化解ＩＰ地址冲突对局域网干扰.doc

1、1化解地址冲突对局域网干扰局域网中发生 IP 地址冲突故障现象，不仅仅是简单的技术问题，并且还是一个网络管理员必须要认真面对的管理问题。网络管理员只有找到该故障现象存在的理由，想方设法地消灭该故障现象存在的基础，才可能从源头上杜绝 IP 地址冲突故障现象的发生。 动机 总结各种 IP 地址冲突故障现象，我们不难分析得出制造 IP 地址冲突现象的动机主要有下面几种情况：一是普通工作站在长时间使用之后，因频繁地安装、卸载各种应用程序或杀毒软件，甚至由于操作者本人不小心发生了错误操作，导致本地工作站系统发生了崩溃现象，不得已工作站用户重新安装了操作系统，并且随意设置了工作站的上网参数，最终在无意中造

2、成了 IP 地址冲突故障现象，这种情况比较普通，网络管理员只要善加管理，就能有效避免由这种情况引起的 IP 地址冲突故障现象：二是局域网甚至 Internet 网络中的一些非法攻击者，企图破坏或干扰本地局域网中重要网络设备的稳定运行，最终达到干扰局域网稳定运行的目的，例如非法攻击者想方设法地制造 IP 地址冲突故障现象，以便达到破坏局域网中服务器或交换机等重要设备的稳定运行，最终造成整个局域网无法正常工作；三是一些别有用心的用户想拥有那些被非法使用的2IP 地址所获取的各种特殊访问权限，最常见的就是想获得 Internet 访问权限。 那些被非法盗用的 IP 地址在局域网中运行时，有可能会产生

3、下面几种影响：一是在合法工作站没有连到局域网的情况下，冒用合法工作站使用的 IP 地址进行网络连接操作，最终达到窃取合法工作站各种访问权限的目的；二是在合法工作站已经连到局域网的情况下，擅自盗用合法工作站使用的 IP 地址时，会造成合法工作站出现 IP 地址发生资源冲突的故障提示，最终造成合法工作站不能正常访问网络；三是盗用了合法工作站的 IP 地址后，可以利用该 IP 地址在局域网网络中进行各种恶意破坏活动。 方法 要想避免 IP 地址冲突故障现象的发生，我们自然应该先了解制造 IP地址冲突的方法，只有对症我们才能下药，采取针对性措施来拒绝 IP 地址冲突“干扰”局域网的正常运行。 一般来说

4、，在局域网投入运行的初期，网络管理员都会为局域网中的所有工作站分配一个合适的 IP 地址。不过，在局域网工作站长时间运行后，很可能会出现系统瘫痪或者其他一些故障现象，导致工作站的上网参数发生了丢失，此时工作站用户很可能会自己动手，进入本地工作站系统的 TCP/IP 属性设置窗口，在其中随意为本地工作站分配一个 IP地址，该 IP 地址由于不是网络管理员事先划分好的那个 IP 地址，这样3一来自然就形成了 IP 地址冲突现象了。所以，在使用了静态 IP 地址的局域网工作环境中，普通工作站用户可以很容易地打开本地系统的TCP/IP 属性设置窗口，从而可以随意更改本地工作站使用的 IP 地址。 为了

5、保护本地工作站的 IP 地址不被非法用户随意盗用，有一些熟悉网络的朋友往往会采取地址绑定的方法，将网络管理员事先分配给本地工作站的 IP 地址绑定到对应工作站的网卡设备上，那样一来即使非法用户盗用了本地工作站的 IP 地址，也不会干扰本地工作站的正常上网访问。对于采取了绑定措施的 IP 地址来说，非法用户同样也找到了盗用办法，那就是同时盗用合法工作站的 IP 地址与网卡设备的 MAC 地址，然后冒用合法主机的身份进行恶意破坏。 此外，对于一些熟悉攻击技术的非法用户来说，他们常常会利用 IP地址电子欺骗技术来伪造某台工作站的 IP 地址，不过这个电子欺骗技术通常需要借助编程手段来实现。例如，非法

6、攻击者可以通过 SOCKET 编程，向局域网网络发送带有虚假的源 IP 地址的通信数据包，从而达到欺骗攻击的目的。 手段 了解了制造 IP 地址冲突的几种方法后，我们就能根据不同的制造方法采取不同的阻止手段了。 在使用静态 IP 地址的局域网工作环境中，网络管理员可以使用 IP-MAC 地址绑定方法，也就是使用静态路由技术的方法来阻止普通工作站用4户随意进入 TCP/IP 属性设置窗口，胡乱修改本地系统的 IP 地址。考虑到在相同的局域网网段中，普通工作站的网络寻径不是根据主机的 IP 地址而是根据主机的物理地址来进行的，在不同网段之间通信时才会根据主机的 IP 地址进行网络寻径，所以作为局域

7、网网关的路由器设备上通常保存有 IP-MAC 的动态对应表，这是由 ARP 通信协议自动生成并维护的。我们可以进入局域网路由器的后台管理界面，从中找到配置 ARP 表的设置选项，对静态的 ARP 路由表进行个性化指定，日后局域网路由器设备会自动依照静态的 ARP 表检查通信数据包，要是无法对应，那么就不会进行数据转发操作。使用这种手段，网络管理员能够轻松地阻止非法攻击者在不修改网卡设备 MAC 地址的情况下，冒用合法工作站 IP 地址进行非法网络访问。 为了防止非法用户通过修改网卡 MAC 地址的方法来制造 IP 地址冲突故障现象，我们可以利用局域网交换机的端口绑定功能，来有效化解非法用户通过

8、修改网卡 MAC 地址的方法来适应静态 ARP 表的问题。大家知道，常见的可管理交换机都支持端口绑定功能，我们可以利用该功能提供的端口地址过滤模式，来实现阻止 IP 地址冲突的目的，因为交换机的端口地址过滤模式往往会允许每一个交换机连接端口仅允许具有合法 MAC地址的工作站访问网络，任何具有不合法 MAC 地址的工作站都将被交换机拒绝访问网络。 在组网规模较大的工作环境中，我们还可以通过划分虚拟子网的方法，来阻止 IP 地址冲突现象的发生。从严格意义上来说，划分虚拟工作子网其实并不属于技术措施，而是管理措施与技术措施结合在一起的手5段。将那些具有相同访问行为的 IP 地址统一划分到相同的虚拟工

9、作子网中，并正确设置好相关的路由策略，这样一来我们就能有效拒绝非法攻击者盗用其他工作子网 IP 地址现象的发生。 此外，我们在管理、维护局域网的过程中，尽量少用那些直接针对IP 地址授权的管理模式，而应该综合运用加密、口令、VPN 连接或其他身份认证机制，建立多层次的严密的安全体系，那样一来就能有效降低IP 地址冲突所带来的安全威胁了。 管理 局域网中发生 IP 地址冲突故障现象，不仅仅是简单的技术问题，同时还是一个网络管理员必须要认真面对的管理问题。为此，在采用了各种技术措施防范 IP 地址冲突现象发生外，我们还应该重视局域网的网络管理问题。首先应该加大宣传力度，让普通工作站用户都明白随意更

10、改IP 地址所带来的危害以及处罚措施，同时应该制定合适的 IP 地址管理制度，并要求每一位局域网用户都要严格遵守。例如建立的 IP 地址管理制度可以包括：IP 地址申请分配制度，IP 地址更改制度，IP 地址临时分配制度，工作站网卡 MAC 地址登记管理制度，非法更改 IP 地址的处罚制度等。 其次综合运行各种技术措施，对那些经常犯规的局域网上网用户进行严格限制。由于非法盗用 IP 地址的行为，总是局域网网络中极少数非法用户的行为。所以，对于已经投入使用的局域网网络来说，网络管理6员一定要仔细筛查当前存在的各种问题，然后有针对性地采取各种技术手段，对那些频繁违反 IP 地址管理制度的少数非法用

11、户进行重点防范。 第三在为规模较大的局域网网络划分虚拟工作子网时，我们一定要同时兼顾网络访问的简易性和可管理性。在尽量不增加网络建设成本和管理成本的前提下，应该善于使用划分虚拟工作子网的手段，来将那些网络访问权限比较接近的工作站划分到相同的工作子网中，这样一来就会尽可能地弱化非法盗用 IP 地址所造成的安全威胁了。 第四应该注重对局域网管理系统的部署。使用专业的网络管理工具，能够轻松实现静态 ARP 路由表绑定的初始化操作，可以减轻网络管理员大量的重复性操作，从而达到提升局域网管理效率的目的。善于使用各类专业网络管理工具的日志记录功能以及日常监视功能，网络管理员就能够在第一时间有效地发现局域网中的 IP 地址、网卡 MAC 地址以及重要网络端口等异常变化情况，这样有利于提高网络管理员查找、解决网络故障的效率。