在内部使用非私有IP地址的风险？

我公司已收到一台大型工业机器，上面有许多联网设备。不幸的是，负责工程师使用了机器上的公共IP地址范围。我在欧洲。所选地址范围属于一家美国公司。假设它是143.166.0.0（实际上属于Dell）。

假设我暂时不将机器连接到我们公司的LAN，但是我确实将便携式计算机连接到它来对设备进行编程-例如143.166.0.1。还要说，我的笔记本电脑无线网络适配器已连接到公司LAN，因此也已连接到Internet。现在，我有两个通往共享地址的设备的两条可能路线。我想要的本地地址和Dell地址。

我的问题是：“我应该如何担心？” 在这种情况下会发生什么？我的猜测是本地计算机将首先响应，并且我可能会摆脱它，但最终我会被咬住。顺便说一句，我在其他计算机上也看到了公共IP地址。工程师似乎不了解私有地址，或者不希望他们的机器连接到更广阔的世界。

有任何想法/意见吗？（不涉及对机械工程师的暴力行为）？

结语

我们发现了一个有趣的问题，迫使我们将IP地址更改为私有。

• 使用ActiveX组件通过Internet Explorer对机器上的设备之一进行编程。该设备将尝试将数据推送到ActiveX“监听器”（而不是从远程服务器请求数据的通常的浏览器模式）。
• 我们的Active Directory配置在登录时将安全策略下载到我们的计算机上。该策略中包括受信任站点的列表。这些包括：
  • 批准的公司地址。
  • 各种外部地址，例如我们的银行。
  • 专用地址192.168.0.0/16、172.16.0.0/20和10.0.0.0/24。
  • 其他所有内容均被阻止。
• 由于安全策略的原因，ActiveX组件从未收到任何数据，因为安全策略阻止了传入流量！

这迫使我让供应商将地址更改为172.16.0.0。我会睡得更香。

感谢您的关注。

简短答案：复制分配的公共地址是一个坏主意。

稍长一点的答案：暂时不考虑路由问题，不能安全地假设您永远不需要从直接连接的电缆之外的其他地方到达此计算机，或者公共或私有地址分配是静态的并且永远不会改变。

远程访问问题很明显：全球Internet认为143.166 / 16在一个地方，而您希望它在另一个地方。路由器不会进入您的计算机。

所有权可能会改变。即使未将该地址分配给Dell，将来也可以将其分配给他们。戴尔今天确实有此地址，但明天可能会有其他人使用不同的路线。谁知道？您的组织甚至可能会购买该地址块，并进行更多的路由冒险。

底线：不要假设重复的IP可以永远被安全地隔离。

至于路由，有线接口将首选本地地址，而不是戴尔的本地地址。您的有线接口将发送针对该地址的ARP请求，并直接从工业机器获取它，而无需网关。此后，发往该地址的数据包将使用工业机器的目标MAC地址。

只要您仅使用电缆进行访问，并且只要您永远不需要从其他地方访问此计算机，并且只要全局路由表保持静态，这就可以正常工作。

太多了。最好使用唯一的公共地址或私有地址池之外的地址来避免此问题。

唯一的问题将是无法与具有这些地址的真实（互联网）计算机通信。当然，您可以在网络和此设备之间放置防火墙（“ nat box”），以使其看起来像是网络的私有地址。

由于人们很懒惰并出于自己的目的使用“未分配的”地址，这种情况在世界各地流行了很多年。现在他们被分配了，这带来了一个小问题。

[编辑：为记录起见，我从未对家庭网络进行重新编号。但我不太可能需要与现在拥有该地址空间的人们交谈。15年，而且还在增加...]

我的问题是：“我应该如何担心？” 在这种情况下会发生什么？我的猜测是本地计算机将首先响应，并且我可能会摆脱它，但最终我会被咬。

附带说明，这与谁先回答无关。如果您在同一子网中为计算机提供一个地址，则流量将直接流向计算机，而不涉及路由器。

即使您要使用路由，在网络中某些内部路由器上输入到143.166.0.0/16的路由，他们也会比使用（默认？）到Internet的路由更喜欢此路由。发生这种情况是因为首选“最长前缀匹配”。选择最具体的路线。

如果您在内部路由器中安装了该路由，则对于您或您的网络将无法访问Internet的143.166.0.0/16部分，这是您对最终结果的正确估计。对于此问题，/ 16似乎有点大，您路由到的子网越小，被咬的机会就越小。

下面是我编辑过的答案-最初并没有得到它不是“拥有” IP空间，而是别人的空间。

只要是您的 空间，都没关系。IP地址是IP地址。您的应用程序不知道什么是私有的，什么是公共的。如果有空间，您甚至可能拥有一些“内部”子网和“外部”可访问子网-可以通过常规的路由控件，防火墙等进行控制。

内部的所有公共空间意味着您不必担心NAT进出网络的麻烦。

如果不是您自己的IP空间，而是别人的IP空间，那么从技术上讲它可以工作。但是，如果不付出很多额外的精力和配置，您将永远无法到达他们的空间-例如隧道，NAT或双NAT，或更具体的路由。最好建议以书面形式重新命名您的网络，并详细说明如何做，如何管理等。以书面形式获得它，那么如果有任何问题，您可以拔出“我告诉过您，因此电子邮件”。

以下的否决票来自我的原始答案，在该答案中我误解了问题。

感谢大家。