局域網IP地址沖突分析及解決方法

田 野

(駐馬店高級技工學校，河南 駐馬店 463000）

0 引言

隨著Internet的迅速發展及網絡設施的大規模投入，作為網絡管理人員，面臨的問題越來越多，如：網絡的穩定性；網絡提供的功能與服務質量；用戶多變的需求等。其中局域網的正常運行最基本也是最主要的問題就是IP地址的管理。IP地址管理不當將會給網絡管理人員和網絡用戶造成極大的不便，在這其中，IP沖突是IP地址管理中最具代表性的問題，也是網絡地址管理的基本問題。

1 IP沖突的現象及原因分析

1.1 IP地址沖突的現象

IP地址沖突是對用戶而言的，IP地址沖突發生時，用戶會看到一些提示信息，如在常用的windows xp操作系統下會提示：“windows系統錯誤，IP地址與網絡上的其他系統有沖突”這時，發生沖突的計算機均不能正常訪問網絡，簡單的說，IP沖突就是局域網內兩個以上的用戶在使用同一個IP地址。

1.2 IP地址沖突的原因

TCP/IP是一組協議的簡稱，包括上百個各種功能的協議，如：遠程登錄、文件傳輸等，而TCP協議和IP協議是保證數據完整傳輸的兩個基本的重要協議。TCP/IP協議模型由四層結構組成：網絡接口層、網絡層、傳輸層和應用層。

計算機啟動時，TCP/IP有一個初始化過程，在這一過程中，計算機發出一個ARP廣播以便為IP地址請求地址解析。如果另一個主機回答此ARP請求分組中的任何一個，就表示該主機己經在使用此IP地址，地址發生了沖突。檢側到地址沖突時，計算機照樣引導，但禁用此廣播ARP請求的計算機上的重復IP地址，并顯示一條IP地址沖突的錯誤提示信息。

由TCP/IP工作原理可以看出，IP沖突的實質就是IP的重復使用，共原因有以下幾種：

1）管理員管理不善，對用戶分配了相同的IP地址；

2）用戶對網絡參數設置不了'解，未按要求正確輸入IP地址；

3）由維修人員為做調試臨時改變計算機IP地址；

4）用戶擅自修改管理員分配的IP地址，即使用了IP地址(這里所說的非法指的是用戶未按管理員的要求使用公有或者私有IP地址)，這種情況可稱為IP地址盜用，又可分為兒種情況：靜態修改IP,成對修改物理地址和IP地址、IP欺騙等。

2 解決方案

針對以上幾個IP地址沖突的原因，前三種情祝出現的可能性較小，即使出現，解決起來相對也比較容易，對管理員而言要做到兩個方面：一是加強管理，避免IP地址的重復分配，另一方面要對用戶進行簡單說明，避免誤設置，并在維修人員為了調試而修改IP地址后及時改回，同時要求用戶出現IP地址沖突時不要私自更改IP地址，及時報知管理員。

最后一種情況解決起來比較復雜，可以使用的方案有三種：一種是IP地址動態分配；另一種是靜態分配，但要做到合理規劃IP地址的分配，同時加強對用戶計算機物理地址的管理；三是通過應用層認證上網。現分別說明如下：

2.1 IP地址的動態分配

IP地址的動態分配主要通過DHCP實現。DHCP稱為動態主機配置協議，DHCP服務允許計算機連接到網絡并且自動獲取一個IP地址，配置DHCP服務的服務器可以為每一個網絡客戶提供一個IP地址、子網掩碼、缺省網關、以及一個以上DNS服務器的IP地址。

DHCP的優點是：對網絡管理員而言，可以更有效的監控IP地址和其他配置參數，DHCP不會同時租借相同的IP地址給兩臺主機；對用戶而言，只需要將TCP/IP配置項設置為自動獲取IP地址或自動獲取DNS地址，用戶計算機在不同子網間物理移動時不需要重新設置IP地址。

DHCP的缺點是：DHCP不能發現網絡上非DHCP客戶機已經在使用的IP地址。這樣單純使用DHCP的方式還不能解決局城網中IP地址非法使用的問題。原因是由于用戶可以手工設定IP，并且該手工設定的IP有可能被DHCP服務器分配給第二個用戶，從而造成IP地址的沖突。

如何控制用戶不能設定靜態IP地址是該解決方案的關鍵，這需要一個支持DHCP SNOOPING功能的交換機。DHCP SNOOPING功能是DHCP的一項安全特性，啟用該功能后，交換機會監聽DHCP的IP地址分配過程，同時交換機會生成一個IP地址、MAC地址、交換機端口的對應表.然后報據DHCP SNOOPING監聽獲得的IP地址、MAC地址、交換機瑞口對應表，進行綁定。在開啟Dynamic ARP Inspection后，交換機將監聽所有的ARP數據包，一旦發現ARP數據包中源IP地址和MAC地址的對應關系和DHCP SNOOPING獲得的對應關系不同，則丟棄數據包，這樣就可以防止用戶私自更改地址。

2.2 加強對物理地址的管理

可在二層交換機上做端口綁定，即端口與MAC地址綁定，這要求管理員在分配給用戶IP地址的同時要獲得用戶的MAC地址。或在三層交換機上做IP與MAC的綁定。

這種方法只能在一定程度防止用戶盜用IP地址。一種可能的情況是同一個局域網內的非法用戶設置了與合法用戶相同的IP地址，雖然非法用戶無法上網，但合法用戶也無法上網。面管理員卻無法獲得非法用戶的MAC地址。這就意味著一種管理員可能無法控制的情況，對這種情祝可通過兩種方法解決：

1）通過盡可能小的劃分VLAN，減小廣播域，這樣可有效屏蔽非法用戶所造成的影響。可以按每瑞口一個VLAN的方式劃分，為了節省VLAN號碼資源，有的交換機還可以啟用Isolate特性，或啟用Super VLAN特性來劃分Sub LAN。

2）當沖突發生時，可使用MAC地址掃描軟件，獲取局城網IP與MAC地址對應表，然后查看二層交換機MAC地址與端口對應表，即可找到非法使用IP地址的計算機所在的瑞口。

2.3 使用應用層認證

結合IP地址動態分配，使用認證是一種較好的方案。這種方案的缺點是花費較高，所以一般情況在局域網內不使用該方案。

3 結束語

作為一個負責的網絡管理員，應該在盡可能小的影響合法用戶的情況下，得到網絡管理的主動性與完備。.就技術而言，以上方案基本能解決IP沖突這一問題，如果還有合理積極的管理措施比如制訂嚴格的管理制度、盡可能的收集用戶資料建立用戶資料庫等能更好的解決問題。然而管理措施遠沒有技木措施有效，因為IP地址沖突歸根結底是技術原因造成的，而且更大的問題在于這種現象會隨著管理技術水平的發展而發展，從而變得更加難以解決。可是我們相信隨著網絡設備功能的日趨完善和網絡管理人員技術水平的提高，會有更多更好的防止IP地址沖突的方法。

［1］W.Richard Stevens.TCP/IP詳解卷 1:協議[M].北京:機械工業出版社,2000，04.

［2］謝希仁.計算機網絡.[M].5版.北京：電子工業出版社,2008，01.