摘要:文章以龍巖市農(nóng)業(yè)學(xué)校局域網(wǎng)為實例研究對象,介紹了IP地址的管理及IP地址的綁定技術(shù)。
關(guān)鍵詞:IP地址;MAC地址;ARP協(xié)議;端口;綁定
中圖分類號:TP393文獻標(biāo)識碼:A文章編號:1006-8937(2009)14-0122-01
1IP地址相關(guān)知識介紹
IP地址也可以稱為互聯(lián)網(wǎng)地址或Internet地址,是用來唯一標(biāo)識互聯(lián)網(wǎng)上計算機的邏輯地址。每臺連網(wǎng)計算機都依靠IP地址來標(biāo)識自己,IP地址必須唯一。IP地址的表示: 4個以小數(shù)點隔開的十進制整數(shù)就是一個IP地址。每部分的十進制的整數(shù)實際上由8個二進制數(shù)組成。 IP的結(jié)構(gòu)和分類:在IP地址的這四部分中,又可以分成兩部分,一部分是網(wǎng)絡(luò)號Network(用來標(biāo)識不同的網(wǎng)絡(luò)),一部分是主機號(標(biāo)識用于特定網(wǎng)絡(luò)區(qū)域內(nèi)的某臺主機)。IP地址的網(wǎng)絡(luò)部分是由IANA(Internet地址分配機構(gòu))統(tǒng)一分配的,而主機位IP地址是由得到網(wǎng)絡(luò)地址的機構(gòu)或組織自行分配。我們把IP地址分成A、B、C、D、E類:A類地址,第一組表示網(wǎng)絡(luò),后面三組表示主機。B類地址,第一,二組表示網(wǎng)絡(luò),后面兩組表示主機。C類地址,第一,二,三組表示網(wǎng)絡(luò),最后一組表示主機。為了確定IP地址的網(wǎng)絡(luò)號和主機號如何劃分,使用到了掩碼。也就是說在一個IP地址中,通過掩碼來決定哪部分表示網(wǎng)絡(luò),哪部分表示主機。大家規(guī)定,用“1”代表網(wǎng)絡(luò)部分,用“0”代表主機部分。也就是說,計算機通過IP地址和掩碼才能知道自己是在哪個網(wǎng)絡(luò)中。IP地址的獲得:有兩種方式,一種是靜態(tài)方式,一種是動態(tài)方式。
2IP地址及其管理
IP地址管理是成功的邏輯設(shè)計的基礎(chǔ)。任何一臺在局域網(wǎng)中“活動”的工作站,它都是通過IP地址這個“身份”與其他工作站進行溝通交流的,只要我們能安全妥善地管理好局域網(wǎng)中的所有IP地址,就能確保局域網(wǎng)始終處于高效運行狀態(tài)之中。學(xué)校從組建校園網(wǎng)以來一直采用用戶靜態(tài)IP地址分配。所有網(wǎng)絡(luò)用戶入網(wǎng)前需要事先從網(wǎng)絡(luò)中心申請獲取靜態(tài)IP地址。網(wǎng)絡(luò)中心收到申請后在用戶接入的二層交換機上完成一次用戶IP-MAC-接入交換機端口的綁定,使用這種方法來確認(rèn)最終用戶,消除IP地址盜用等情況。學(xué)校統(tǒng)一規(guī)劃分配IP地址給每個終端機器,并建立IP地址分配登記表,統(tǒng)計每個終端機器網(wǎng)卡的MAC地址,建立IP地址與MAC地址對照表。在交換機上采用VLAN(Virtual LAN,虛擬局域網(wǎng))技術(shù)解決廣播帶來的不良影響。我們學(xué)校劃分VLAN的方式是基于接口來劃分VLAN。交換機通過接口和客戶端相接,只要通過配置命令將交換機的接口分給不同的VLAN,就相當(dāng)于把這些客戶端劃分到了不同的廣播域。將接口劃分到VLAN的方式如下:以華為3100 EI系列交換機為例,登錄進入交換機,輸入管理口令進入系統(tǒng)視圖,敲入命令:
[H3C]VLAN 1
[H3C-VLAN1]quit
[H3C]VLAN 2to4//創(chuàng)建VLAN
[H3C]VLAN 2
[H3C-VLAN2]port Ethernet1/0/9 to Ethernet1/0/16 //添加9到16口到VLAN2
執(zhí)行上述命令,可在3100 EI交換機創(chuàng)建4個VLAN,并將相應(yīng)的端口劃分到對應(yīng)的VLAN中。
3IP地址的綁定技術(shù)
3.1基于交換機的IP地址、MAC地址、端口的綁定
①MAC地址及MAC地址的作用。MAC地址也叫物理地址、硬件地址或鏈路地址,由網(wǎng)絡(luò)設(shè)備制造商生產(chǎn)時寫在硬件內(nèi)部。MAC地址在計算機里都是以二進制表示的, MAC地址通常表示為12個16進制數(shù),每2個16進制數(shù)之間用冒號隔開,如:00-11-D8-29-09-78就是一個MAC地址,其中前6位16進制數(shù)00-11-D8代表網(wǎng)絡(luò)硬件制造商的編號,它由IEEE(電氣與電子工程師協(xié)會)分配,而后3位16進制數(shù)29-09-78代表該制造商所制造的某個網(wǎng)絡(luò)產(chǎn)品(如網(wǎng)卡)的系列號。只要你不去更改自己的MAC地址,那么你的MAC地址在世界是惟一的。 無論是局域網(wǎng),還是廣域網(wǎng)中的計算機之間的通信,最終都表現(xiàn)為將數(shù)據(jù)包從某種形式的鏈路上的初始節(jié)點出發(fā),從一個節(jié)點傳遞到另一個節(jié)點,最終傳送到目的節(jié)點。數(shù)據(jù)包在這些節(jié)點之間的移動都是由ARP(address resolution protocol:地址解析協(xié)議)負(fù)責(zé)將IP地址映射到MAC地址上來完成的。數(shù)據(jù)包在傳送過程中會不斷詢問相鄰節(jié)點的MAC地址。
?、诮粨Q機、端口、IP地址 三者的綁定。為了防止IP地址被盜用,就通過簡單的交換機端口綁定(端口的MAC表使用靜態(tài)表項),可以在每個交換機端口只連接一臺主機的情況下防止修改MAC地址的盜用。第一種方法:如果是可網(wǎng)管交換機還可以提供:交換機、端口、IP地址三者的綁定,一般綁定MAC地址都是在交換機和路由器上配置的。以華為3100 EI系列交換機為例,登錄進入交換機,輸入管理口令進入系統(tǒng)視圖,敲入命令:
[h3c]am user-bind mac-addr mac ip-addr ip interface 端口號
執(zhí)行上述命令將每個端口與相應(yīng)的計算機mac地址、IP地址綁定,保存并退出。
第二種方法: 同樣以華為3100 EI交換機為例,登錄進入交換機,也可以基于DHCP地址檢查功能實現(xiàn)IP地址與MAC地址的綁定。同樣采用上述操作,登錄進入交換機,輸入管理口令進入系統(tǒng)視圖,敲入命令:
[h3c]dhcp-security static ip mac
此命令將IP地址與MAC地址綁定。
通過這些設(shè)置,可以將局域網(wǎng)中的IP地址和MAC地址綁定,任何人在終端上任意更改IP地址,都不能使其登陸互連網(wǎng),這樣就便于網(wǎng)絡(luò)管理員更好的維護整個網(wǎng)絡(luò)的正常、安全的運行。
3.2應(yīng)用ARP綁定IP地址和MAC地址
?、偈裁词茿RP及ARP的作用。我們知道,當(dāng)我們在瀏覽器里面輸入網(wǎng)址時,DNS服務(wù)器會自動把它解析為IP地址,瀏覽器實際上查找的是IP地址而不是網(wǎng)址。那么IP地址是如何轉(zhuǎn)換為第二層物理地址(即MAC地址)的呢?在局域網(wǎng)中,這是通過ARP協(xié)議來完成的。ARP(Address Resolution Protocol)即地址解析協(xié)議,ARP協(xié)議為IP地址到對應(yīng)的MAC地址之間提供動態(tài)映射。在以太網(wǎng)中,一個主機要和另一個主機進行直接通信,必須要知道目標(biāo)主機的MAC地址。ARP協(xié)議的基本功能就是通過目標(biāo)設(shè)備的IP地址,查詢目標(biāo)設(shè)備的MAC地址,以保證通信的順利進行。ARP協(xié)議對網(wǎng)絡(luò)安全具有重要的意義。通過偽造IP地址和MAC地址可實現(xiàn)ARP欺騙,能夠在網(wǎng)絡(luò)中產(chǎn)生大量的ARP通信量使網(wǎng)絡(luò)阻塞。
②使用ARP綁定IP地址和MAC地址。在每臺安裝有TCP/IP協(xié)議的電腦里都有一個ARP緩存表,表里的IP地址與MAC地址是一一對應(yīng)的。我們可以在ARP表里將合法用戶的IP地址和網(wǎng)卡的MAC地址進行綁定。當(dāng)有人盜用IP地址時,盡管盜用者修改了IP地址,但由于網(wǎng)卡的MAC地址和ARP表中對應(yīng)的MAC地址不一致,那么也不能訪問網(wǎng)絡(luò)。以華為3100 EI系列交換機為例,登錄進入交換機,輸入管理口令進入系統(tǒng)視圖,敲入命令:
[h3c] arp static ipmac
執(zhí)行上述命令,可將相應(yīng)計算機的IP地址和MAC地址綁定。
例如:[h3c]arp static 21.90.21.1 00-80-1c-90-80-41(將IP地址21.90.21.1和網(wǎng)卡MAC地址00-80-1c-90-80-41綁定);
TCP/IP作為Internet網(wǎng)絡(luò)協(xié)議,已經(jīng)被廣泛用于各種類型的局域網(wǎng)絡(luò)。而IP地址作為網(wǎng)絡(luò)中的主要尋址方式,也已經(jīng)被各種操作系統(tǒng)廣泛采用,因此IP地址在網(wǎng)絡(luò)管理中顯得尤為重要。
參考文獻:
[1] 潘愛民.計算機網(wǎng)絡(luò)(第四版)中文版[M].北京:清華大學(xué)出版社,2004.
