Home Sign Up Sign In
dot

知道运营商为啥不给你公网 IP？为了保护你啊！

  •   
  •   dot · May 14, 2017 · 18751 views
    This topic created in 3459 days ago, the information mentioned may be changed or developed.
    看看这次 WannaCry 的传播方式~

    如果不是运营商把你深深地藏在多少级 NAT 里面，你会逃得过吗？直连公网那分分钟就是死啊~

    嗯，我们应该对运营商心怀感恩才对。

    Supplement 1  ·  May 15, 2017
    有点激动的童鞋们，要有幽默感嘛……
  • 公网
  • 运营商
  • wannacry
  • NAT
    73 replies  •  2017-05-16 16:29:57 +08:00
    yexm0
    yexm0
    May 14, 2017 via Android❤️1
    1
    这次 ga，石油，校园大规模中招就是通过内网散播造成的。而家庭用户可没中招。
    ys0290
    ys0290
    May 14, 2017 via iPhone❤️2
    2
    感恩的是 445 端口封了，关内网啥事
    bazingaterry
    bazingaterry
    May 14, 2017
    3
    就算是公网也有路由器挡着啊，楼主应该担心 IPv6 普及之后的情况……
    leavic
    leavic
    May 14, 2017 via iPhone❤️1
    4
    @bazingaterry 学校网络很多都是电脑直接就分配到公网 IP 的，一个实验室活生生一个数据中心。
    imn1
    imn1
    May 14, 2017❤️10
    5
    关进监狱可以避免更多受害可能
    mytsing520
    mytsing520
    PRO
    May 14, 2017
    6
    @yexm0 你说的这些客户大部分可没有 NAT 设备
    mandymak
    mandymak
    May 14, 2017
    7
    我在想主要不是运营商保护了家庭用户，主要是家庭用户大多是用路由器。试想想如果家庭用户多是用电脑直接拨号的话，而同运营商 NAT 内网中有用户的电脑中了此病毒，其他用户不也同样遭殃吗？
    Liqianyu
    Liqianyu
    May 14, 2017
    8
    NAT≠CGN
    sbbeta
    sbbeta
    May 14, 2017 via Android
    9
    @mandymak 不知道运营商大内网会不会也屏蔽 80-443 这样的端口，哈哈
    kalsir
    kalsir
    May 14, 2017 via iPhone
    10
    得了吧，即便给你公网 ip 也大概率不会染到家庭用户，只要你不随便点链接，因为大多数家里都会安装路由器，外面请求到不了 pc 的 445。反而是学校医院等大局域网，一万个人只要有一个人点了病毒链接就会迅速在局域网中散开。
    mandymak
    mandymak
    May 14, 2017
    11
    @sbbeta 没测过，因为手上宽带全是公网 IP。
    dot
    dot
    OP
    May 14, 2017
    12
    @bazingaterry 貌似很多高校，IPv6 都是一机一 IP 直连公网的……
    dot
    dot
    OP
    May 14, 2017
    13
    @imn1 已经在大移动的监狱里面关着了
    dot
    dot
    OP
    May 14, 2017
    14
    @mandymak 运营商的本意当然不是为了保护用户……是为了省 IP ……至于你说的路由器，当然现在很多人都用，也有那种光猫桥接直接拨号的，什么都有的啦~ 不过貌似运营商内部 NAT 有做端口隔离吧~ 我还没扫到过其它 IP 有响应的……回家试试~
    dot
    dot
    OP
    May 14, 2017
    15
    @Gothack 自己搞的 NAT 也是 NAT ……光猫桥接直连拨号的客户也是有的，还有 DMZ 的，那种分分钟就挂掉了嘛~
    jasontse
    jasontse
    May 14, 2017 via Android
    16
    @Liqianyu CGN 全称 Carrier-grade NAT
    skyeycirno
    skyeycirno
    May 14, 2017
    17
    三巨头是因为封锁了 445 端口，不是因为 NAT 啊
    bilok
    bilok
    May 14, 2017 via iPhone
    18
    封锁 80 445 端口本意是为保护用户？醒醒
    965380535
    965380535
    May 14, 2017
    19
    楼主是调侃 还是当真了？ 没有公网 ip 大搞 nat 是 ip 不够了 封掉 80 端口是防止用于提供网站服务
    ouqihang
    ouqihang
    May 14, 2017 via Android
    20
    公网地址也可以隔离，指定某个网段才能直接访问。
    kooze
    kooze
    May 14, 2017
    21
    脑子是个好东西
    ksmter
    ksmter
    May 14, 2017
    22
    吓得我赶紧把 DMZ 给关了，虽然理论上 win10 1703 不受影响。。
    zoues
    zoues
    May 14, 2017 via iPhone
    23
    @sbbeta 80 屏蔽是脑子瓦塔了啊
    LGA1150
    LGA1150
    May 14, 2017
    24
    就算是公网 IP 也能通过 255.255.255.255 掩码并在网关处限制子网 IP 间通信来解决
    mooncakejs
    mooncakejs
    May 14, 2017
    25
    公网 ip 本来就不够用，凭什么必须给你?
    yhxx
    yhxx
    May 14, 2017
    26
    封 445 应该确实是为了安全

    至于封 80.。。。。
    LCD
    LCD
    May 14, 2017 via Android
    27
    @dot 确实
    chinawrj
    chinawrj
    May 14, 2017
    28
    @bazingaterry IPV6 普及之后更没这个问题。
    onion83
    onion83
    May 14, 2017
    29
    封 80 为了保护你们的路由器啊（笑
    awss
    awss
    May 14, 2017
    30
    嗯，我们也应该感谢 gfw，让我们免受帝国主义的毒害。。。。
    JenghongLee
    JenghongLee
    May 14, 2017 via iPhone❤️1
    31
    楼主想感恩运营商 NAT 那就感恩去吧。三大运营商公网都是屏蔽了 445 端口的你知道嘛。最主要还不是为了省钱不普及 IP v6。
    liliang13
    liliang13
    PRO
    May 14, 2017❤️1
    32
    记得当年，很流行扫描开放了 80 端口的 ADSL 猫，用弱密码登录后获取宽带账号密码去电信互联星空充值 Q 币。
    这是既有公网 IP，又开放了 80 端口
    expy
    expy
    May 14, 2017
    33
    nat 主要解决 ip 不够的问题吧，虽然事实上起到了保护作用。
    坏处是各种 p2p 软件不能完全正常工作，想从外面连回家也是各种蛋疼。
    sgissb1
    sgissb1
    May 14, 2017❤️1
    34
    lz 你这嘲讽的不对，如果运营商给内网 ip，然后又没有做 vlan 隔离的话，那么更严重，因为所有的 pppoe 终端都在同一个 vlan，不仅可以互通。。。。还可以互相访问 smb。

    如果做了 vlan 隔离，那么就和给了公网 ip 可能是一样的。甚至更牛逼。我说的 vlan 不是一个很准确的意思，取决于运营商做网络规划和配置的那群人的智商水平。

    有些连 vlan 是啥都不知道，全部都在一个 vlan 里。有些比较狠，每一个用户的内 ip 不仅是一个 host 地址而且每个 host 之间不能互通。。。。。

    我也遇到过很多种内分内网 ip 的，哥们还是别笑在前面为妙。。。。。
    sgissb1
    sgissb1
    May 14, 2017
    35
    @bilok 封 80 和 445 其实本意不是保护，只是间接达到效果。更多用意估计和方校长的那个玩意差不多。
    rrfeng
    rrfeng
    May 14, 2017
    36
    这个事跟运营商半毛钱关系没有，只是恰好封了一些端口，避免了大规模传播。

    不给公网 IP 那是真没的用了，你起服务架网站的时候发现 80 不通别骂运营商啊。IPv6 之后不给公网 IP 你看看。

    我觉得怕的事，这个事被拿来教育我们：你看不能给用户公网 IP，就要用 NAT，不能用 IPv6 这样全暴露了而推迟新技术的发展。
    windfarer
    windfarer
    May 14, 2017
    37
    封 80 是为了保护你们的水表
    bilok
    bilok
    May 14, 2017 via iPhone
    38
    @sgissb1 仔细看看我的回复吧
    liaoyaoheng
    liaoyaoheng
    May 14, 2017
    39
    @bazingaterry 请教，adsl 公网，通过路由器的 windows 就不会感染？
    liaoyaoheng
    liaoyaoheng
    May 14, 2017
    40
    @Gothack 路由开启 “禁止来自 wan 口的 ping ”就不会感染？
    mingyun
    mingyun
    May 14, 2017
    41
    赞同 2 楼
    hohi2015
    hohi2015
    May 14, 2017
    42
    我差点就信了
    xPKK1qofAr6RR09O
    xPKK1qofAr6RR09O
    May 14, 2017 via iPhone
    43
    @liaoyaoheng 我认为，不管什么网络，只要没动 windows 自带防火墙，网络类型选择公用，就不会感染
    kalsir
    kalsir
    May 15, 2017 via iPhone
    44
    @liaoyaoheng 跟这个没关系，只要有一层 nat 就没事
    freestyle
    freestyle
    May 15, 2017 via iPhone
    45
    明明是 ipv4 不够用...
    bazingaterry
    bazingaterry
    May 15, 2017 via iPhone
    46
    @liaoyaoheng 只要你没开 DMZ，内网没有机器被感染，就不用害怕。
    JJaicmkmy
    JJaicmkmy
    May 15, 2017
    47
    然而 445 端口被封真的给我带来了很多麻烦，让我不得不用 VPN 访问家里的 NAS。
    msg7086
    msg7086
    May 15, 2017
    48
    说得好像直连公网的运营商就没办法做保护了一样。
    axzy
    axzy
    May 15, 2017
    49
    然而是公网 IP 资源短缺，IP4 情况下，每个人都有独立 IP，铁定是不够用的
    zscself
    zscself
    May 15, 2017
    50
    感觉 LZ 就是顺势讽刺一波运营商的大内网
    YvesX
    YvesX
    May 15, 2017 via iPhone
    51
    缺乏幽默感的人有点多啊……
    kghch
    kghch
    May 15, 2017
    52
    LZ 大概会被一些楼层蠢哭，明明就想说个玩笑的
    stormpeach
    stormpeach
    May 15, 2017
    53
    教育网一打一个准。。。关键是你敢不敢。。。
    Khlieb
    Khlieb
    May 15, 2017
    54
    将来赵家人建设 gfw 又多了个口实
    redsonic
    redsonic
    May 15, 2017
    55
    家用的都让路由器挡下来了。另外好像这次的病毒仅通过扫描内网传播？ 并且如果支持 ipv6 呢？ 很多光猫根本没有内置 ip6tables，如果用户终端启用 ipv6 且关闭自带防火墙、杀毒、防护软件就等于真裸奔，连码都不打。

    @sbbeta 他们内网端口是白名单制。
    @ys0290 其实与你相邻的几个段都没封，我这的区承包商都能告诉你哪些封了哪些没封。
    dot
    dot
    OP
    May 15, 2017
    56
    @zscself #50
    @YvesX #51
    @kghch #52

    还是你们懂我啊……~~
    dot
    dot
    OP
    May 15, 2017
    57
    @zoues 封 80 是因为北岸的关系……不允许私搭乱建个人网站。
    dot
    dot
    OP
    May 15, 2017
    58
    @sgissb1 内网隔离的方法就很多了，VLAN 是一个，划子网是一个，光猫 NAT 是一个……所以这只是嘲讽一下啦，不是认真要讨论 NAT 这个事情。

    @liaoyaoheng
    通过路由器的 ADSL，只能从内攻破，外面进不来的，放心好了。

    @hohi2015
    哈哈哈哈，还好你没信~
    swulling
    swulling
    May 15, 2017
    59
    @Gothack 本次漏洞不需要点链接，直接远程感染
    dot
    dot
    OP
    May 15, 2017
    60
    @swulling 身处路由器保护之下的，是不需要担心的~
    liaoyaoheng
    liaoyaoheng
    May 15, 2017
    61
    @dot 想请教下，ADSL 下透过无漏洞的路由器连接网络，不开 DMZ 等映射，所有的来自网络的远程攻击都不会感染到路由器下的客户端（ windows 安卓 ios 等）？

    谢
    dot
    dot
    OP
    May 15, 2017❤️1
    62
    @liaoyaoheng
    如果路由器没问题的话，你的内网是安全的。路由的 NAT 可以帮助你抵挡一些外界主动发起的攻击。

    但是如果你要跟外界通信的话，来自网络的攻击有多种多样的~
    可以劫持进出你路由的数据包嘛，可以劫持你的 DNS 查询请求嘛~ 运营商插入广告不就是这么干的么。
    如果它劫持你的数据跳转的是一个带毒的网页呢？那你内网的设备不就被攻破了~

    所以，还是有风险的。
    liaoyaoheng
    liaoyaoheng
    May 15, 2017
    63
    @dot 其实很好奇带毒的网页，用 chrome，firefox，edge 最新版，其实觉得并不会中毒，毕竟都在沙盘内难以攻破。
    txydhr
    txydhr
    May 16, 2017 via iPhone
    64
    这病毒不是主要危害局域网的么？家庭用户本来就对这病毒无所谓吧，这病毒只能 windows 传 windows 所以中招的都是大型局域网，少则 5 台左右多则上百台 windows，而且长期开机。。。收发邮件，文件共享都是容易中招的高风险行为，其中有个小白中招直接团灭。。还是安全意识的问题，多少公司不打补丁，有公司就关闭垃圾邮件病毒邮件扫描，说怕漏了邮件。。。
    家庭用户现在一般就一两台电脑，而且在 nat 后面，只要自己不去下载奇怪的邮件，不会中招。在家玩游戏，看视频都是低风险行为，个人邮箱 qq、gmail 都自带病毒扫描。。。剩下的都是手机平板。。
    另外虽然 ipv6 没有 nat 了，但是一般家用路由器默认 block all incoming ipv6 traffic，效果和 nat 一样。。
    txydhr
    txydhr
    May 16, 2017 via iPhone
    65
    @liaoyaoheng 下载下来的文件就不在沙盒了
    raysonx
    raysonx
    May 16, 2017 via iPad
    66
    IPv6 因为地址空间大，如果主机地址够随机，很难去对网段进行扫描
    QQ2171775959
    QQ2171775959
    May 16, 2017
    67
    做好了防范的话，公网 IP 也是没有多大的问题，运营不给你们家用公司 IP，是为了节约成本考虑的。并非你说的那么伟大的。
    julyclyde
    julyclyde
    May 16, 2017
    68
    这个没啥用，其它宽带客户会感染你的
    只有“少量机器在 nat 后面”才有保护效果
    dot
    dot
    OP
    May 16, 2017
    69
    @liaoyaoheng 沙盒还不是会被破，你以为每年那么多不同的黑客大会都在干什么？
    dot
    dot
    OP
    May 16, 2017
    70
    @txydhr 这个病毒主要危害的是，存在 ETERNAL BLUE 漏洞并且开放了 445 端口的 Windows 用户。
    所以，要中毒得满足两个个条件：
    1. 445 开放
    2. 有 ETERNAL BLUE 漏洞
    缺一不可，就是光开放 445 但是打过补丁的话，也是没戏的~

    而且那些装了 360，电脑管家什么的，3 月份补丁就打过了……
    所以其实目前身边还没见到中毒的。
    dot
    dot
    OP
    May 16, 2017
    71
    @QQ2171775959
    这个大家都是心知肚明的，IPV4 确实紧张，新晋运营商手上也没几个 B 段，自然舍不得放出来给家庭客户。

    对，我说的就是 CMCC。
    dot
    dot
    OP
    May 16, 2017
    72
    @julyclyde 这个要看了，如果家家都装了路由器，基本上一个 VLAN 或者一个 LAN 里面也影响不大。
    huobazi
    huobazi
    May 16, 2017
    73
    我上学时宿舍电脑直接教育网公网 IP
    About   ·   Help   ·   Advertise   ·   Blog   ·   API   ·   FAQ   ·   Privacy   ·   Solana   ·   1561 Online   Highest 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 105ms · UTC 23:04 · PVG 07:04 · LAX 15:04 · JFK 18:04
    ♥ Do have faith in what you're doing.