具有多个 NIC 的 Windows 的路由问题

Question

这会变得有点技术性和枯燥，抱歉。

这是因为主机模型在现代操作系统中设计。能改变，但应该仔细考虑。稍后会详细介绍。

什么？

“主机模型”是一种设计 TCP/IP 堆栈内部的方法。例如，当单播数据包到达主机时，IP(-Stack) 必须首先确定该数据包是否是本地目的地。如果 IP 堆栈是用弱宿主模型，它接受任何本地目的地的数据包，而不管接收该数据包的网络接口是什么。

但如果 IP 堆栈是通过强宿主模型，只有当数据包中的目标地址与接收数据包的 NIC 分配的 IP 地址匹配时，它才会接受数据包。从技术上讲，更多的正确的。

这弱宿主模型提供（自然而言）“更好”的网络连接。例如，很容易找到到达主机的数据包或很容易将数据包发送到本地绑定网络。但它也使主机很容易受到基于多宿主的网络攻击。

在许多配置中，当系统运行弱主机模型并连接到 VPN 时，同一子网上的其他系统能够破坏 VPN 连接的安全性。运行强主机模型的 IP-Stack 在设计上可以抵御此类攻击。

Vista 之前的 Windows 中的 IP (v4) 实现使用弱主机模型。过去的美好时光。Vista 和 2008 TCP/IP 堆栈默认更改为 IPv4 和 IPv6 的强主机模型。稍后将详细介绍如何回到过去。

Linux 中的 IPv4 实现默认为弱主机模型。个人说明：据我所知，这主要是因为向后兼容性和“当您需要更多安全性时，只需启用它”的理念（某些发行版也默认启用强模型）。

反向路径的源验证在RFC 1812并且arp_ignore可以arp_announce用来调整内核的行为。

现在是写关于分离以及为什么这对于网络数据包来说是个好主意的有趣时机——因为它们都是平等创建的。在过去，将管理流量与生产流量分开是一个非常好的想法，现在仍然是。弱主机模型的问题在于，同一网段上的任何人都可能从您（大多数）宽松的管理流量安全规则中受益。

因此，今天人们更加注重如何“正确”地分离它（HOST 流量与 GUEST 流量）或流量角色（BBMC 与 OS 流量），以及——最重要的是——强大而安全的身份验证。

可以通过命令行禁用弱主机模型：

netsh interface ipv4 set interface [INDEX] weakhostsend=enabled

netsh interface ipv4 set interface [INDEX] weakhostreceive=enabled

Answer 1