校园网IP地址管理和维护.docVIP

校园网IP地址管理和维护 　　【摘要】校园网络作为学校公共服务体系的主要组成部分，已成为学校最重要的基础设施。如何有效的防止IP地址的盗用是校园网络建设与管理的最重要的任务之一，本文介绍了主流的IP地址管理方案，并针对校园网络中出现的IP地址盗用现象进行了分析，提出了合理防范IP地址盗用的方法。 　　【关键词】IP地址；盗用；防范策略 　　随着计算机技术和Internet的飞速发展，校园网网络规模不断扩大，网络用户人数日渐增多，用户成分也极其复杂，既有合法的用户，也有未办理手续的非法使用者，IP地址盗用成了网络管理人员最头疼的问题。当几百台、甚至上千台主机同时上网，如何防止IP地址盗用问题，是维护网络正常运行的必要技术手段，防止IP地址被盗用成为校园网络管理和维护的关键之一。 　　1当前校园网IP地址管理方案 　　1.1通过动态主机配置协议自动分配IP地址并管理TCP/IP配置信息 　　采用此种分配方法，网络用户不需要手工输入IP地址、子网掩码和网关地址，避免了地址重复带来的通信故障。但是，因IP地址是动态分配的，网络管理员不能从IP地址上鉴定用户的身份，相应的IP管理也起不到作用。同时还无法避免IP地址的冒用问题，存在IP冲突的可能。 　　1.2通过设置服务器网关来管理IP地址 　　网关在网络层一级工作，它可以在不同的网络之间翻译地址、转换协议、变换数据格式等。网关可以提供集中式自动地址分配、动态地址公用和地址共享的任意组合。给一个网关指定一个地址，这个地址就能被局域网内的多个工作站所共享。公用地址或共享地址大大简化了局域网上的IP地址管理任务，减少所需的地址数量，而且可以自动适应网络的变化。但此种网络管理方案无法解决IP地址的盗用现象，IP地址的盗用不仅对网络的正常使用造成影响，同时由于被盗用的地址往往具有较高的权限，因而也对用户造成了大量的经济上的损失和潜在的安全隐患。 　　上述两种方案中，都存在对IP地址的盗用问题。因此，如何有效的解决和防范IP地址盗用问题是维护校园网络正常运转的关键。 　　2校园网管理中IP地址盗用的表现形式 　　2.1静态修改IP地址配置 　　对于任何一个网络用户来说，IP地址都是其用户配置的必选项。由于IP地址由用户自行设置，网络管理员无法限制用户对IP地址的修改，如果用户在配置TCP/IP时，使用的不是网络管理员分配的IP地址，就形成了IP地址盗用。IP地址的静态盗用是IP地址盗用中最简单、直接的方式。盗用者只是单纯的采用未授权给自己的IP地址，并未采取其他的相关措施。 　　2.2成对修改MAC地址和IP地址 　　对于静态修改IP地址的问题，可以采用静态路由技术加以解决，即IP-MAC地址绑定，即将一个IP地址唯一地绑定一个MAC地址，与IP-MAC映射不一致的数据帧被路由器拦截。然而，针对静态路由技术，如果成对修改IP-MAC地址，这种静态路由技术就不起作用了。MAC地址是设备的硬件地址，也就是网卡地址，这个地址是唯一的。MAC由生产厂家固化在网卡上，不能随意改动，但现在的一些兼容网卡，可以通过网卡配置程序任意更改网卡的MAC地址。如果盗用者将自己的IP地址和MAC地址都改为同另一台合法主机相同的IP和MAC地址，那么静态路由技术就会失效。另外，对于不能更改MAC地址的网卡来说，用户也可以采用修改底层网络软件的办法欺骗上层网络软件，达到软件修改MAC地址的目的。如果将一台计算机的IP地址和MAC地址都改为另外一台合法主机的IP地址和MAC地址，将能越过路由器ARP访问控制列表，像合法用户一样使用网络，是一种实实在在的盗用行为，也是网络管理人员最难解决的问题。 　　2.3动态修改IP地址 　　网络使用者直接编写程序在网络上收发数据包，绕过上层网络软件，动态修改自己的IP地址（或IP-MAC地址对），其主要目的是IP欺骗，会短时间造成IP合法用户的IP地址冲突，一般危害不太大，但难以被网络管理人员捕捉。 　　IP电子欺骗就是指伪造某台主机的IP地址的技术，IP欺骗通常需要用编程来实现。通过使用SOCKET编程，发送带有假冒的源IP地址的IP数据包，对于网络编程高手来说，绕过上层网络软件，动态修改自己的IP地址，达到IP欺骗是一件很容易的事。 　　3防范IP地址盗用技术 　　针对IP地址的盗用技术问题，目前比较常用的防范技术主要是根据TCP/IP的层次结构，在不同的层次采用不同的方法来防止IP地址的盗用。 　　3.1路由器防范策略 　　因MAC地址作为以太网卡的地址是唯一不能改变的，采用路由器隔离的办法主要就是通过SNMP协议定期扫描校园网路由器的ARP表，获得当前IP和MAC的对照关系，与合法的IP和MAC地址比较，如不一致，则为非法访问。对非法访问，可采用如下办法制止：一是使用正确的IP与