|
|
|
局域網(wǎng)的一大特點就是擁有一定數(shù)量的終端用戶。作為省屬重點中學，筆者所在學校局域網(wǎng)的終端 用戶有600多個，為了區(qū)分各類不同用戶，我們采用的是終端固定IP設置的方法。和其他許多學校的網(wǎng)管一樣，我們也一直被終端用戶私改IP地址造成的網(wǎng)絡 沖突問題困擾著。咨詢相關網(wǎng)絡公司，他們也提供了不少解決方案，但大多價格不菲。沒有辦法，只好絞盡腦汁自己想辦法了。筆者采用了基于防火墻的IP地址與 MAC地址綁定+基于交換機的MAC地址與端口綁定的二級管理方法，雙管齊下，較好地解決了這個問題。現(xiàn)將實現(xiàn)方法闡述如下：
一、基于防火墻的IP地址與MAC地址綁定
1． 做好整個局域網(wǎng)終端用戶計算機的命名，指定IP地址
根據(jù)用戶的類別統(tǒng)一命名計算機，并給定IP地址。這樣一看機器名，就知道是哪個部門哪臺機器，便于管理。比如高一年級語文組1號機器，我們就將其命名為“gaoyiyuwen01”。
同時，統(tǒng)一規(guī)劃分配IP地址給每臺終端機器，并建立IP地址分配登記表（見附表）。
某中學局域網(wǎng)ip地址綜合管理登記表
2． 統(tǒng)計每個終端機器網(wǎng)卡的MAC地址，建立IP地址與MAC地址對應表
我們知道，在MS-DOS方式下鍵入命令“Winipcfg”就可以獲得本機IP地址和 MAC地址（Windows 98系統(tǒng)下）。我們可以將此方法公布一下，然后要求相關用戶將本機MAC地址抄錄上報到網(wǎng)管中心，再進行登記匯總。也可在設定機器名和IP地址時一并統(tǒng)計 好。
網(wǎng)絡管理員也可以利用Nbtstat命令來遠程獲得指定機器的MAC地址。在MS-DOS方式下鍵入命令“Nbtstat -a 遠程計算機名”，即可獲得指定機器的IP地址和MAC地址。
3． 將IP地址與MAC地址綁定
這要根據(jù)局域網(wǎng)接入互聯(lián)網(wǎng)的方式不同而采用不同的辦法。如果是采用代理服務器接入互聯(lián)網(wǎng)，那就使用命令：
ARP -s IP地址 MAC地址
例：ARP -s 192.168.1.4 00-EO-4C-6C-08-75
這樣，就將靜態(tài)IP地址192.168.1.4與網(wǎng)卡地址為00-EO-4C-6C-08-75的計算機綁定在一起了，即使別人盜用您的IP地址192.168.1.4，也無法通過代理服務器上網(wǎng)。
如果是通過路由器直接接入互聯(lián)網(wǎng)，最好通過硬件防火墻來實現(xiàn)IP與MAC地址的綁定。一般的硬件防火墻都具有這個功能，具體操作也非常簡單。
到這里似乎可以大功告成了，但事情并不像我們想象的那么簡單。花了相當多的精力構筑起來 的防線不到一個月就又沖突依舊了。原來，有的終端用戶通過修改注冊表、下載專用小工具等方法，沒費多少力氣就更改了本機的MAC地址，甚至于將本機的 MAC地址和IP地址改得和主服務器一模一樣，搞得局域網(wǎng)內(nèi)又雞犬不寧了。
二、基于交換機的MAC地址與端口綁定
為了進一步解決這個問題，筆者又想到了基于交換機的MAC地址與端口綁定。這樣一來，終端用戶如果擅自改動本機網(wǎng)卡的MAC地址，該機器的網(wǎng)絡訪問將因其MAC地址被交換機認定為非法而無法實現(xiàn)，自然也就不會對局域網(wǎng)造成干擾了。
以思科3548交換機為例，登錄進入交換機，輸入管理口令進入配置模式，敲入命令：
(config)#mac_address_table permanent MAC地址 以太網(wǎng)端口號
這樣逐一將每個端口與相應的計算機MAC地址綁定，保存并退出。其他品牌的交換機只要是可以網(wǎng)管的，大多可以仿此操作。
|
|
發(fā)表留言請先登錄！
|