Может ли клиент, подключенный к сети, изменить свою подсеть, чтобы избежать фильтрации IP через маршрутизатор?

Question

Интернет-протокол на самом деле не моя сильная сторона, но недавно мне сказали настроить сеть на моем новом рабочем месте. Я подключил четыре маршрутизатора и подключил их к одной сети.

У меня есть две три основные подсети в моей сети:

1. 172.16.0.xxx (используется для неограниченного доступа к сети для серверов в серверной комнате)
2. 172.16.208.xxx (используется для всех остальных клиентов и заставляет весь трафик проходить через прокси-сервер)
3. 172.16.218.xxx (используется гостями и будет перенаправлять на страницу входа в сеть, чтобы предложить пользователю войти)

Сеть работает нормально, я не нашел способа, чтобы трафик мог обойти прокси-сервер в подсети 172.16.208.xxx, плюс я убедился, что в 208.xxx нет двух клиентов, способных общаться друг с другом. и 218.xxx подсеть. Однако может ли клиент вручную изменить свои настройки на своем ПК, чтобы ему был назначен IP-адрес 172.16.0.xxx и он мог без ограничений просматривать Интернет-страницы? Если так, как это можно сделать?

РЕДАКТИРОВАТЬ: Для тех, кто хочет знать, как настроена сеть,

Каждый из четырех маршрутизаторов расположен в каждой комнате для совещаний, и у каждого из них по одному длинному кабелю локальной сети, соединяющемуся с центральным 8-портовым концентратором Ethernet. Каждый маршрутизатор настроен на широковещательную рассылку двух SSID: "Office_Main", "Office_Guest", а каждый SSID настроен на распределение IP-адресов «208.xxx» и «218.xxx» соответственно (все маршрутизаторы также были связаны с использованием необычной функции Wi-Fi). Все клиенты изолированы в точках доступа wifi, доступ в интернет запрещен, кроме прокси-сервера. Серверы напрямую подключены к локальной сети, которая имеет неограниченный доступ по сети.

Answer 1

Кажется, вы на правильном пути, с отдельным маршрутизатором для каждого раздела. Это не позволит пользователям подключаться к неограниченной сети, так как если они изменят свой IP-номер, им не будет предоставлен трафик, если только они не станут частью широковещательного домена 172.16.0. *.

Однако, как говорили люди, хитрый пользователь может обойти эти разделы, что позволит ему свободно перемещаться. Программное обеспечение может быть установлено в сети 172.16.0. *, Которая случайно открывает его, или, возможно, его придется открывать преднамеренно ограниченным образом, чтобы удовлетворить требования бизнеса ... Итак, я советую вам настроить средства мониторинга трафика, такие как графики использования полосы пропускания / интерфейса (существует множество; MRTG - старенький, но хороший), и знать, как использовать средства регистрации и захвата пакетов вашего оборудования для проверки характеристик трафика, и иметь представление о том, как выглядит средний поток трафика, чтобы сравнить его с возможно ненормальным потоком трафика.

Кроме того, знают ли сотрудники, что они не должны использовать неограниченный Интернет на работе? Существует ли кадровая политика, которая запрещает «исследование» сети? Ваши боссы на борту с этими ограничениями? Как вы собираетесь обращаться с кем-то, кого вы можете обнаружить, используя сеть, неавторизованным способом?

Вопросы сетевой безопасности, такие как это, не столько вопрос «если», сколько вопрос «когда», и подготовка некоторых к казенной части, преднамеренной или случайной, делает событие гораздо менее мучительным.