您现在的位置: 范文先生网 >> 教学论文 >> 信息技术论文 >> 正文

在校园网中管理ip地址

时间:2007-4-1栏目:信息技术论文

上饶县中学   林俊
【摘要】  局域网的一大特点就是拥有一定数量的终端用户。作为省属重点中学,本人所在学校局域网的终端用户有600多个,为了区分各类不同用户,我们采用的是终端固定IP设置的方法。和其他许多学校的网管一样,我们也一直被终端用户私改IP地址造成的网络冲突问题困扰着。
【关键词】 防火墙  ip地址 mac地址arp协议  端口  绑定
引言
本人采用了基于防火墙的IP地址与MAC地址绑定+基于交换机的MAC地址与端口绑定的二级管理方法,双管齐下,较好地解决了这个问题。现将实现方法阐述如下:
一、 基于防火墙的IP地址与MAC地址绑定
1.1、根据用户的类别统一命名计算机,并给定IP地址。这样一看机器名,就知道是哪个部门哪台机器,便于管理。比如语文组1号机器,我们就将其命名为“yuwen01”。
同时,统一规划分配IP地址给每台终端机器,并建立IP地址分配登记表。
江西省上饶县中学局域网ip地址管理登记表
序号 机器名 Ip地址 Mac地址 备注
01 Yuwen01 172.21.3.1 00-90-f5-d6-16-04
…… …… …… ……
…… …… …… ……
1.2、统计每个终端机器网卡的MAC地址,建立IP地址与MAC地址对应表
我们知道,在MS-DOS方式下键入命令“Winipcfg”就可以获得本机IP地址和MAC地址(Windows 98系统下);在win2000系统下,在“开始”菜单中的“运行”中键入“cmd”命令,然后键入命令“Ipconfig-all”也可以获得本机IP地址和MAC地址(如图1-1)。我们可以将此方法公布一下,然后要求相关用户将本机MAC地址抄录上报到网管中心,再进行登记汇总。也可在设定机器名和IP地址时一并统计好。
1.3、将IP地址与MAC地址绑定
这要根据局域网接入互联网的方式不同而采用不同的办法。如果是采用代理服务器接入互联网,那就使用命令:
ARP -s IP地址 MAC地址 
例:ARP -s 172.21.3.1-00-90-f5-d6-16-04
1.3.1、关于ARP协议
我们知道,当我们在浏览器里面输入网址时,DNS服务器会自动把它解析为IP地址,浏览器实际上查找的是IP地址而不是网址。那么IP地址是如何转换为第二层物理地址(即MAC地址)的呢?在局域网中,这是通过ARP协议来完成的。ARP协议对网络安全具有重要的意义。通过伪造IP地址和MAC地址实现ARP欺骗,能够在网络中产生大量的ARP通信量使网络阻塞。所以网管们应深入理解ARP协议。
ARP协议是“Address Resolution Protocol”(地址解析协议)的缩写。在局域网中,网络中实际传输的是“帧”,帧里面是有目标主机的MAC地址的。在以太网中,一个主机要和另一个主机进行直接通信,必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢?它就是通过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址,查询目标设备的MAC地址,以保证通信的顺利进行。
在每台安装有TCP/IP协议的电脑里都有一个ARP缓存表,表里的IP地址与MAC地址是一一对应的。我们以主机A(172.21.3.1)向主机B(192.168.1.1)发送数据为例。当发送数据时,主机A会在自己的ARP缓存表中寻找是否有目标IP地址。如果找到了,也就知道了目标MAC地址,直接把目标MAC地址写入帧里面发送就可以了;如果在ARP缓存表中没有找到相对应的IP地址,主机A就会在网络上发送一个广播,目标MAC地址是“FF.FF.FF.FF.FF.FF”,这表示向同一网段内的所有主机发出这样的询问:“172.21.3.2的MAC地址是什么?”网络上其他主机并不响应ARP询问,只有主机B接收到这个帧时,才向主机A做出这样的回应:“172.21.3.2的MAC地址是00-aa-00-62-c6-09”。这样,主机A就知道了主机B的MAC地址,它就可以向主机B发送信息了。同时它还更新了自己的ARP缓存表,下次再向主机B发送信息时,直接从ARP缓存表里查找就可以了。ARP缓存表采用了老化机制,在一段时间内如果表中的某一行没有使用,就会被删除,这样可以大大减少ARP缓存表的长度,加快查询速度。
1.3.2、如何查看ARP缓存表
ARP缓存表是可以查看的,也可以添加和修改。在命令提示符下,输入“arp -a”就可以查看ARP缓存表中的内容了,如附图所示。
用“arp -d”命令可以删除ARP表中某一行的内容;用“arp -s”可以手动在ARP表中指定IP地址与MAC地址的对应。
这样,就将静态IP地址172.21.3.1与网卡地址为00-90-f5-d6-16-04的计算机绑定在一起了,即使别人盗用您的IP地址172.21.3.1也无法通过代理服务器上网。
如果是通过路由器直接接入互联网,最好通过硬件防火墙来实现IP与MAC地址的绑定。此方法根据不同的防火墙具体设置,这里就不一一说明。
到这里似乎可以大功告成了,但事情并不像我们想象的那么简单。花了相当多的精力构筑起来的防线不到一个月就又冲突依旧了。原来,有的终端用户通过修改注册表、下载专用小工具等方法,没费多少力气就更改了本机的MAC地址,甚至于将本机的MAC地址和IP地址改得和主服务器一模一样,搞得局域网内又鸡犬不宁了。
二、 基于交换机的MAC地址与端口绑定
2.1.1、什么是mac地址
在日常的计算机使用过程中,大家都知道IP地址只要规划合理,你可以任意更改IP地址。修改的方法也是比较简单的,只要在对应网卡的TCP/IP协议上双击一下然后修改参数就行了。MAC地址与IP地址有相同和相似的地方,具体是在OSI(Open System Interconnection,开放系统互连)7层网络协议参考模型中(如图),第二层为数据链路层(Data Link)。MAC地址也叫物理地址、硬件地址或链路地址,由网络设备制造商生产时写在硬件内部。IP地址与MAC地址在计算机里都是以二进制表示的,IP地址是32位的,而MAC地址则是48位的。MAC地址的长度为48位(6个字节),通常表示为12个16进制数,每2个16进制数之间用冒号隔开,如:08:00:20:0A:8C:6D就是一个MAC地址,其中前6位16进制数08:00:20代表网络硬件制造商的编号,它由IEEE(电气与电子工程师协会)分配,而后3位16进制数0A:8C:6D代表该制造商所制造的某个网络产品(如网卡)的系列号。只要你不去更改自己的MAC地址,那么你的MAC地址在世界是惟一的。
2.1.2 MAC地址的作用
无论是局域网,还是广域网中的计算机之间的通信,最终都表现为将数据包从某种形式的链路上的初始节点出发,从一个节点传递到另一个节点,最终传送到目的节点。数据包在这些节点之间的移动都是由ARP(Address Resolution Protocol:地址解析协议)负责将IP地址映射到MAC地址上来完成的。。数据包在传送过程中会不断询问相邻节点的MAC地址,这个过程就好比是人类社会的口信传送过程。
2.1.3 MAC地址的应用
我们为了防止IP地址被盗用,就通过简单的交换机端口绑定(端口的MAC表使用静态表项),可以在每个交换机端口只连接一台主机的情况下防止修改MAC地址的盗用,如果是三层设备还可以提供:交换机端口/IP/MAC 三者的绑定,防止修改MAC的IP盗用。一般绑定MAC地址都是在交换机和路由器上配置的。

2.2、为了进一步解决这个问题,本人又想到了基于交换机的MAC地址与端口绑定。这样一来,终端用户如果擅自改动本机网卡的MAC地址,该机器的网络访问将因其MAC地址被交换机认定为非法而无法实现,自然也就不会对局域网造成干扰了。
以avaya P5500 R 交换机为例,登录进入交换机,输入管理口令进入配置模式,敲入命令
(config)arp  ip address mac address
以AVAYA P5500 R 交换机为例,登录进入交换机,也可以以web方式进入配置模式。具体如图所示













这样按 “Make Static”命令将每个端口与相应的计算机MAC地址绑定,保存并退出。其他品牌的交换机只要是可以网管的,大多可以仿此操作。

[1] [2] 下一页

下页更精彩:1 2 3 4 下一页