局域网中的IP地址管理

2013-04-29姚建群

中小企业管理与科技·下旬刊 2013年9期

关键词：IP地址

姚建群

摘要：在局域网中，IP地址并不是永久固定的，就用户来说，他们会因为某种原因更改自己的IP地址，而没有经过网络管理员审批。在局域网中像这种超出网络管理员监督之外的IP地址变更会对网络的稳定性和安全性造成影响。本文通过介绍软硬件结合的方法，将IP地址与MAC地址绑定，有效地解决IP地址管理中出现的问题，为局域网用户创设良好的网络环境。

关键词：IP地址 MAC地址 ARP协议绑定

1 IP地址管理的必要性

IP地址是指Internet协议使用的地址，主要用于用户识别。它的这项功能与公用电话系统中的电话号码无异，但二者也有实质性的差别。公用电话系统中使用电话号码的用户相对稳定，号码变更流程比较复杂，而且变更后必须登记备案；局域网用户所使用的IP地址不是固定的。当前，网络信息技术的飞速发展推动了办公信息化的普及，同时也使网络信息领域产生了一些矛盾冲突，IP地址盗用、IP地址冲突以及ARP欺骗等违规操作行为泛滥，使网络环境越来越复杂。

1.1 IP地址冲突与盗用

在实际操作中，局域网中如果是手工分配IP地址，而不是利用DHCP动态分配，就是用户出于个人原因未经网络管理员授权私自变更IP地址。这种IP变更操作行为避开了网络管理员的监控。如果所变更的IP地址已被他人使用，就会导致IP冲突。

1.2 ARP欺骗

ARP，即地址解析协议。所有已安装TCP/IP协议的电脑中都有ARP缓存表，缓存表内的IP地质和MAC地址都一一对应。网络运行中可利用ARP协议实现IP地址与MAC地址的转换。但在实际应用中，该协议尚有严重的运行问题亟待解决。网络运行中，主机之间的数据传输是通过数据链路层的MAC地址来实现的，而非通过访问网络层的IP地址来传输。源主机在未记录目标主机MAC地址的情况下会向网段内的所有主机发送ARP广播进行询问，目标主机接收到ARP广播后随即将本机MAC地址发送至源主机。但是目标主机向源主机所传输的MAC地址信息未经加密处理，信息传输无安全保障。

2 IP地址管理解决方案

软、硬件方案并行来统一管理IP地址才能达到预期的效果。

2.1 硬件解决方案

IP-MAC地址绑定来解决IP地址冲突与盗用以及ARP欺骗等网络问题，是现阶段常用的网络修复方案。用户只有通过网络管理员的授权后才可以接入局域网。该用户主机的MAC地址与使用者信息都会记录在网络管理员的档案中，其所用IP地址由网络管理员统一分配。这种网络操作方案实际是实现了用户身份与其IP的绑定。现阶段主要利用二层交换机完成IP地址和MAC地址的綁定，这是基于交换机端口的MAC地址绑定方法。具体操作步骤是：预先规划一个VLAN，将与用户连接的接入层交换机端口划到VLAN下，将广播域细分，目的是最大限度的规避广播风暴。用户分到的IP地址应与该VLAN对应的三层IP地址所在的网段相同。现以华三E352交换机为例，划分端口VLAN的命令如下：

[H3C]VLAN 30 //创建VLAN30

[H3C-VLAN30]port Ethernet1/0/2//把用户端口划到VLAN30

[H3C]interface vlan-interface 30//进入VLAN30的端口配置模式下

[inter-vlan30]ip address 172.18.30.1 255.255.

255.0//配置VLAN30的三层端口IP

[inter-vlan30]quit//退出VLAN端口配置模式

基于上述命令完成用户所在端口的配置后，为规避ARP欺骗或IP地址被盗用的风险，应及时将交换机端口、MAC地址与IP地址绑定。华三E352交换机的端口与MAC地址、IP地址绑定的指令是：[H3C]am user- bind mac-addr macip-addr ip interface端口号。

在交换机上通过此配置，如果用户未经网络管理员授权随意变更IP，或擅自调换网络端口，都无法联网。该配置有利于规避IP冲突和ARP欺骗的网络风险，从而促进局域网安全运行。

2.2 软件解决方案

软件解决方案需要借助一套强大的IP地址管理系统来实现。该系统涵盖了计算机登记模块、交换机登记模块和关闭端口登记三大功能模块。

①交换机登记模块：网络中在用的交换机的相关信息可通过该模块进行登记，这样网络管理员就清楚了用户接入了哪一台交换机，以便进一步操作管理；

②计算机登记模块：该模块用于登记入网用户的相关信息，以便于网络管理员通过MAC地址或IP地址对该计算机用户进行快速定位；