Mi red interna es 192.168.0.x con una puerta de enlace de 192.168.0.1.
Tengo usuarios que VPN en nuestro firewall que luego esencialmente los agrega a la red.
Sin embargo, si su enrutador doméstico tiene una dirección IP de 192.168.0.1, por supuesto, tenemos todo tipo de problemas.
Entonces, ¿cuál es la configuración de dirección de red ideal para evitar esto? He visto configuraciones donde los usuarios remotos tienen direcciones de enrutador en el rango 10.x, así que no estoy seguro de qué puedo hacer para evitar esto.
Cualquier comentario muy bienvenido!
networking
vpn
ip
Juan
fuente
fuente
Lo mejor que puede hacer es usar un rango para la red a la que le da acceso vpn, que espera que ninguno de sus usuarios use. Hay una buena posibilidad de que muchos de sus usuarios no hayan cambiado que sus enrutadores usen 192.168.0.0/24 o 192.168.1.0/24 (los dos rangos que he visto más en equipos de consumo), si tiene una idea de algunos quién podría haber elegido usar un rango diferente, pregúnteles qué usan, pero los usuarios que lo hayan hecho también sabrán cómo cambiar la configuración de su propio enrutador para evitar el conflicto.
fuente
Nunca puede estar 100% seguro, pero puede minimizar el riesgo al evitar usar las mismas subredes que todos los demás.
Evitaría usar las subredes en la parte inferior de los bloques, ya que muchas personas comienzan a numerar sus redes desde el comienzo de un bloque.
En mi opinión, su apuesta más segura para evitar conflictos es utilizar una subred en algún lugar en el medio del bloque 172.16.0.0/12. Nunca he visto un enrutador doméstico preconfigurado con una subred de ese bloque.
Una subred aleatoria de 10.0.0.0/8 también es relativamente segura, pero una vez utilicé un enrutador doméstico que asignó todo el 10.0.0.0/8 a la LAN de forma predeterminada y solo permitía máscaras que coincidían con el valor predeterminado con clase.
192.168 es el más vulnerable a los conflictos porque es un bloque relativamente pequeño y se usa ampliamente en los enrutadores domésticos.
fuente
Para evitar todos los problemas mencionados anteriormente, definitivamente elegiría un rango de IP en el rango 172.16.nn o 10.nnn. Por ejemplo, en el archivo de configuración del servidor para el servidor VPN, asignaría un rango de dirección IP de digamos 10.66.77.0, con la máscara 255.255.255.0: el servidor VPN tomará 10.66.77.1, cada cliente VPN obtendrá el siguiente IP libre por encima de esto. Funciona para mí, no hay conflictos por conexiones que usan enrutadores 'domésticos', que están principalmente en el rango 192.168.nn.
fuente
Esto es un poco desconcertante para mí porque en la mayoría de los entornos que he encontrado para que los usuarios remotos tengan acceso VPN, el administrador debe tener control / administración sobre la conexión de los usuarios para garantizar que la red permanezca segura. Eso significa acceso administrativo, control, etc. de conectar máquinas y usuarios. Esto significa que el administrador puede controlar el rango de direcciones IP, lo que significa que las posibilidades de lo que está describiendo son básicamente imposibles.
Dicho esto, su solución parece viable pero muy difícil con respecto al uso de diferentes rangos de IP.
Una opción es crear una secuencia de comandos que ejecute en los sistemas de conexión para sobrescribir las tablas de enrutamiento para reducir las posibilidades de un posible conflicto (soy consciente de que ciertas soluciones VPN pueden hacerlo). Efectivamente, la configuración de la red organizacional tendrá prioridad sobre la configuración de la red local.
/unix/263678/openvpn-understand-the-routing-table-how-to-route-only-the-traffic-to-a-spec
El cliente openvpn anula la puerta de enlace predeterminada para vpn sever
Esto lleva a otras posibilidades. Suponiendo que los usuarios no se conectan directamente a las direcciones IP, puede modificar las configuraciones de DNS / entradas de archivos host para que técnicamente anulen la configuración de red local existente.
https://hostsfileeditor.codeplex.com/
https://support.rackspace.com/how-to/modify-your-hosts-file/
Otra forma es cambiar la configuración de su organización para tener una red troncal de direcciones IP menos común. Dado que tiene acceso administrativo, debería poder hacerlo de manera rápida y fácil (aunque desde entonces he leído otro comentario que pone en juego el problema de IPv6).
Obviamente, necesitará cambiar el tipo de configuración de VPN que tiene para darle algunas de las opciones que describo anteriormente si aún no las tiene.
fuente