綁定IP地址與MAC地址，解決IP地址盜用問題

2019-11-04 20:41:30

字體：大中小

來源：轉載

供稿：網友

　　故障現象
　　　　在筆者治理的局域網中，有部分用戶反映自己分配的ip地址被他人盜用，登錄網絡時出現IP地址沖突的警告提示，不能正常上網。
　　
　　診斷過程
　　　　IP地址是Internet/Intranet網上主機通信的邏輯地址，由用戶手動設置或系統自動分配，若有兩臺主機IP地址相同，則兩臺主機相互報警，會造成應用混亂。在局域網中，有很多主機上網，該如何有效控制IP地址避免盜用呢？
　　　　筆者首先考慮采用VLAN技術，可控制一段IP地址在某一VLAN中使用，而在其他VLAN中無效。但在同一VLAN的有效IP地址范圍內，仍然會出現IP地址盜用現象。
　　　　另外就是考慮利用交換機記錄上網的計算機網卡MAC地址的功能，從盜用IP地址的MAC地址追蹤其客戶機上聯交換機的端口位置，然后禁止此端口的使用，從而徹底根治IP地址盜用事件。具體解決方法如下：
　　　　(1)建立合法的客戶機IP-MAC對應數據庫。
　　　　(2)利用SNMP(Simple Network Management PRotocol,簡單網絡協議)定期從路由器中讀取mib庫地址(以1.3.6.1.2.1.3.1.1.2為例)中的IP-MAC表，示例如下（IP地址211.158.162.1對應的MAC地址為08 00 02 1A 81 C3)。
　　　　1.3.6.1.2.1.3.1.1.2.129.1.211.158.162.1=08　　00　　02　　1A　　81　　C3
　　　　1.3.6.1.2.1.3.1.1.2.129.1.211.158.162.2=00　　10　　4B　　04　　B8　　1A
　　　　1.3.6.1.2.1.3.1.1.2.129.1.211.158.162.3=00　　10　　4B　　04　　B8　　A5
　　　　1.3.6.1.2.1.3.1.1.2.129.1.211.158.162.5=00　　10　　4B　　0D　　71　　08
　　　　1.3.6.1.2.1.3.1.1.2.129.1.211.158.162.12=00　　10　　4B　　0D　　70　　CE
　　　　依照標準數據庫，檢查是否有新的MAC地址或IP-MAC不對應的MAC地址。若有，則執行下一步。
　　　　(3)在交換機上讀取mib庫地址(以1.3.6.1.4.1.43.10.9.5.1.6.1為例)中的MAC地址表。下面是某臺交換機記錄的部分下聯口網卡MAC地址表，第2、4、6口分別上聯1臺主機，第8口上聯3臺主機。
　　　　1.3.6.1.4.1.43.10.9.5.1.6.1.2.1=00　　80　　C8　　78　　53　　8C
　　　　1.3.6.1.4.1.43.10.9.5.1.6.1.4.1=00　　80　　C8　　E3　　24　　45
　　　　1.3.6.1.4.1.43.10.9.5.1.6.1.8.1=00　　00　　21　　E7　　00　　9E
　　　　1.3.6.1.4.1.43.10.9.5.1.6.1.8.2=00　　80　　C8　　E3　　3D　　52
　　　　1.3.6.1.4.1.43.10.9.5.1.6.1.8.3=00　　00　　21　　E5　　05　　3F
　　　　1.3.6.1.4.1.43.10.9.5.1.6.1.16.1=00　　80　　C8　　E3　　58　　60
　　　　找出盜用IP地址的MAC地址出自哪臺交換機的哪個端口。
　　　　(4)網管確認后，禁止此交換機端口的使用。
　　　　另外，可以簡化以上步驟，將上述第三步，設計成CGI公共網關序，根據用戶反映的盜用IP地址或MAC地址，在Web網頁上輸入此地址，調用MAC定位的CGI程序，就可以返回該MAC地址上聯交換機端口的位置。
　　
　　排除心得
　　　　在網絡治理中，IP地址盜用現象時有發生，不僅對網絡的正常使用造成影響，同時由于被盜用的IP地址往往具有較高的權限，因而也對用戶造成了經濟上的損失和潛在的安全隱患。
　　　　為了防止IP地址被盜用，針對不同應用環境，可以采取不同方法:在代理服務器端分配IP地址時，可以把IP地址與網卡地址進行捆綁;對于動態分配IP地址，可以利用DHCP服務器來綁定用戶網卡MAC地址和IP地址，然后再根據不同IP地址設定權限;對于靜態IP地址，假如使用三層交換機，可以在交換機的每個端口上進行IP地址的限定，假如有用戶更改了自己的IP地址，那么他就無法連通網絡。

上一篇：NAT的實現及應用體會

下一篇：[教學] 網絡中最常見的10種錯誤及解決辦法