主页 / server / 问题 / 44250
Accepted
Robert MacLean
Asked: 2009-07-23 12:05:48 +0800 CST

多宿主网络的问题有多严重？

  • 772

多宿主是我听说过的一个术语，它指的是在连接到 LAN 的同时通过无线连接等方式连接到 Internet。

我听说这非常严重，以至于我听说过的某些大公司将其定为可立即解雇的罪行。

解释的方式是，Joe Hacker 将通过 Internet 连接破坏机器，然后访问 LAN。

我的问题是，

  1. 这真的是一个巨大的安全漏洞吗？
  2. 这与连接到 VPN 有何不同（如果有）？那不是一回事吗。
  3. 这与同时连接到 LAN 和公共无线网络有何不同（如果有）？
  4. 对于连接到 LAN 和无线连接以及 VPN 场景，您如何保护？
vpn networking security wifi multi-homed

4 个回答

  1. Best Answer

    1. Massive 值得商榷，但这是一个安全问题。您的笔记本电脑（在这种情况下）直接连接到 Internet和LAN，而没有任何企业防火墙措施来保护其中一台。

    2. VPN 是一种加密会话，为外部机器提供对内部资源的访问。在许多方面，表面上类似，受感染的 PC 仍可能导致 LAN 出现问题，但在这种情况下，流量正在通过公司设备（VPN 服务器、防火墙等）传输，这些设备通常受到监控并且可以进一步保护通过入侵检测和其他可以将风险降至最低的服务。相比之下，在您的示例中，PC 是入侵者和 LAN 之间的唯一设备。

    3. 我不确定这里的区别，因为“公共无线网络”对我来说通常意味着“互联网”。但同样如此，PC 充当了网络之间的桥梁，它并没有被保护或为此目的而设计。

    4. 从不安全的机器进行远程访问始终是安全的挑战。这就是为什么许多公司机器都配备了像 Symantec Endpoint Security 这样的防火墙软件，并且需要通过批准的方法 (VPN) 访问 LAN，这些方法通过入侵保护、病毒扫描和其他安全机制进一步保护。

    • 6

  2. 从本质上讲，它通过入站连接或出站连接或两者兼而有之，绕过公司实施的安全措施。其中一些安全措施包括限制员工访问互联网。因此，在出站连接上设置的防火墙周围完全可以使用另一个无线连接。这不仅让员工可以在公司时间打发时间，而且还可能通过受感染的网站将病毒引入内部网络。

    或者，它可以为黑客提供进入公司网络的直接路由，他们可以从中发起攻击。过去也发生过类似的问题，有人在没有询问 IT 部门的情况下设置了自己的调制解调器以拨号访问公司。攻击者随后能够完全访问内部网络。这有点像 Helm's Deep 的堡垒。当有人通过它挖一个洞来排水时，拥有 17 英尺厚的石墙并不重要。

    • 4

  3. 多宿主同时连接到两个不同的网络连接。比如两张网卡。但是，安全问题不仅限于此，例如您所描述的通过单个物理连接建立隧道的附加​​虚拟网络连接。

    网络安全专业人员认真对待这些配置，因为它增加了他们试图防御的网络的攻击面。当您在公司内部网和公共互联网之间架起一个工作站时（通过类似 ClearWire 调制解调器的东西），它确实绕过了所有公司保护措施，而您的机器是唯一介于两者之间的东西。因此，安全管理人员必须重视它。

    1. 这真的是一个巨大的安全漏洞吗？相当大，是的，尽管如果管理得当，它可以得到缓解。关键是管理它。Rogue ClearWire 调制解调器或 3G 网络加密狗不符合“托管”条件，因此会招致最高处罚。
    2. 这与连接到 VPN 有何不同（如果有）？那不是一回事吗？如果 VPN 由公司管理，他们可以在该 VPN 上制定标准以确保流量得到管理。或者如果不是，至少能够判断哪个用户对设法通过的不良流量负责。另一方面，如果 VPN 是您以某种方式运行到您的家庭网络的 VPN，那将被视为“非托管”，并将被视为 #1。即使您的家庭网络有防火墙，六也是从周日开始的。
    3. 这与同时连接到 LAN 和公共无线网络有何不同（如果有）？就安全管理人员而言，就风险管理而言，与 Internet 的某个未识别的远程部分建立 VPN 连接并连接到公共无线网络是完全相同的事情。
    4. 你如何保护它？这是一场猫捉老鼠的游戏。为了防止 VPN 连接出站，防火墙被配置为尝试阻止类似 VPN 的流量。为了防止无线连接，资产清单和网络访问控制软件可以识别网络连接数超过授权的工作站，这将触发所需的任何操作。用户很狡猾，并且会找到绕过大多数网络访问控制的方法（现在几乎任何东西都可以通过 HTTP 进行隧道传输），所以这个游戏在不断发展。

    要记住的是，从安全经理的角度来看，在风险方面，VPN 到您的家庭网络、与楼下星巴克的无线连接或互联网上裸露的 ClearWire 调制解调器之间没有真正的区别. 每一种都有不同程度的风险，但不可能真正自动区分它们。因此，每个都必须被视为远程连接指向裸互联网。

    • 4

  4. 我从未听说过在这种情况下使用多宿主。多宿主通常意味着一台机器通过多个适配器卡进入两个或多个网络。

    您所描述的是登录到局域网时的互联网浏览。尽管这样做存在风险，但风险与您是否同时进行这些风险几乎没有关系。

    您可以采取许多措施来减轻这些风险。这是一个巨大的安全漏洞吗？有可能。

    如果您使用拆分隧道，我想您可以考虑将 vpn 连接为“多宿主”。

    编辑添加

    例如，从多宿主防火墙进行网上冲浪并不是最好的主意。

    • 0

相关问题