ASP.NET Core如何判断请求来自内网还是VPN接入的外网用户？

可行的判断方式 #

• 基于IP地址段匹配
  内网通常使用私有IP段（如10.x.x.x、172.16.0.0-172.31.255.255、192.168.x.x），或者公司为VPN用户分配的专属IP段。后端获取请求的真实IP后，匹配这些预定义的段即可判断用户来源：

  • 注意：如果应用部署在反向代理（如Nginx、IIS ARR）之后，需要从X-Forwarded-For或X-Real-IP请求头中获取用户真实IP，而非代理服务器的IP。
  • 示例代码（ASP.NET Core）：

    private bool IsInternalUser(HttpContext context)
    {
        string userIp = context.Request.Headers["X-Forwarded-For"].FirstOrDefault() 
                        ?? context.Connection.RemoteIpAddress?.ToString() 
                        ?? string.Empty;
        // 替换为你的内网/VPN专属IP段
        var internalIpPrefixes = new List<string> { "192.168.1.", "10.50." };
        return internalIpPrefixes.Any(prefix => userIp.StartsWith(prefix));
    }
    

• 基于VPN自定义请求头
  若公司的VPN网关在转发请求时会添加专属HTTP头（如X-VPN-User: true），可直接检查该头的存在与值：存在则为VPN接入的外网用户，不存在则为内网用户。这种方式比IP匹配更可靠，无需维护IP段列表。

• 内网专属服务校验
  让后端尝试请求一个仅内网可访问的服务（如内部DNS、专属API），若请求成功则判定为内网用户，否则为外网/VPN用户。此方法适合对准确性要求极高但对延迟不敏感的场景。

登录控制逻辑 #

在登录入口的后端流程中加入判断：

1. 执行上述任意一种判断方式，区分用户类型。
2. 内网用户：直接触发Windows身份验证流程（需服务器提前配置支持，如IIS开启Windows Auth、ASP.NET Core添加AddWindowsAuthentication中间件）。
3. 外网/VPN用户：跳转至Web登录页面，引导用户输入账号密码并通过数据库校验完成登录。

注意事项 #

• 定期维护IP段列表，避免因内网扩容、VPN配置变更导致误判。
• 若使用反向代理，需配置代理服务器仅信任合法的上游来源，防止用户伪造X-Forwarded-For头绕过判断。
• Windows身份验证需确保服务器与内网域环境连通，保证身份校验的有效性。

内容的提问来源于stack exchange，提问作者bristivojevic