局域网IP地址的非法使用问题解决方法

局域网IP地址的非法使用问题解决方法

做者：Vlan9.com　来源：Vlan9.com　发布时间：2007.04.30

【Java专区】 【网络安全】 【网管专区】 【linux专区】 【数据库专区】 【进入论坛】 【IT博客】

引言

在大多数局域网的运行管理工做中，网络管理员负责管理用户IP地址的分配，用户经过正确地注册后才被认为是合法用户。在局域网上任何用户使用未经受权的IP地址都应视为IP非法使用。

但在Windows操做系统中，终端用户能够自由修改IP地址的设置，从而产生了IP地址非法使用的问题。改动后的IP地址在局域网中运行时可能出现的状况以下。?

a. 非法的IP地址即IP地址不在规划的局域网范围内。

b.重复的IP地址与已经分配且正在局域网运行的合法的IP地址发生资源冲突，使合法用户没法上网。

c.冒用合法用户的IP地址当合法用户不在线时，冒用其IP地址联网，使合法用户的权益受到侵害。

1 IP地址非法使用的动机

IP地址的非法使用问题，不是普通的技术问题，而是一个管理问题。只有找到其存在的理由，根除其存在的基础，才可能从根本上杜绝其发生。分析非法使用者的动机有如下几种状况：

a. 干扰、破坏网络服务器和网络设备的正常运行。

b. 企图拥有被非法使用的IP地址所拥有的特权。最典型的，就是因特网访问权限。

c. 因机器从新安装、临时部署等缘由，无心中形成的非法使用。

2 非法使用方法

2.1 静态修改IP地址配置 用户在配置TCP/IP选项时，使用的不是管理员分配的IP地址，就造成了IP地址的非法使用。

2.2 同时修改MAC地址和IP地址

非法用户还有可能将一台计算机的IP地址和MAC地址都改成另外一台合法主机的IP地址和MAC地址。他们能够使用容许自定义MAC地址的网卡或使用软件修改MAC地址。

2.3 IP电子欺骗

IP电子欺骗是伪造某台主机IP地址的技术。它一般须要编程来实现。经过使用SOCKET编程，发送带有假冒的源IP地址的IP数据包

3 管理员的技术手段

3.1 静态ARP表的绑定

对于静态修改IP地址的问题，能够采用静态路由技术加以解决，即IP-MAC地址绑定。由于在一个网段内的网络寻址不是依靠IP地址而是物理地址。IP地址只是在网际之间寻址使用的。所以做为网关的路由器上有IP-MAC的动态对应表，这是由ARP协议生成并维护的。配置路由器时，能够指定静态的ARP表，路由器会根据静态的ARP表检查数据包，若是不能对应，则不进行数据转发。

该方法能够阻止非法用户在不修改MAC地址的状况下，冒用IP地址进行跨网段的访问。

3.2 交换机端口绑定

借助交换机的端口—MAC地址绑定功能能够解决非法用户修改MAC地址以适应静态ARP表的问题。可管理的交换机中都有端口—MAC地址绑定功能。使用交换机提供的端口地址过滤模式，即交换机的每个端口只具备容许合法MAC地址的主机经过该端口访问网络，任何来自其它MAC地址的主机的访问将被拒绝。

3.3 VLAN划分

严格来讲，VLAN划分不属于技术手段，而是管理与技术结合的手段。将具备相近权限的IP地址划分到同一个VLAN，设置路由策略，能够有效阻止非法用户冒用其余网段的IP地址的企图。

3.4 与应用层的身份认证相结合

避免采用针对IP地址的直接受权的管理模式，综合运用用户名、口令、加密、×××及其余应用层的身份认证机制，构成多层次的严密的安全体系，能够有效下降IP地址非法使用所带来的危害。

4 管理建议

a.普通用户明白非法使用IP地址所产生的危害和处罚措施，制定并实施严格的IP地址管理制度，包括：IP地址申请和发放流程，IP地址变动流程，临时IP地址分配流程，机器MAC地址登记管理，IP地址非法使用的处罚制度。

b.非法使用IP的行为，老是内部网络少数人的行为。所以，对于已经建成的网络，管理员要根据当前存在的问题，有针对性的运用技术措施，重点阻止个别用户的非法行为。

c. 划分VLAN时，兼顾可管理性和易用性。在不增长网络复杂性的前提下，充分运用VLAN的划分手段，将权限相近的用户划分到同一个VLAN内，弱化非法使用同网段IP地址所带来的利益。

d. 部署网络管理系统。网络管理软件能够实现静态ARP表绑定的初始化操做，避免网络管理员的大量重复性劳动。网络管理软件的平常监视和日志功能，能够及时有效的发现网络中的IP地址变化、MAC地址变化、交换机端口改变等异常行为，帮助网络管理员查找网络故障的根源。同时，网络管理员还能够借助网管系统，很方便的管理网络交换机，针对个别问题突出的用户，进行交换机端口绑定操做，禁止其修改MAC地址。

e. 与应用层的身份认证相结合，创建完整严密的多层次的安全认证体系，弱化IP地址在身份认证体系中的重要性。与IP地址非法使用的问题相似，用户名和口令也属于容易盗用的资源，建议有条件的单位采用指纹鼠标等先进的身份认证系统，强化重要系统的安全强度。

5 结束语

内部人员非法使用IP地址，并非为了进行侵入和破坏，而是为了谋取某些特定的权限和利益。网络管理员除有法律手段和技术手段，还拥有各类内部管理手段。若是单纯使用技术手段来防范IP地址的非法使用，必然产生高昂的系统投资成本和人员开支。所以，只有综合运用管理手段和技术手段，来处理IP地址非法使用问题，才能实现高可靠性的系统运行与低成本的管理维护的统一。