局域网两大威胁处置办法.docVIP

局域网的两大威胁 提供非法DHCP服务的主机接入 经典案例：最近校园网内网计算机频繁出现不能上网的问题，这些计算机都是自动获取IP的，经过排查发现他们获取的IP地址和网关地址都出现了问题，正确的地址应该假设是10.1.1.0/24，而这些故障计算机得到的IP地址却是192.168.1.0/24；让部分计算机使用ipconfig?/release释放获得的网络参数后，用ipconfig?/renew可以获得真实的网关地址，而大部分获得的仍然是错误的IP地址数据。为什么真正的DHCP服务器分配的网络参数无法正确传输到客户机上呢？而这种情况导致了大量用户无法访问网络，出现断网现象。 工作原理：DHCP服务通常使用67、68这两个端口进行通讯，客户机通过67号端口向内网发送广播请求，而DHCP服务器（主机）收到请求后则通过68号端口向客户机发送应答数据包。 解决方案：可以通过网络设备的访问控制列表来封堵所有来自主机68号端口发出的应答数据包来解决，主要通过网络设备中的VLAN访问控制列表来实现此功能 配置操作：以神舟数码系列网络设备为例，因个人或私有提供服务的主机都是在接入层交换机上连入网络的，所以需要在接入层交换设备上进行配置，首先在全局配置模式下配置ACL扩展规则并启用防火墙功能； Switch(config)#firewall enable Switch(config)# ip access-list extended vacl_a Switch(config-ip-ext-nacl-vacl_a)#deny udp any-source s-port 68 any-destination 将上述规则应用到指定VLAN中 Switch(config)#vacl ip access-group vacl_a in vlan X 注意被应用到的指定VLAN不能是网络设备的默认VLAN 1 非法路由器接入（带无线功能） （1）接入类型分类 1类：路由器WAN端口手动配置IP地址接入内网的路由器 这类路由器无法使用网络设备的DHCP查询功能查询到，必须使用ARP命令来查询设备MAC地址，匹配前6位厂商MAC地址，通常个人电脑（主机）中网卡的MAC地址与厂家生产的个人路由器设备上的MAC地址是有区别的；可以通过以下给出的常见前6位MAC地址表来进行比对； 2类：路由器WAN端口自动获取IP地址接入内网的路由器 这类路由器可以使用网络设备的DHCP客户端查询命令进行查看接入本地网络设备的IP地址和MAC地址列表，只对自动获取DHCP地址的客户机可用； （2）处理办法 找到存在网络设备的端口号，进行关闭端口操作或者限制该端口上行速度可以有效阻止下联路由器内网带宽多人分享后造成的会话数过多及流量过大问题；但不可限制连接数量，限制连接数量会导致网站无法打开，新的连接建立不了会导致网络无法访问等问题出现； 神舟数码设备：进入端口配置模式使用以下命令限制上行带宽 Switch(config-if-ethernet1/1)#bandwidth control X transmit (X为带宽限定值) （3）常见MAC地址与厂家对应列表（不断扩充中……） 序号 MAC地址前6位 生产厂家 识别类别 备注 1 40-16-9 TPLINK 网络设备 2 44-37-e6 鸿海科技（台湾富士康） 主机网卡 3 00-10 香港联想控股 网络设备 打印机 4 00-03-0 神舟数码 网络设备 5 68-f7-28 LCFC合肥联宝 主机网卡 6 c0-3f-d5 精英电脑 主机网卡 7 f6-f6-00 私营 网络设备 广播设备 8 c4-a8-1d D-LINK 网络设备 面板模块 9 00-20-6b KONICA MINOLTA HOLDINGS, INC 网络设备 打印机 10 00-23-ae DELL 主机网卡 11 50-bd-5f TP-LINK TECHNOLOGIES CO.,LTD. 网络设备 12 70-48-0f 苹果 主机网卡 13 74-27-ea 精英电脑 主机网卡 14 15