如何获取计算机主机名或唯一标识 区分VPN访问的办公/居家客户端

你之前用的获取客户端Hostname的方案在VPN场景下失效是正常的：这类实现基本依赖内网DNS对客户端IP的PTR反向解析，AnyConnect VPN给远程用户分配的虚拟地址池默认不会在内部DNS注册PTR记录，跨网段也无法直接通过NetBIOS拿到终端主机名，自然识别失败。

以下是按落地成本从低到高排序的可落地方案：

• 网段规则匹配（零额外依赖，改造成本最低）
  这是绝大多数内网场景首选的方案，核心逻辑是按客户端来源IP所属网段区分场景，实现步骤：

1. 先和网络管理员确认两段固定IP范围：
   • 办公室现场接入的物理终端所属内网网段（例如192.168.2.0/23、10.0.1.0/24这类固定给办公网有线/无线接入分配的地址段）
   • AnyConnect VPN地址池专属分配的IP段（例如10.10.8.0/22这类仅给远程拨入用户下发的虚拟地址段）
2. 在ASP.NET Core 3.1应用中配置转发头中间件，确保反向代理部署场景下能拿到真实客户端IP，再写判断逻辑即可，核心代码参考：

   // Startup.ConfigureServices中注册转发头配置，适配Nginx/IIS反向代理场景
   services.Configure<ForwardedHeadersOptions>(opts =>
   {
       opts.ForwardedHeaders = Microsoft.AspNetCore.HttpOverrides.ForwardedHeaders.XForwardedFor | 
                               Microsoft.AspNetCore.HttpOverrides.ForwardedHeaders.XForwardedProto;
       opts.KnownNetworks.Clear();
       opts.KnownProxies.Clear();
   });
   
   // 业务判断逻辑（可封装为全局过滤器/中间件，全局生效）
   var clientIp = HttpContext.Connection.RemoteIpAddress;
   // 填入实际拿到的办公网段列表
   var officeSubnets = new List<System.Net.IPNetwork>
   {
       IPNetwork.Parse("192.168.2.0/23"),
       IPNetwork.Parse("10.0.1.0/24")
   };
   // 匹配成功即为办公室现场访问，否则为VPN远程访问
   bool isOfficeAccess = officeSubnets.Any(subnet => subnet.Contains(clientIp));
   

注意事项：提前和网管确认VPN地址池和办公网段没有重叠，避免出现误判。

• 域环境标记校验（适合全终端加AD域的场景，准确率更高）
  如果所有办公终端都纳入公司AD域管理，可以叠加一层终端标记校验降低误判率：通过域组策略给办公网现场接入的终端下发开机脚本，在终端本地写入一个仅域管理员有权限修改的标记（可以是注册表项、本地固定文件，也可以是给终端下发专属客户端证书）。用户访问应用时校验标记存在性，配合网段规则，就能准确区分是办公室域终端访问，还是VPN远程拨入访问。
• 对接AnyConnect服务端会话校验（准确率最高，适合有运维开发能力的场景）
  如果需要100%避免网段重叠、地址冒用带来的误判，可以对接AnyConnect所在的Cisco ASA防火墙的开放接口，定期同步在线VPN会话列表。拿到请求来源IP后先匹配会话列表：如果该IP对应有效VPN会话，即为远程访问；无有效会话且IP属于办公网段，即为办公室现场访问。这个方案不需要终端做任何改造，判断精度最高。

不建议继续使用Hostname反向解析的方案做场景判断，该逻辑依赖NetBIOS广播、DNS动态更新等不稳定的网络特性，VPN跨网段场景下基本不可用，后续网段调整时维护成本也极高。

内容的提问来源于stack exchange，提问作者John Phillip Abello