为什么我可以 ping 192.168.1.0/24 子网中的 10.0.0.0/8 地址？

Question

为什么我可以 ping 192.168.1.0/24 子网中的 10.0.0.0/8 地址？

Rya*_*ham 30 networking routing ping ip ipv4

我的家庭网络使用192.168.1.0/24子网，当我ping 192.168.1.137收到说主机不可用的响应时（正如预期的那样，因为我没有任何机器使用该地址）

但是，当我ping 10.10.10.140这样做时：

得到回应，并且
永远持续下去。

我认为10.0.0.0/8都是保留地址，并且流向这些地址的任何类型的流量都被丢弃了。当我 ping 时，我在 ping10.10.10.140什么？是IANA服务器吗？

Answer 1

use*_*686 54

我认为 10.0.0.0/8 都是保留地址，并且流向这些地址的任何类型的流量都被丢弃了。

不。它确实是一个特殊范围，但保留它的目的与 192.168.0.0/16完全相同——它是用于 LAN 的私有地址块。（还有第三个块，172.16.0.0/12。请参阅IANA 注册。）

所有三个私有块都充当正常的单播地址，并且可以在本地路由，包括彼此之间——它们只是不能在全球互联网上路由。（实际上丢弃的是ISP 之间的流量和路由公告。）

所以很可能你正在 ping ISP 网络中的某个主机，他们决定使用 10.0.0.0/8。它可能是其内部网络上的设备，也可能是路由器本身的“管理”VLAN，或任何其他东西。

将 `traceroute`（Windows 上的 `tracert`）运行到 10.10.10.140 可能会填写一些细节。 (23认同)
它甚至可能是另一个消费者的地址（在同一个 CGN 后面）！他们确实应该对此设置防火墙，但是很多 ISP 都非常无能。 (11认同)
@grawity - 当您与其他 ISP 的客户交谈时，它会通过防火墙，因此如果您使用 IP 数据包尝试 Evil Stuff™，防火墙应阻止这些数据包。（当然，Evil Stuff™ 的定义取决于具体情况）。当您与 ISP 的其他客户交谈时，您不应获得*更多* 访问权限：这些对话也应通过防火墙。Kevin 似乎暗示的是，许多 ISP 不会在同一 CGN 后面的两个客户之间设置防火墙，因此您可能在这些连接上尝试的任何 Evil Stuff™ 都可以使用。 (4认同)
@rmunn：很好，但它不应将常规 ping 和 TCP 连接归类为 Evil Stuff™。即使当客户被置于 CGNAT 之后，他们家中仍然有_他们自己的_防火墙来阻止/允许常规的入站连接——ISP 应该没有必要全面禁止这些。 (4认同)
@Kevin 呃，他们为什么要仅仅因为他们现在都在 CGNAT 后面而将一个客户与另一个客户隔离开来？如果您可以与其他 ISP 的客户交谈，那么您应该能够与同一 ISP 的客户交谈。 (3认同)
@duct_tape：不，_total_ 范围始终相同。但在有类路由时代，192.168.0.0/16 最初被称为“一组 256 个 C 类网络”，由于是 C 类，这些网络中的每一个都是 /24。（同样适用于 172.16.0.0/12 是 16 个连续的 B 类网络块。）但是，当您接受培训时，该系统已经过时 ** 十年 ** - 现在更加过时。因此范围仍然相同，但不再称为“连续 256 个 /24s”，现在只是一个 /16 网络，可在任何级别进行子网划分。 (2认同)

Answer 2

Mic*_*icz 21

这是三种最可能的可能性：

您的 ISP 为其客户端分配10.0.0.0/8地址。您的家用路由器不够先进（也不需要）来限制向上路由私有块。
您在路由器和 ISP 之间有一个额外的路由设备，如电缆调制解调器，它通过10.0.0.0/8.
您10.0.0.0/8直接在您的计算机上托管或访问网络（即虚拟机网络或某些 VPN）。

最重要的问题是：你为什么要10.10.10.140专门ping ？此外，尝试访问流行的管理服务（HTTP、HTTPS、SSH 和 Telnet）可能会泄露设备身份和用途。

归档时间：	6 年，2 月前
查看次数：	8648 次
最近记录：	6 年，2 月前