IP地址管理技术在企业局域网中的应用

摘要：文章以呼和浩特供电局局域网为实例研究对象，结合思科6500、4500、3550、2960系列交换机介绍了IP地址的管理技术在企业内部的具体应用。

关键词：IP地址 MAC地址 子网划分 端口 绑定

中图分类号：TN393.08 文献标识码：A 文章编号：1007-9416（2013）03-0067-01

随着互联网技术迅速发展和企业网络系统的不断扩展，推动了基于IP协议的通信量的巨增，随之而来的是IP地址管理问题，特别是局域网内部IP地址管理。而IP地址管理中最重要的就是网络安全问题，影响网络安全的因素很多，IP盗用或地址欺骗就是其中一个常见且危害极大的因素。如果没有有效的管理，就会导致网络可用性和服务质量的下降，甚至网络的崩溃。面对这种情况，我局采取了对应的解决方法：将局域网划分为各个子网，并将MAC地址与IP地址绑定，有效完成了网络管理，防止了局域网IP盗用。

1 IP地址及其管理

IP地址管理主要用于给一个物理设备分配一个逻辑地址，子网划分是IP地址管理的重要一步。通过子网划分，可以充分的利用了IP地址，使剩余IP地址发挥应有作用。 MAC地址是收录在网卡里的，也叫硬件地址，是由12个十六进制数（0-F）共48位表示。ARP（地址解析协议）是获取物理地址的一个TCP/IP协议。某节点的IP地址的ARP请求被广播到网络上后，这个节点会收到确认其物理地址的应答，这样的数据包才能被传送出去。在计算机的ARP缓存中包含一个或多个表，用于存储IP地址及其经过解析的以太网MAC地址。我局从组建局域网以来一直采用用户静态IP地址分配。所有网络用户入网前需要事先从信息中心申请获取静态IP地址。信息中心收到申请后在用户接入的二层交换机上完成一次用户IP-MAC接入交换机端口的绑定，使用这种方法来确认最终用户，消除IP地址盗用等情况。

2 MAC地址的绑定技术

2.1 基于交换机的MAC地址、端口的绑定

以思科2960交换机为例，登录进入交换机，输入管理口令进入配置模式，敲入命令：

cisco2960#config terminal

//进入交换机配置模式

cisco2960 （config）# Interface fastethernet 0/1

//进入交换机1端口配置模式

cisco2960 （config-if）#switchport port-secruity

//配置端口安全模式

cisco2960 （config-if ）switchport port-security mac-address MAC（主机的MAC地址）

//配置主机的MAC地址

cisco2960（config-if）#switchport port-security maximum *

//* 其实缺省是1，可以根据需要绑定的计算机数量重新定义值（1-132）

cisco2960（config-if）#switchport port-security violation restrict

//如果违反规则，访问就会被拒绝不能连接网络。

注意：以上命令设置交换机上某个端口绑定一个具体的MAC地址，这样只有这个主机可以使用网络，如果对该主机的网卡进行了更换或者其他PC机想通过这个端口使用网络都不可用，除非删除或修改该端口上绑定的MAC地址，才能正常使用。

2.2 基于MAC地址的扩展访问列表

以思科3550系列交换机为例，登录进入交换机，输入管理口令进入系统视图，

cisco3550 （config）Mac access-list extended MAC10

#定义一个MAC地址访问控制列表并且命名该列表名为MAC10 （转载注明出处n et130）

cisco3550 （config）permit host 0009.6bc4.d4bf any

#定义MAC地址为0009.6bc4.d4bf的主机可以访问任意主机

cisco3550 （config）permit any host 0009.6bc4.d4bf

#定义所有主机可以访问MAC地址为0009.6bc4.d4bf的主机

cisco3550 （config-if ）interface Fa0/20

#进入配置具体端口的模式

cisco3550 （config-if ）mac access-group MAC10 in

#在该端口上应用名为MAC10的访问列表（即前面我们定义的访问策略）

cisco3550 config）no mac access-list extended MAC10

#清除名为MAC10的访问列表

此功能与应用一大体相同，但它是基于端口做的MAC地址访问控制列表限制，可以限定特定源MAC地址与目的地址范围。

注意：以上功能在思科2950、3550、4500、6500系列交换机上可以实现，但是需要注意的是2950、3550需要交换机运行增强的软件镜像（Enhanced Image）。

3 结语

通过这些设置，可以将局域网中的IP地址和MAC地址绑定，任何人在终端上任意更改IP地址，都不能使其登陆互连网，这样就便于网络管理员更好的维护整个网络的正常、安全的运行。通过使用MAC地址和IP地址可以有效的防止IP地址被盗用的情况，虽然在前期收集用户MAC地址的时候比较麻烦，但是建立这样的机制能够为用户在管理网络时带来很多的方便。所以，我们在构建网络的初期就应该将局域网内机器的MAC地址信息收集起来，为我们今后的网络管理工作带来便利。

参考文献

[1]潘爱民.计算机网络（第四版）中文版[M].北京：清华大学出版社，2004.

[2]Cisco网络核心技术精解.北京万水电子信息有限公司，2005.

[3]cisco访问表配置指南.机械工业出版社，2000.