輕松解決企業網絡IP地址盜用難題
作為一個網管，我們單位的100多臺計算機都在我的掌控之下，為了區分不同用戶，分配更詳細的訪問權限，我們采用的是設置固定IP的方法，而不是自動獲取IP地址。此外，因為業務需要，公司還要有一部分要連到互聯網上。這樣就要設兩個子網，比如：內網我們設為192.168.0.1網段，能連外網的我們設為192.168.1.1網段。然而在實際的使用過程中，出現了很令人頭痛的事情，有用戶為了上網私自修改IP地址，從而造成網絡沖突的問題。而我這個網管也因此不得安寧，經常有人打電話說他的電腦無法上網，請咱過去處理。
一、沖突用戶電腦是怎么做的?
因為目前網絡中計算機安裝的系統大多是Windows XP，可以設兩個以上的IP。所以用戶經常私自設置上兩個網段的IP地址，這樣第一可以聯入單位的局域網也可以連到因特網。具體操作是“Internet協議(TCP/IP)屬性”中點擊“高級”，通過“添加”進行IP地址的設置(如圖1)。
圖1
在公司經理要求下，搜索大腦中的知識信息，功夫不付有心人，終于想到了兩個解決方法。為了讓其他網管能夠和我一樣順利解決問題，我把自己解決的過程和心得介紹給大家。
二、IP與MAC地址的綁定加上路由器的MAC過濾功能
在小型企業網絡中，一般采用的都是較低寬的寬帶路由器，例如我用的是TP-LINK路由器。因此我們可以將IP與MAC地址綁定，然后在路由器中添加MAC過濾即可。
如何查找MAC地址
1、在Windows 9x/2000/XP下單擊“開始/程序”，找到“MS-DOS方式”或“命令提示符”。
2、在命令提示符下輸入：“Ipconfig/all”，回車后出現如附圖所示的對話框，其中的“Physical Address”即是所查的MAC地址(如圖2)。
圖2#p#
小提示：何為MAC地址?
網卡在使用中有兩類地址，一類是大家都熟悉的IP地址，另一類就是MAC地址，即網卡的物理地址，也稱硬件地址或鏈路地址，這是網卡自身的惟一標識，就仿佛是我們的身份證一樣，一般不能隨意改變。它與網絡無關，無論把這個網卡接入到網絡的什么地方，MAC地址都是不變的。其長度為48位二進制數，由12個00 ~0FFH的16進制數組成，每個16進制數之間用“-”隔開，如“00-10-5C-AD-72-E3”。
3、IP與MAC地址的綁定
在客戶端使用ARP -s 192.168.1.201 00-10-5C-CE-AB-60的命令，這樣就將靜態IP地址192.168.1.201與網卡地址為00-10-5C-CE-AB-60的計算機綁定在一起了。使別人就不能使用這個IP地址了。再進入路由器的MAC過濾功能，通過“添加新條目”將此MAC網卡地址00-10-5C-CE-AB-60添加進去即可(如圖3)。這一方法雖然可以在一定程度上解決非法用戶網絡接入的問題和網絡沖突的問題，但只適用于小型網絡。
三、交換機的MAC地址與端口綁定
解決IP地址的最徹底的方法是使用交換機進行控制，即在TCP/IP第二層進行控制：使用交換機提供的端口的單地址工作模式，即交換機的每一個端口只允許一臺主機通過該端口訪問網絡，任何其它地址的主機的訪問被拒絕。
我將交換機的MAC地址與端口綁定后，擅自改動本機網卡的MAC地址，該機器的網絡訪問將因其MAC地址被交換機認定為非法而無法實現，自然也就不會對局域網造成干擾了。這樣一來，經過嘗試失敗之后，他們也就知難而退了。
登錄進入交換機(因為我單位用的是CISCO交換機，所以此處以CISCO交換機為例)，輸入管理口令進入配置模式，然后鍵入如下命令：
(config)#mac_address_table permanent MAC地址 以太網端口號 |
這樣逐一地將每個端口與相應的計算機MAC地址進行綁定，保存退出后就徹底阻止了用戶的非法修改。
在實際的應用中，我們可以將上述兩種方法綜合使用，一般即可阻止用戶的非法修改IP地址使用網絡，而且也沒有了IP沖突了。
【編輯推薦】
