如用户用网时经常会感受到上网慢的问题。有可能是非法用户不仅将自己的IP地址改为了高级用户的IP地址,还通过ARP命令获得了高级用户所用计算机的MAC地址,将自身的MAC地址也进行了修改。这样一来不仅没有IP地址冲突的提示,而且两台计算机都可以上网了,非法用户轻松享受了高级用户的权限。本文将为大家讲解如何防范修改IP地址与MAC地址违规上网的行为。下面就是如何防范修改IP地址与MAC地址违规上网的行为的讲解!
IP冲突基础知识
一般情况下两台设置了相同IP地址的计算机在启动后会出现IP地址冲突的提示,先启动的计算机可以使用网络,而后启动的计算机无法使用网络资源。所以在公司所有计算机都开机的情况下如果有人手动修改了IP地址一定会出现IP冲突的警告。当正常用户不能使用网络时建议及时通知网络管理员,网络管理员可以迅速查找出非法使用者的计算机。
什么是IP地址与MAC地址的绑定?
在代理服务器上一般都通过“arp -s 157.55.85.212 00-aa-00-62-c6-09”这个命令将IP地址与相应的MAC地址捆绑在一起,这样IP地址相同MAC地址不符的计算机就不能通过代理服务器上网了。简单地修改IP地址进行非法资源访问的方法将无效。
谁在盗用网络?
这里需要指出的是,IP地址冲突检测的原理就是查找本地网络中是否存在IP地址相同而MAC地址不同的主机,一旦有这样的情况就会出现ARP解析错误从而报IP地址冲突。不过如果将MAC地址也设置相同,ARP解析就不会出现任何错误,自然不会报IP地址冲突,而且上网没有问题,这就是本文刚开始中提到的非法用户使用网络的方法。
ARP解析防非法用户
鉴于很多用户通过修改IP地址实现非法使用网络的功能,那么我们可以在代理服务器上通过ARP命令将IP地址与MAC地址绑定起来,从而防止用户随意修改IP地址非法使用网络。
第一步:在Windows 98系统中执行winipcfg查看MAC地址(在Windows 2000及其以上操作系统中运行ipconfig/all进行查看)。将所有计算机的MAC地址与IP地址记录下来。
实际上网络管理员也可以利用Nbtstat命令来远程获得指定机器的MAC地址。在MS-DOS方式下键入命令“Nbtstat -a 远程计算机名”,即可获得指定机器的IP地址和MAC地址。不过需要实现建立IPC连接,如果初次使用不会有任何反应。建立IPC连接的最方便快捷的办法就是在执行“Nbtstat -a 远程计算机名”前先使用一款扫描工具对整个局域网扫描,自动建立IPC连接。这样运行“Nbtstat -a 远程计算机名”就不会出现没有任何反馈信息的情况了。
第二步:在代理服务器上使用ARP命令建立IP地址与MAC地址的映射关系,例如使用“ARP -s 10.91.30.45 00-EO-4C-6C-08-75”命令,这样就将静态IP地址10.91.30.45与网卡地址为00-EO-4C-6C-08-75的计算机绑定在一起了,即使别人盗用了IP地址192.168.1.4,也无法通过代理服务器上网。
提示:ARP的映射信息会在每次重新启动计算机后消失,所以请将所有的映射命令保存到一个批处理BAT文件中,并将这个文件设置为随系统启动而加载,从而保证代理服务器重新启动ARP映射信息也不会消失了。
绑定端口,限制盗用
本文说明了仅仅通过将IP地址与MAC地址绑定起来防止非法用户使用网络不是非常有效的,应该采用将交换机的端口与MAC地址或IP地址进行绑定的方法来限制。
我们以CISCO交换机为例讲解配置命令。登录进入交换机,输入管理口令进入配置模式,输入命令:(config)#mac_address_table permanent [MAC地址] [以太网端口号]。将交换机的MAC地址与端口绑定后擅自改动本机网卡的MAC地址,该机器的网络访问将因其MAC地址被交换机认定为非法而无法实现上网,自然也就不会对局域网造成干扰了。
逐一地将每个端口与相应的计算机MAC地址进行绑定保存退出后就彻底阻止了用户的非法修改。当然其他品牌的交换机只要是可以网管的,大多可以按照此方法进行操作。
本文来源:未知 作者:佚名