在校园网中管理ip地址
上饶县中学 林俊
【摘要】 局域网的一大特点就是拥有一定数量的终端用户。作为省属重点中学，本人所在学校局域网的终端用户有600多个，为了区分各类不同用户，我们采用的是终端固定IP设置的方法。和其他许多学校的网管一样，我们也一直被终端用户私改IP地址造成的网络冲突问题困扰着。
【关键词】 防火墙 ip地址 mac地址arp协议 端口 绑定
引言
本人采用了基于防火墙的IP地址与MAC地址绑定+基于交换机的MAC地址与端口绑定的二级管理方法，双管齐下，较好地解决了这个问题。现将实现方法阐述如下：
一、 基于防火墙的IP地址与MAC地址绑定
1.1、根据用户的类别统一命名计算机，并给定IP地址。这样一看机器名，就知道是哪个部门哪台机器，便于管理。比如语文组1号机器，我们就将其命名为“yuwen01”。
同时，统一规划分配IP地址给每台终端机器，并建立IP地址分配登记表。
江西省上饶县中学局域网ip地址管理登记表
序号 机器名 Ip地址 Mac地址 备注
01 Yuwen01 172.21.3.1 00-90-f5-d6-16-04
…… …… …… ……
…… …… …… ……
1.2、统计每个终端机器网卡的MAC地址，建立IP地址与MAC地址对应表
我们知道，在MS-DOS方式下键入命令“Winipcfg”就可以获得本机IP地址和MAC地址(Windows 98系统下)；在win2000系统下，在“开始”菜单中的“运行”中键入“cmd”命令，然后键入命令“Ipconfig-all”也可以获得本机IP地址和MAC地址（如图1-1）。我们可以将此方法公布一下，然后要求相关用户将本机MAC地址抄录上报到网管中心，再进行登记汇总。也可在设定机器名和IP地址时一并统计好。
1.3、将IP地址与MAC地址绑定
这要根据局域网接入互联网的方式不同而采用不同的办法。如果是采用代理服务器接入互联网，那就使用命令：
ARP -s IP地址 MAC地址
例：ARP -s 172.21.3.1-00-90-f5-d6-16-04
1.3.1、关于ARP协议
我们知道，当我们在浏览器里面输入网址时，DNS服务器会自动把它解析为IP地址，浏览器实际上查找的是IP地址而不是网址。那么IP地址是如何转换为第二层物理地址（即MAC地址）的呢？在局域网中，这是通过ARP协议来完成的。ARP协议对网络安全具有重要的意义。通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞。所以网管们应深入理解ARP协议。
ARP协议是“Address Resolution Protocol”（地址解析协议）的缩写。在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。
在每台安装有TCP/IP协议的电脑里都有一个ARP缓存表，表里的IP地址与MAC地址是一一对应的。我们以主机A（172.21.3.1）向主机B（192.168.1.1）发送数据为例。当发送数据时，主机A会在自己的ARP缓存表中寻找是否有目标IP地址。如果找到了，也就知道了目标MAC地址，直接把目标MAC地址写入帧里面发送就可以了；如果在ARP缓存表中没有找到相对应的IP地址，主机A就会在网络上发送一个广播，目标MAC地址是“FF.FF.FF.FF.FF.FF”，这表示向同一网段内的所有主机发出这样的询问：“172.21.3.2的MAC地址是什么？”网络上其他主机并不响应ARP询问，只有主机B接收到这个帧时，才向主机A做出这样的回应：“172.21.3.2的MAC地址是00-aa-00-62-c6-09”。这样，主机A就知道了主机B的MAC地址，它就可以向主机B发送信息了。同时它还更新了自己的ARP缓存表，下次再向主机B发送信息时，直接从ARP缓存表里查找就可以了。ARP缓存表采用了老化机制，在一段时间内如果表中的某一行没有使用，就会被删除，这样可以大大减少ARP缓存表的长度，加快查询速度。
1.3.2、如何查看ARP缓存表
ARP缓存表是可以查看的，也可以添加和修改。在命令提示符下，输入“arp -a”就可以查看ARP缓存表中的内容了，如附图所示。
用“arp -d”命令可以删除ARP表中某一行的内容；用“arp -s”可以手动在ARP表中指定IP地址与MAC地址的对应。
这样，就将静态IP地址172.21.3.1与网卡地址为00-90-f5-d6-16-04的计算机绑定在一起了，即使别人盗用您的IP地址172.21.3.1也无法通过代理服务器上网。
如果是通过路由器直接接入互联网，最好通过硬件防火墙来实现IP与MAC地址的绑定。此方法根据不同的防火墙具体设置，这里就不一一说明。
到这里似乎可以大功告成了，但事情并不像我们想象的那么简单。花了相当多的精力构筑起来的防线不到一个月就又冲突依旧了。原来，有的终端用户通过修改注册表、下载专用小工具等方法，没费多少力气就更改了本机的MAC地址，甚至于将本机的MAC地址和IP地址改得和主服务器一模一样，搞得局域网内又鸡犬不宁了。
二、 基于交换机的MAC地址与端口绑定
2.1.1、什么是mac地址
在日常的计算机使用过程中，大家都知道IP地址只要规划合理，你可以任意更改IP地址。修改的方法也是比较简单的，只要在对应网卡的TCP/IP协议上双击一下然后修改参数就行了。MAC地址与IP地址有相同和相似的地方，具体是在OSI（Open System Interconnection，开放系统互连）7层网络协议参考模型中（如图），第二层为数据链路层（Data Link）。MAC地址也叫物理地址、硬件地址或链路地址，由网络设备制造商生产时写在硬件内部。IP地址与MAC地址在计算机里都是以二进制表示的，IP地址是32位的，而MAC地址则是48位的。MAC地址的长度为48位（6个字节），通常表示为12个16进制数，每2个16进制数之间用冒号隔开，如：08:00:20:0A:8C:6D就是一个MAC地址，其中前6位16进制数08:00:20代表网络硬件制造商的编号，它由IEEE（电气与电子工程师协会）分配，而后3位16进制数0A:8C:6D代表该制造商所制造的某个网络产品（如网卡）的系列号。只要你不去更改自己的MAC地址，那么你的MAC地址在世界是惟一的。
2.1.2 MAC地址的作用
无论是局域网，还是广域网中的计算机之间的通信，最终都表现为将数据包从某种形式的链路上的初始节点出发，从一个节点传递到另一个节点，最终传送到目的节点。数据包在这些节点之间的移动都是由ARP（Address Resolution Protocol：地址解析协议）负责将IP地址映射到MAC地址上来完成的。。数据包在传送过程中会不断询问相邻节点的MAC地址，这个过程就好比是人类社会的口信传送过程。
2.1.3 MAC地址的应用
我们为了防止IP地址被盗用，就通过简单的交换机端口绑定（端口的MAC表使用静态表项），可以在每个交换机端口只连接一台主机的情况下防止修改MAC地址的盗用，如果是三层设备还可以提供：交换机端口/IP/MAC 三者的绑定，防止修改MAC的IP盗用。一般绑定MAC地址都是在交换机和路由器上配置的。
2.2、为了进一步解决这个问题，本人又想到了基于交换机的MAC地址与端口绑定。这样一来，终端用户如果擅自改动本机网卡的MAC地址，该机器的网络访问将因其MAC地址被交换机认定为非法而无法实现，自然也就不会对局域网造成干扰了。
以avaya P5500 R 交换机为例，登录进入交换机，输入管理口令进入配置模式，敲入命令
（config）arp ip address mac address
以AVAYA P5500 R 交换机为例，登录进入交换机，也可以以web方式进入配置模式。具体如图所示
这样按 “Make Static”命令将每个端口与相应的计算机MAC地址绑定，保存并退出。其他品牌的交换机只要是可以网管的，大多可以仿此操作。
那么通过这些设置，可以将局域网中的ip地址和mac地址互相绑定，任何人在终端上任意更改ip地址，都不能使其登陆互连网，这样就便于网络管理员更好的维护整个网络的正常、安全的运行。
《在校园网中管理ip地址》
本文链接地址：http://www.oyaya.net/fanwen/view/61280.html
【摘要】 局域网的一大特点就是拥有一定数量的终端用户。作为省属重点中学，本人所在学校局域网的终端用户有600多个，为了区分各类不同用户，我们采用的是终端固定IP设置的方法。和其他许多学校的网管一样，我们也一直被终端用户私改IP地址造成的网络冲突问题困扰着。
【关键词】 防火墙 ip地址 mac地址arp协议 端口 绑定
引言
本人采用了基于防火墙的IP地址与MAC地址绑定+基于交换机的MAC地址与端口绑定的二级管理方法，双管齐下，较好地解决了这个问题。现将实现方法阐述如下：
一、 基于防火墙的IP地址与MAC地址绑定
1.1、根据用户的类别统一命名计算机，并给定IP地址。这样一看机器名，就知道是哪个部门哪台机器，便于管理。比如语文组1号机器，我们就将其命名为“yuwen01”。
同时，统一规划分配IP地址给每台终端机器，并建立IP地址分配登记表。
江西省上饶县中学局域网ip地址管理登记表
序号 机器名 Ip地址 Mac地址 备注
01 Yuwen01 172.21.3.1 00-90-f5-d6-16-04
…… …… …… ……
…… …… …… ……
1.2、统计每个终端机器网卡的MAC地址，建立IP地址与MAC地址对应表
我们知道，在MS-DOS方式下键入命令“Winipcfg”就可以获得本机IP地址和MAC地址(Windows 98系统下)；在win2000系统下，在“开始”菜单中的“运行”中键入“cmd”命令，然后键入命令“Ipconfig-all”也可以获得本机IP地址和MAC地址（如图1-1）。我们可以将此方法公布一下，然后要求相关用户将本机MAC地址抄录上报到网管中心，再进行登记汇总。也可在设定机器名和IP地址时一并统计好。
1.3、将IP地址与MAC地址绑定
这要根据局域网接入互联网的方式不同而采用不同的办法。如果是采用代理服务器接入互联网，那就使用命令：
ARP -s IP地址 MAC地址
例：ARP -s 172.21.3.1-00-90-f5-d6-16-04
1.3.1、关于ARP协议
我们知道，当我们在浏览器里面输入网址时，DNS服务器会自动把它解析为IP地址，浏览器实际上查找的是IP地址而不是网址。那么IP地址是如何转换为第二层物理地址（即MAC地址）的呢？在局域网中，这是通过ARP协议来完成的。ARP协议对网络安全具有重要的意义。通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞。所以网管们应深入理解ARP协议。
ARP协议是“Address Resolution Protocol”（地址解析协议）的缩写。在局域网中，网络中实际传输的是“帧”，帧里面是有目标主机的MAC地址的。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢？它就是通过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。
在每台安装有TCP/IP协议的电脑里都有一个ARP缓存表，表里的IP地址与MAC地址是一一对应的。我们以主机A（172.21.3.1）向主机B（192.168.1.1）发送数据为例。当发送数据时，主机A会在自己的ARP缓存表中寻找是否有目标IP地址。如果找到了，也就知道了目标MAC地址，直接把目标MAC地址写入帧里面发送就可以了；如果在ARP缓存表中没有找到相对应的IP地址，主机A就会在网络上发送一个广播，目标MAC地址是“FF.FF.FF.FF.FF.FF”，这表示向同一网段内的所有主机发出这样的询问：“172.21.3.2的MAC地址是什么？”网络上其他主机并不响应ARP询问，只有主机B接收到这个帧时，才向主机A做出这样的回应：“172.21.3.2的MAC地址是00-aa-00-62-c6-09”。这样，主机A就知道了主机B的MAC地址，它就可以向主机B发送信息了。同时它还更新了自己的ARP缓存表，下次再向主机B发送信息时，直接从ARP缓存表里查找就可以了。ARP缓存表采用了老化机制，在一段时间内如果表中的某一行没有使用，就会被删除，这样可以大大减少ARP缓存表的长度，加快查询速度。
1.3.2、如何查看ARP缓存表
ARP缓存表是可以查看的，也可以添加和修改。在命令提示符下，输入“arp -a”就可以查看ARP缓存表中的内容了，如附图所示。
用“arp -d”命令可以删除ARP表中某一行的内容；用“arp -s”可以手动在ARP表中指定IP地址与MAC地址的对应。
这样，就将静态IP地址172.21.3.1与网卡地址为00-90-f5-d6-16-04的计算机绑定在一起了，即使别人盗用您的IP地址172.21.3.1也无法通过代理服务器上网。
如果是通过路由器直接接入互联网，最好通过硬件防火墙来实现IP与MAC地址的绑定。此方法根据不同的防火墙具体设置，这里就不一一说明。
到这里似乎可以大功告成了，但事情并不像我们想象的那么简单。花了相当多的精力构筑起来的防线不到一个月就又冲突依旧了。原来，有的终端用户通过修改注册表、下载专用小工具等方法，没费多少力气就更改了本机的MAC地址，甚至于将本机的MAC地址和IP地址改得和主服务器一模一样，搞得局域网内又鸡犬不宁了。
二、 基于交换机的MAC地址与端口绑定
2.1.1、什么是mac地址
在日常的计算机使用过程中，大家都知道IP地址只要规划合理，你可以任意更改IP地址。修改的方法也是比较简单的，只要在对应网卡的TCP/IP协议上双击一下然后修改参数就行了。MAC地址与IP地址有相同和相似的地方，具体是在OSI（Open System Interconnection，开放系统互连）7层网络协议参考模型中（如图），第二层为数据链路层（Data Link）。MAC地址也叫物理地址、硬件地址或链路地址，由网络设备制造商生产时写在硬件内部。IP地址与MAC地址在计算机里都是以二进制表示的，IP地址是32位的，而MAC地址则是48位的。MAC地址的长度为48位（6个字节），通常表示为12个16进制数，每2个16进制数之间用冒号隔开，如：08:00:20:0A:8C:6D就是一个MAC地址，其中前6位16进制数08:00:20代表网络硬件制造商的编号，它由IEEE（电气与电子工程师协会）分配，而后3位16进制数0A:8C:6D代表该制造商所制造的某个网络产品（如网卡）的系列号。只要你不去更改自己的MAC地址，那么你的MAC地址在世界是惟一的。
2.1.2 MAC地址的作用
无论是局域网，还是广域网中的计算机之间的通信，最终都表现为将数据包从某种形式的链路上的初始节点出发，从一个节点传递到另一个节点，最终传送到目的节点。数据包在这些节点之间的移动都是由ARP（Address Resolution Protocol：地址解析协议）负责将IP地址映射到MAC地址上来完成的。。数据包在传送过程中会不断询问相邻节点的MAC地址，这个过程就好比是人类社会的口信传送过程。
2.1.3 MAC地址的应用
我们为了防止IP地址被盗用，就通过简单的交换机端口绑定（端口的MAC表使用静态表项），可以在每个交换机端口只连接一台主机的情况下防止修改MAC地址的盗用，如果是三层设备还可以提供：交换机端口/IP/MAC 三者的绑定，防止修改MAC的IP盗用。一般绑定MAC地址都是在交换机和路由器上配置的。
2.2、为了进一步解决这个问题，本人又想到了基于交换机的MAC地址与端口绑定。这样一来，终端用户如果擅自改动本机网卡的MAC地址，该机器的网络访问将因其MAC地址被交换机认定为非法而无法实现，自然也就不会对局域网造成干扰了。
以avaya P5500 R 交换机为例，登录进入交换机，输入管理口令进入配置模式，敲入命令
（config）arp ip address mac address
以AVAYA P5500 R 交换机为例，登录进入交换机，也可以以web方式进入配置模式。具体如图所示
这样按 “Make Static”命令将每个端口与相应的计算机MAC地址绑定，保存并退出。其他品牌的交换机只要是可以网管的，大多可以仿此操作。
那么通过这些设置，可以将局域网中的ip地址和mac地址互相绑定，任何人在终端上任意更改ip地址，都不能使其登陆互连网，这样就便于网络管理员更好的维护整个网络的正常、安全的运行。
★读了本文的人也读了：