家用拨号上网被NAT,Ping同网段其他IP都不通(确认在线),这是使用了什么隔离技术?
无论是家庭局域网的无线连接、有线连接,还是很企业网里的无线连接、有线连接,都不会隔离(屏蔽)同一个广播域(相同网段)主机之间的通信。一般情况下,主机之间的通信不会有任何障碍。
但是,由于主机的操作系统会自带防火墙功能,而防火墙的默认安全策略,是这样规定的:
假设这是Bob的主机,Alice 尝试去PingBob的主机,Alice就无法Ping通Bob的主机,Bob的防火墙不允许来自Alice的Ping报文进入。对于Bob主机来说,来自于Alice的Ping报文不是Bob主动发起的!
解决这个问题很简单,只要点击图中防火墙开关,将防火墙功能关闭,Alice就可以Ping通Bob的主机了。这种操作只是为了临时排错所用,排错结束还是要即时将防火墙打开。
但是防火墙功能,别的主机不仅没有办法Ping通你的主机,而且还无法访问你的共享文件夹,怎么找到一个两全其美的方案呢?
白名单(White List)
可以在防火墙的配置界面上明确允许来自外部主机的主动连接,比如明确允许共享文件服务可以被外部主机访问,可以这么来设置:
- 允许主机主动发起的连接,即允许和该连接相关的出向、返回报文(Outgoing / IncomingPacket)通行。
- 拒绝外部主机主动发起的连接,拒绝和该连接相关的入向报文(Incoming Packet)通行。
- 以上限制不仅适用于TCP,还适用于UDP、ICMP等其它传输层协议。
![6464091f711aabc47423712ad5f4c5b2.png](https://i-blog.csdnimg.cn/blog_migrate/53defce1bfb9efab2d493ec1fb9336ba.png)
- 允许SMB服务(TCP 445端口)的外部传入请求
- 允许SSH服务(TCP 22端口)的外部传入请求