可靠地确定可分配给路由器的IP地址范围


2

像我们许多ISP提供的家庭互联网服务一样,我的路由器/调制解调器动态分配了一个外部IP地址,通常在一个范围内。当路由器被重置时(例如,通过断电),路由器将协商来自ISP的不同IP地址上的新租约。

我从家连接到我有管理员权限的服务器。我想打开服务器上的防火墙,只打开可能分配给我家路由器的IP地址范围。

我怎样才能可靠地确定这个范围是什么?我假设如果我打电话,ISP将无法告诉我这些信息(因为政策可能不允许,或者工作人员不知道我在说什么)。

出于安全考虑,我也希望它是最小范围(或可能的范围)。


一边思考; 如果您的UPS上的调制解调器与计算机共享的相同,则可以通过租约可靠地保留相同的IP。
Psycogeek

Answers:


3

不要以为ISP的某个人无法告诉您这些信息。你可能是对的,但说实话,他们就是拥有这些信息的人。既然您可以从他们那里购买静态IP(即使您不想要),他们也是知情人士。

你无法可靠地缩小范围......真的。我的意思是,让我们把数字扔出去。例如...

如果您的IP地址有一天是69.79.10.230 ...谁说您的ISP只租用69.79.10.xxx供他们的客户使用。他们可以使用69.79.xxx.xxx,这意味着那里有超过65,000个地址。如果你监控你被分配到的地址......说......一周,谁能说这些是他们运营的唯一子网?你需要观看一个月吗?如果他们每6个月或每年轮换子网怎么办?这就是为什么我说你无法在狭窄范围内可靠猜测。

当然,这实际上取决于你如何定义“狭窄”和“可靠”的目的。

这就是为什么我说你应该抓住机会并致电你的ISP技术支持。告诉他们您需要什么以及您需要它的原因,并要求与二级技术人员或主管交谈。老实说,他们通常比你想象的更有支持性,特别是当他们告诉你不会让他们直接负责的事情时。它们对于如何设置路由器没有帮助(因为他们不想对他们不拥有的设备负责),但是为您提供可以预期IP地址来自的范围不是随着时间的推移你不会经历的事情。他们可能会拒绝你,但嘿......你永远都不会知道你是不是要问。


我知道它显然不那么安全,但在你的例子中打开69.xxx.xxx.xxx肯定比没有防火墙好。或者这太危险了?
数字地图

1
当然,打开“仅”到69.0.0.0范围总比没有好,但它是一个非常大的洞...
laurent

1
1600万地址洞,给予或采取...
Bon Gart

我同意Bon,联系他们的技术支持并要求2级或3级技术。1级技术人员不会知道你在谈论什么,但2级或3级技术人员最有可能。要持久。1级技术人员或多或少是前线咕噜声,他们中的大多数人会尽其所能让你尽快离开电话,继续要求2级或3级技术或要求主管将你转移到他们。由于您支付服务费用,我认为您获得支持是合理的。2/3级技术人员可以说最差的是否定的。
白凤凰

3

正如Bon Gart所说,您的ISP是唯一知道此信息的ISP,您不会因为可靠性而猜测它,这可能会随着时间的推移而改变。

无论如何,我不认为这是打开服务器防火墙连接到它的安全方式。根据您使用的操作系统,您希望在服务器上执行的操作以及可用的方式和内容,有更安全的方法可以连接到它。以下是一些想法:

  • 注册动态DNS提供程序(例如dynDNS或DNSExit)并仅将防火墙打开到分配给您的主机的主机地址(A指针)
  • 使用带有两侧ssl证书的VPN(例如openvpn
  • 使用SSH键,密钥和密码,但不仅仅是密码
  • 仅打开ssh(或其他)端口(使用ssh密钥)并对服务器上需要使用的端口建立加密隧道,以便连接到计算机上的本地端口
  • 在所有情况下,使用fail2ban或类似的东西在几次错误尝试后阻止IP

不幸的是,服务器是使用RRAS防火墙的Windows 2003。只能指定IP地址,因此基于DNS的好解决方案不起作用。而且我想限制VPN访问以及仅限于我的家用电脑 - 或者这是否过于安全。
数字地图

没有什么是过于安全的:)我认为但是VPN(如openvpn)每边都有1个加密密钥,并且服务器检查客户端是否有密钥在我看来是公平的安全性,主要是因为你自动禁止IP尝试不成功的连接。
劳伦特

使用DynDNS或FreeDNS之类的服务协商连接,使用服务器上的脚本在IP地址更改时正确设置DNS条目。然后,您可以正常设置安全性。
ChimneyImp
By using our site, you acknowledge that you have read and understand our Cookie Policy and Privacy Policy.
Licensed under cc by-sa 3.0 with attribution required.