.31.255.255 C类:192.168.0.0-192.168.255.255