學校校園網絡ＩＰ地址的管理及ＩＰ、ＭＡＣ、端口的綁定

摘要:文章以龍巖市農業學校局域網為實例研究對象，介紹了IP地址的管理及IP地址的綁定技術。

關鍵詞:IP地址;MAC地址;ARP協議;端口;綁定

中圖分類號:TP393文獻標識碼:A文章編號:1006-8937(2009)14-0122-01

1IP地址相關知識介紹

IP地址也可以稱為互聯網地址或Internet地址，是用來唯一標識互聯網上計算機的邏輯地址。每臺連網計算機都依靠IP地址來標識自己，IP地址必須唯一。IP地址的表示: 4個以小數點隔開的十進制整數就是一個IP地址。每部分的十進制的整數實際上由8個二進制數組成。 IP的結構和分類:在IP地址的這四部分中，又可以分成兩部分，一部分是網絡號Network(用來標識不同的網絡)，一部分是主機號(標識用于特定網絡區域內的某臺主機)。IP地址的網絡部分是由IANA(Internet地址分配機構)統一分配的，而主機位IP地址是由得到網絡地址的機構或組織自行分配。我們把IP地址分成A、B、C、D、E類:A類地址，第一組表示網絡，后面三組表示主機。B類地址，第一，二組表示網絡，后面兩組表示主機。C類地址，第一，二，三組表示網絡，最后一組表示主機。為了確定IP地址的網絡號和主機號如何劃分，使用到了掩碼。也就是說在一個IP地址中，通過掩碼來決定哪部分表示網絡，哪部分表示主機。大家規定，用“1”代表網絡部分，用“0”代表主機部分。也就是說，計算機通過IP地址和掩碼才能知道自己是在哪個網絡中。IP地址的獲得:有兩種方式，一種是靜態方式，一種是動態方式。

2IP地址及其管理

IP地址管理是成功的邏輯設計的基礎。任何一臺在局域網中“活動”的工作站，它都是通過IP地址這個“身份”與其他工作站進行溝通交流的，只要我們能安全妥善地管理好局域網中的所有IP地址，就能確保局域網始終處于高效運行狀態之中。學校從組建校園網以來一直采用用戶靜態IP地址分配。所有網絡用戶入網前需要事先從網絡中心申請獲取靜態IP地址。網絡中心收到申請后在用戶接入的二層交換機上完成一次用戶IP-MAC-接入交換機端口的綁定，使用這種方法來確認最終用戶，消除IP地址盜用等情況。學校統一規劃分配IP地址給每個終端機器，并建立IP地址分配登記表，統計每個終端機器網卡的MAC地址，建立IP地址與MAC地址對照表。在交換機上采用VLAN(Virtual LAN，虛擬局域網)技術解決廣播帶來的不良影響。我們學校劃分VLAN的方式是基于接口來劃分VLAN。交換機通過接口和客戶端相接，只要通過配置命令將交換機的接口分給不同的VLAN，就相當于把這些客戶端劃分到了不同的廣播域。將接口劃分到VLAN的方式如下:以華為3100 EI系列交換機為例，登錄進入交換機，輸入管理口令進入系統視圖，敲入命令:

[H3C]VLAN 1

[H3C-VLAN1]quit

[H3C]VLAN 2to4//創建VLAN

[H3C]VLAN 2

[H3C-VLAN2]port Ethernet1/0/9 to Ethernet1/0/16 //添加9到16口到VLAN2

執行上述命令，可在3100 EI交換機創建4個VLAN，并將相應的端口劃分到對應的VLAN中。

3IP地址的綁定技術

3.1基于交換機的IP地址、MAC地址、端口的綁定

①MAC地址及MAC地址的作用。MAC地址也叫物理地址、硬件地址或鏈路地址，由網絡設備制造商生產時寫在硬件內部。MAC地址在計算機里都是以二進制表示的， MAC地址通常表示為12個16進制數，每2個16進制數之間用冒號隔開，如:00-11-D8-29-09-78就是一個MAC地址，其中前6位16進制數00-11-D8代表網絡硬件制造商的編號，它由IEEE(電氣與電子工程師協會)分配，而后3位16進制數29-09-78代表該制造商所制造的某個網絡產品(如網卡)的系列號。只要你不去更改自己的MAC地址，那么你的MAC地址在世界是惟一的。 無論是局域網，還是廣域網中的計算機之間的通信，最終都表現為將數據包從某種形式的鏈路上的初始節點出發，從一個節點傳遞到另一個節點，最終傳送到目的節點。數據包在這些節點之間的移動都是由ARP(address resolution protocol:地址解析協議)負責將IP地址映射到MAC地址上來完成的。數據包在傳送過程中會不斷詢問相鄰節點的MAC地址。

②交換機、端口、IP地址 三者的綁定。為了防止IP地址被盜用，就通過簡單的交換機端口綁定(端口的MAC表使用靜態表項)，可以在每個交換機端口只連接一臺主機的情況下防止修改MAC地址的盜用。第一種方法:如果是可網管交換機還可以提供:交換機、端口、IP地址三者的綁定，一般綁定MAC地址都是在交換機和路由器上配置的。以華為3100 EI系列交換機為例，登錄進入交換機，輸入管理口令進入系統視圖，敲入命令:

[h3c]am user-bind mac-addr mac ip-addr ip interface 端口號

執行上述命令將每個端口與相應的計算機mac地址、IP地址綁定，保存并退出。

第二種方法: 同樣以華為3100 EI交換機為例，登錄進入交換機，也可以基于DHCP地址檢查功能實現IP地址與MAC地址的綁定。同樣采用上述操作，登錄進入交換機，輸入管理口令進入系統視圖，敲入命令:

[h3c]dhcp-security static ip mac

此命令將IP地址與MAC地址綁定。

通過這些設置，可以將局域網中的IP地址和MAC地址綁定，任何人在終端上任意更改IP地址，都不能使其登陸互連網，這樣就便于網絡管理員更好的維護整個網絡的正常、安全的運行。

3.2應用ARP綁定IP地址和MAC地址

①什么是ARP及ARP的作用。我們知道，當我們在瀏覽器里面輸入網址時，DNS服務器會自動把它解析為IP地址，瀏覽器實際上查找的是IP地址而不是網址。那么IP地址是如何轉換為第二層物理地址(即MAC地址)的呢?在局域網中，這是通過ARP協議來完成的。ARP(Address Resolution Protocol)即地址解析協議，ARP協議為IP地址到對應的MAC地址之間提供動態映射。在以太網中，一個主機要和另一個主機進行直接通信，必須要知道目標主機的MAC地址。ARP協議的基本功能就是通過目標設備的IP地址，查詢目標設備的MAC地址，以保證通信的順利進行。ARP協議對網絡安全具有重要的意義。通過偽造IP地址和MAC地址可實現ARP欺騙，能夠在網絡中產生大量的ARP通信量使網絡阻塞。

②使用ARP綁定IP地址和MAC地址。在每臺安裝有TCP/IP協議的電腦里都有一個ARP緩存表，表里的IP地址與MAC地址是一一對應的。我們可以在ARP表里將合法用戶的IP地址和網卡的MAC地址進行綁定。當有人盜用IP地址時，盡管盜用者修改了IP地址，但由于網卡的MAC地址和ARP表中對應的MAC地址不一致，那么也不能訪問網絡。以華為3100 EI系列交換機為例，登錄進入交換機，輸入管理口令進入系統視圖，敲入命令:

[h3c] arp static ipmac

執行上述命令，可將相應計算機的IP地址和MAC地址綁定。

例如:[h3c]arp static 21.90.21.1 00-80-1c-90-80-41(將IP地址21.90.21.1和網卡MAC地址00-80-1c-90-80-41綁定);

TCP/IP作為Internet網絡協議，已經被廣泛用于各種類型的局域網絡。而IP地址作為網絡中的主要尋址方式，也已經被各種操作系統廣泛采用，因此IP地址在網絡管理中顯得尤為重要。

參考文獻:

[1] 潘愛民.計算機網絡(第四版)中文版[M].北京:清華大學出版社，2004.