校内IP地址统一登记管控细则

校内IP地址统一登记管控细则第一章总则第一条为进一步规范校园网络环境，提升网络安全防护能力，确保学校信息系统及数据资产的安全性与完整性，依据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《互联网安全保护技术措施规定》以及教育行业关于网络安全等级保护的相关要求，结合本校信息化建设的实际情况，特制定本细则。第二条本细则所称校内IP地址（InternetProtocolAddress），是指在学校校园网范围内，所有接入互联网、校园专网及各类业务系统的网络设备所使用的互联网协议地址，涵盖IPv4地址与IPv6地址。管控范围包括但不限于教学办公区、科研实验区、学生宿舍区、公共区域及托管机房内的所有固定及移动终端设备。第三条IP地址统一登记管控遵循“统一规划、标准管理、实名登记、权责清晰、动态管控”的原则。学校网络信息中心作为IP地址管理的唯一授权机构，负责全校IP地址资源的顶层设计、分配、审计及回收工作，任何部门或个人不得私自占用、修改或对外出租IP地址资源。第四条本细则适用于全校所有教职工、在校学生、校内驻场机构人员、短期访问人员以及接入校园网的所有自动化设备及物联网终端。所有网络接入行为均须遵守本细则规定。第二章管理组织架构与职责第五条网络信息中心作为IP地址管理的职能部门，承担以下核心职责：（一）制定全校IP地址使用规划及路由策略，负责地址段的划分与VLAN（虚拟局域网）的配置管理，确保网络拓扑结构的合理性与扩展性。（二）建设并维护IP地址管理系统（IPAM），实现IP地址与MAC地址（物理地址）、交换机端口、接入人员信息的全生命周期绑定与追溯。（三）负责审批静态IP地址的申请，定期对全网IP使用情况进行巡检，清理僵尸IP、冲突IP及违规占用IP。（四）监控IP地址对外的网络流量行为，配合网络安全部门进行攻击溯源、流量审计及违规事件调查。第六条各二级单位（学院、部处、直属单位）应设立“网络安全联络员”或指定专人负责本部门的IP地址管理工作，其主要职责包括：（一）负责本部门人员及设备的IP使用需求初审，确保申请材料的真实性与准确性。（二）协助网络信息中心进行设备登记，在人员离职、岗位变动或设备报废时，及时发起IP地址变更或注销申请。（三）配合开展本部门内的网络安全自查，发现IP异常使用情况立即上报并采取临时隔离措施。第七条网络用户（教职工、学生等）作为IP地址的直接使用者，对所持有IP地址的网络行为负有直接责任。用户应妥善保管账号及设备信息，严禁私自转借、转让IP地址，严禁利用校内IP地址从事任何违法违规活动。第三章IP地址资源规划与分配策略第八条学校校园网IP地址资源按照功能区域和业务属性进行分类规划，严格区分办公网、教学网、科研网、宿舍网及服务器专区，通过访问控制列表（ACL）实现区域间的逻辑隔离。第九条IPv4地址分配策略：（一）办公及教学区域：原则上采用动态主机配置协议（DHCP）自动分配方式，以便于终端设备的灵活接入与管理。确因业务需要（如服务器、网络打印机、特定科研仪器），可申请静态IP地址。（二）服务器托管区域：托管在校内数据中心机房的所有服务器必须使用静态IP地址，并纳入严格的访问控制白名单管理。（三）学生宿舍区域：全面实行DHCP动态分配，结合PPPoE认证或WebPortal认证技术，实现“账号-IP-MAC-端口”的四元绑定，防止私设DHCP服务器及IP地址冲突。第十条IPv6地址分配策略：（一）积极推进IPv6规模化部署，校园网内部全面支持IPv6协议栈。（二）IPv6地址采用无状态自动配置（SLAAC）或有状态DHCPv6分配方式，前缀分配由网络信息中心统一规划。（三）所有对外提供服务的业务系统必须开启IPv6监听，并登记IPv6地址，确保下一代互联网服务的可访问性。第十一条特殊业务IP规划：（一）校园一卡通、财务专网、涉密科研网络等敏感业务系统，应使用独立物理隔离或逻辑强隔离的专用IP地址段，严禁与互联网IP地址段混用。（二）物联网设备（如智能门锁、环境监测传感器、摄像头等）应划分至独立的IoTVLAN，分配专用IP地址段，并限制其跨网段访问权限，仅允许与特定的物联网平台通信。第四章IP地址登记与申请流程第十二条静态IP地址申请条件与对象：（一）因建立对外发布的Web服务、FTP服务、邮件服务等网络服务器，必须使用固定IP地址的部门或个人。（二）因连接网络打印机、绘图仪、大型科研仪器、门禁系统控制器等不支持DHCP功能的网络终端设备。（三）因运行特定科研软件或数据库，需要基于IP地址进行授权验证且无法通过域名解析替代的计算机设备。第十三条静态IP地址申请流程：（一）线上提交：申请人通过校园网统一身份认证登录“网络业务自助服务平台”，选择“静态IP地址申请”模块，在线填写《校内静态IP地址使用申请表》。（二）信息录入：申请表中必须包含以下关键信息：1.申请人姓名、工号/学号、所属部门及联系方式；2.使用设备的名称、操作系统类型、硬件数量及放置位置；3.设备网卡MAC地址（要求提供物理地址，格式如XX:XX:XX:XX:XX:XX）；4.申请IP的数量、预使用期限及用途说明（需详细说明运行服务类型及端口）；5.部门负责人及网络安全联络员的审核意见。（三）部门审核：二级单位负责人或网络安全联络员对申请理由的真实性进行审核，确认设备放置符合物理环境安全要求，并在系统中签署意见。（四）技术审批：网络信息中心技术人员对申请进行复核，检查MAC地址的有效性，评估IP资源池状况。对于开放80、443、8080等高危端口的申请，需额外进行安全风险评估。（五）地址分配与配置：审批通过后，系统自动分配或管理员手动指定IP地址、子网掩码、默认网关及DNS服务器地址。申请人需在规定时间内完成网络配置，并在系统中点击“确认生效”。第十四条临时IP地址管理：对于大型学术会议、短期培训或外部机构驻场服务，需要临时接入校园网的，遵循“临时申请、定点接入、限时使用、用毕即还”的原则。申请时需由接待部门提供担保，并明确接入起止时间，系统将自动配置定时任务，到期自动回收权限。第五章IP地址使用规范与行为准则第十五条任何接入校园网的设备必须进行实名登记。通过DHCP获取的动态IP地址，用户在上网认证时已实现实名绑定；静态IP地址则通过严格的MAC地址绑定实现实名制。禁止使用未经登记的设备接入网络，禁止使用技术手段伪造MAC地址骗取IP资源。第十六条严禁私自更改IP地址配置。用户不得随意手动配置IP地址参数（包括IP、子网掩码、网关、DNS）。如因私自修改IP地址导致网络冲突、大面积断网或影响他人正常使用，网络信息中心将立即封禁该设备端口，并依据相关规定追究责任。第十七条严禁私设DHCP服务器。任何个人或部门不得在校园网内私自开启DHCP服务、路由器LAN口DHCP功能或携带随身WiFi开启DHCP共享功能。此类行为将干扰全网IP分配机制，造成严重的网络瘫痪事故，一经发现，将切断其物理网络连接并保留追究法律责任的权利。第十八条IP地址使用遵循“最小权限”原则。除服务器专区外，办公及终端设备原则上禁止对外提供网络服务。确需开放端口的，必须在进行IP登记时一并申请防火墙策略，仅开放业务必需的端口，严禁开放高危端口（如135,139,445,3389等）至公网。第十九条虚拟化及云环境IP管理。运行在私有云或虚拟化平台上的虚拟机（VM），其IP地址管理纳入统一管控体系。云平台管理软件应对接IPAM系统，实现虚拟机创建、迁移、销毁时的IP地址自动同步与回收，防止虚拟机IP漂移导致的地址冲突。第六章动态监控与审计机制第二十条网络信息中心建立全网IP地址使用态势感知平台，实施7×24小时的实时监控。监控内容包括但不限于：（一）IP地址在线率与空闲率统计；（二）异常IP流量识别（如单向流量放大、DDoS攻击流量）；（三）IP与MAC地址绑定关系的完整性检查；（四）私设DHCP服务器的智能嗅探与定位；（五）境外IP访问连接的频次与去向分析。第二十一条定期审计制度：（一）月度审计：每月对静态IP地址库进行一次比对审计，检查是否存在“有IP无流量”、“IP与MAC不匹配”、“设备长期离线”等异常记录。（二）季度审计：每季度对各部门IP地址使用率进行通报，对长期闲置（超过3个月无流量）的静态IP地址发出预警通知。（三）年度审计：每年年终进行全网IP资产盘点，生成《校园网IP地址使用年度白皮书》，作为下一年度网络规划与扩容的依据。第二十二条违规行为监测系统。部署网络行为审计系统（NBA），对校内IP访问互联网的行为进行记录。系统应具备深度包检测（DPI）能力，能够识别并记录基于IP地址的访问行为，包括访问的网址、发布的言论、上传下载的文件特征等，确保发生安全事件时可溯源至具体IP和具体人员。第七章变更、回收与注销管理第二十三条信息变更管理。当使用静态IP地址的设备发生网卡更换、操作系统重装或物理位置迁移时，用户必须在变更发生后的24小时内，通过自助服务平台更新MAC地址或位置信息。因未及时更新导致IP地址被误封禁，责任由用户自行承担。第二十四条人员变动联动机制。建立与人事处、教务处、研究生院的数据接口，实现人员入职、调离、毕业与网络权限的联动。（一）教职工离职、退休：系统自动检测到人事状态变更后，立即冻结其名下所有静态IP地址的使用权限，并通知部门联络员进行设备移交或IP回收。（二）学生毕业、退学：在办理离校手续前，必须清退名下所有网络资源（包括静态IP、VPN账号等），否则无法通过离校审核。第二十五条IP地址回收流程：（一）自动回收：针对DHCP分配的地址，租约到期后系统自动收回；针对临时申请的IP，到达截止时间点系统自动撤销防火墙策略并回收地址。（二）强制回收：对于审计中发现的违规IP、长期闲置且未说明理由的IP、或涉及网络安全事件的IP，网络信息中心有权在无需通知的情况下立即强制回收，并列入黑名单。（三）报废回收：对于因设备报废而腾出的IP地址，部门资产管理员需在资产报废单上注明IP地址处理情况，网络中心在确认设备下线后，将IP地址状态重置为“未分配”，回流至资源池。第八章安全事件响应与处置第二十六条IP地址冲突处置。当网络内出现IP地址冲突报警时，网络监控系统应自动定位冲突源。若为静态IP冲突，系统将暂时屏蔽后接入设备的网络访问，并向绑定的责任人发送短信或邮件警告，责令其自查整改。第二十七条网络攻击事件处置。当监测到某校内IP地址正在发起网络攻击（如端口扫描、暴力破解、病毒传播）时，网络信息中心应立即启动应急响应预案：（一）一键封禁：在边界防火墙及核心交换机上实施ACL策略，阻断该IP地址的所有出站连接，防止攻击外溢。（二）留存证据：完整截取攻击发生时间、目标IP、攻击类型、流量大小及数据包样本，形成电子证据链。（三）通知整改：向所属部门及责任人发送《网络安全违规整改通知书》，要求其断网查杀病毒、修补漏洞。（四）解封流程：责任人完成整改并提交《安全整改报告》，经网络中心复核确认威胁消除后，方可恢复网络连接。第二十八条域名劫持与ARP欺骗防护。针对局域网内常见的ARP中间人攻击，网络信息中心应在核心交换机上部署ARP防网关欺骗功能，并建立DHCPSnooping绑定表，动态监测并丢弃非法ARP报文，保障IP地址与网关通信的安全性。第九章考核与奖惩措施第二十九条考核指标。将IP地址规范化管理纳入各二级单位年度信息化工作考核指标体系。考核要点包括：（一）IP地址登记率（实名登记completeness）；（二）违规事件发生率（如私设DHCP、IP冲突次数）；（三）安全整改及时率；（四）僵尸IP清理配合度。第三十条奖励措施。对于在IP地址管理工作中表现突出，主动发现重大网络安全隐患、有效协助网络中心进行应急响应或长期保持零违规记录的部门和个人，学校在年度网络安全表彰大会上予以通报表扬，并给予相应的物质奖励或绩效加分。第三十一条违规处罚。违反本细则规定，造成不良后果或损失的，视情节轻重给予以下处罚：（一）警告与通报批评：对于初次违规、情节轻微者（如未及时更新信息），进行口头警告或校内通报批评。（二）暂停网络服务：对于私自修改IP、私设DHCP、长期占用闲置IP者，暂停其网络服务7至30个工作日。（三）纪律处分：对于利用IP地址从事传播有害信息、攻击入侵他人系统、盗取敏感数据等违法行为的，报送学校保卫处及纪委监察处，依据校纪校规给予警告、记过、留校察看直至开除学籍或解聘处分。（四）法律责任：凡违反《中华人民共和国刑法》、《中华人民共和国治安管理处罚法》等相关法律法规，构成犯罪的，依法移送公安机关追究刑事责任。第十章附则第三十二条名词解释。本细则中涉及的“MAC地址”是指网络设备接口的物理地址，具有全球唯一性；“僵尸IP”是指已分配给用户但连续超过规定期限（通常为90天）无任何网络流量的IP地址；“静态IP”是指手动配置、固定不变的IP地址，通常用于服务器或网络基础设施。第三十三条特殊场景说明。对于涉及国家秘密的涉密信息系统，其IP地址管理严格按照国家保密局相关规定执行，不适用本细则。对于跨校区互联、校际协作网络等特殊场景，需另行制定专项互联方案。第三十四条解释权归属。本细则由学校网络信息中心负责解释。网络信息中心有权根据国家法律法规的更新及学校网络架构的演进，对本细则进行修订，修订草案将在校园网主页公示，广泛征求师生意见后生效。第三十五条实施日期。本细则自发布之日起正式实施。原《校园网IP地址管理规定》（如有）同时废止。在本细则发布前已分配的静态IP地址，应在细则实施后30个工作日内完成补登记手续，逾期未补登的，按违规占用处理。***附录：校内IP地址分类与属性管理参考表地址类别地址段示例（IPv4）分配方式适用区域/对象典型用途管理严