在校园网中管理ip地址

1 / 7 在校园网中管理 ip 地址 上饶县中学 林俊 【摘要】 局域网的一大特点就是拥有一定数量的终端用户。作为省属重点中学，本人所在学校局域网的终端用户有 600 多个，为了区分各类不同用户，我们采用的是终端固定 IP 设置的方法。和其他许多学校的网管一样，我们也一直被终端用户私改 IP 地址造成的网络冲突问题困扰着。 【关键词】 防火墙 ip 地址 mac 地址 arp 协议 端口 绑定 引言 本人采用了基于防火墙的 IP 地址与 MAC 地址绑定 +基于交换机的 MAC 地址与端口绑定的二级管理方法，双管齐下，较好地解决了 这个问题。现将实现方法阐述如下： 一、 基于防火墙的 IP 地址与 MAC 地址绑定 、根据用户的类别统一命名计算机，并给定 IP 地址。这样一看机器名，就知道是哪个部门哪台机器，便于管理。比如语文组 1 号机器，我们就将其命名为“ yuwen01”。 同时，统一规划分配 IP 地址给每台终端机器，并建立 IP地址分配登记表。 江西省上饶县中学局域网 ip 地址管理登记表 序号 机器名 Ip 地址 Mac 地址 备注 2 / 7 01 Yuwen01 00-90-f5-d6-16-04 、统计每个终端机器网卡的 MAC 地址，建立 IP 地址与 MAC地址对应表 我们知道，在 MS-DOS 方式下键入命令“ Winipcfg”就可以获得本机 IP 地址和 MAC 地址 (Windows 98 系统下 )；在win2000 系统下，在“开始”菜单中的“运行”中键入“ cmd”命令，然后键入命令“ Ipconfig-all”也可以获得本机 IP地址和 MAC 地址（如图 1-1）。我们可以将此方法公布一下，然后要求相关用户将 本机 MAC 地址抄录上报到网管中心，再进行登记汇总。也可在设定机器名和 IP 地址时一并统计好。 、将 IP 地址与 MAC 地址绑定 这要根据局域网接入互联网的方式不同而采用不同的办法。如果是采用代理服务器接入互联网，那就使用命令： ARP -s IP 地址 MAC 地址 例： ARP -s 、关于 ARP 协议 我们知道，当我们在浏览器里面输入网址时， DNS 服务器会自动把它解析为 IP 地址，浏览器实际上查找的是 IP 地址而不是网址。那么 IP 地址是如何转换为第二层物理地址（即MAC 地址）的呢？在局域网中，这是通过 ARP 协议来完成的。3 / 7 ARP 协议对网络安全具有重要的意义。通过伪造 IP 地址和MAC 地址实现 ARP 欺骗，能够在网络中产生大量的 ARP 通信量使网络阻塞。所以网管们应深入理解 ARP 协议。 ARP 协议是“ Address Resolution Protocol”（地址解析协议）的缩写。在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的 MAC 地址的。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的 MAC地址。但这个目标 MAC 地址是如何获得的呢？它就是通过地址解析协议获得的。所谓“地址解析”就是主 机在发送帧前将目标 IP 地址转换成目标 MAC 地址的过程。 ARP 协议的基本功能就是通过目标设备的 IP 地址，查询目标设备的 MAC 地址，以保证通信的顺利进行。 在每台安装有 TCP/IP 协议的电脑里都有一个 ARP 缓存表，表里的 IP 地址与 MAC 地址是一一对应的。我们以主机 A（）向主机 B（）发送数据为例。当发送数据时，主机 A 会在自己的 ARP 缓存表中寻找是否有目标 IP 地址。如果找到了，也就知道了目标 MAC 地址，直接把目标 MAC 地址写入帧里面发送就可以了；如果在 ARP 缓存表中没有找到相对应的 IP地址，主机 A 就会在网络上发送 一个广播，目标 MAC 地址是“”，这表示向同一网段内的所有主机发出这样的询问：“的MAC 地址是什么？”网络上其他主机并不响应 ARP 询问，只有主机 B 接收到这个帧时，才向主机 A 做出这样的回应：“的4 / 7 MAC 地址是 00-aa-00-62-c6-09”。这样，主机 A 就知道了主机 B 的 MAC 地址，它就可以向主机 B 发送信息了。同时它还更新了自己的 ARP 缓存表，下次再向主机 B 发送信息时，直接从 ARP 缓存表里查找就可以了。 ARP 缓存表采用了老化机制，在一段时间内如果表中的某一行没有使用，就会被删除，这样可以大大减少 ARP 缓存表的长度，加快查询速度。 、如何查看 ARP 缓存表 ARP 缓存表是可以查看的，也可以添加和修改。在命令提示符下，输入“ arp -a”就可以查看 ARP 缓存表中的内容了，如附图所示。 用“ arp -d”命令可以删除 ARP 表中某一行的内容；用“ arp -s”可以手动在 ARP 表中指定 IP 地址与 MAC 地址的对应。 这样，就将静态 IP 地址与网卡地址为 00-90-f5-d6-16-04的计算机绑定在一起了，即使别人盗用您的 IP 地址也无法通过代理服务器上网。 如果是通过路由器直接接入互联网，最好通过硬件防火墙来 实现 IP 与 MAC 地址的绑定。此方法根据不同的防火墙具体设置，这里就不一一说明。 到这里似乎可以大功告成了，但事情并不像我们想象的那么简单。花了相当多的精力构筑起来的防线不到一个月就又冲突依旧了。原来，有的终端用户通过修改注册表、下载专用小工具等方法，没费多少力气就更改了本机的 MAC 地址，5 / 7 甚至于将本机的 MAC 地址和 IP 地址改得和主服务器一模一样，搞得局域网内又鸡犬不宁了。 二、 基于交换机的 MAC 地址与端口绑定 、什么是 mac 地址 在日常的计算机使用过程中，大家都知道 IP 地址只要规划合理，你可以 任意更改 IP 地址。修改的方法也是比较简单的，只要在对应网卡的 TCP/IP 协议上双击一下然后修改参数就行了。 MAC 地址与 IP 地址有相同和相似的地方，具体是在 OSI（ Open System Interconnection，开放系统互连）7 层网络协议参考模型中（如图），第二层为数据链路层（ Data Link）。 MAC 地址也叫物理地址、硬件地址或链路地址，由网络设备制造商生产时写在硬件内部。 IP 地址与 MAC 地址在计算机里都是以二进制表示的， IP 地址是 32 位的，而 MAC 地址则是 48 位的。 MAC 地址的长度为 48 位（ 6 个 字节），通常表示为 12 个 16 进制数，每 2 个 16 进制数之间用冒号隔开，如： 08:00:20:0A:8C:6D 就是一个 MAC 地址，其中前 6 位 16进制数 08:00:20 代表网络硬件制造商的编号，它由 IEEE（电气与电子工程师协会）分配，而后 3 位 16 进制数 0A:8C:6D代表该制造商所制造的某个网络产品（如网卡）的系列号。只要你不去更改自己的 MAC 地址，那么你的 MAC 地址在世界是惟一的。 MAC 地址的作用 6 / 7 无论是局域网，还是广域网中的计算机之间的通信，最终都表现为将数据包从某种形式的链路上的初始节点出发，从一 个节点传递到另一个节点，最终传送到目的节点。数据包在这些节点之间的移动都是由 ARP（ Address Resolution Protocol：地址解析协议）负责将 IP 地址映射到 MAC 地址上来完成的。数据包在传送过程中会不断询问相邻节点的MAC 地址，这个过程就好比是人类社会的口信传送过程。 MAC 地址的应用 我们为了防止 IP 地址被盗用，就通过简单的交换机端口绑定（端口的 MAC 表使用静态表项），可以在每个交换机端口只连接一台主机的情况下防止修改 MAC 地址的盗用，如果是三层设备还可以提供：交换机端口 /IP/MAC 三者的绑定，防止修改 MAC 的 IP 盗用。一般绑定 MAC 地址都是在交换机和路由器上配置的。 、为了进一步解决这个问题，本人又想到了基于交换机的MAC 地址与端口绑定。这样一来，终端用户如果擅自改动本机网卡的 MAC 地址，该机器的网络访问将因其 MAC 地址被交换机认定为非法而无法实现，自然也就不会对局域网造成干扰了。 以 avaya P5500 R 交换机为例，登录进入交换机，输入管理口令进入配置模式，敲入