校園網(wǎng)IP地址管理研究

1、    校園網(wǎng)ip地址管理研究     摘要：基于校園網(wǎng)中安全問題的復(fù)雜性，加強(qiáng)ip地址管理是使校園網(wǎng)安全、高效運(yùn)轉(zhuǎn)的重要保障。本文深入地探討了校園網(wǎng)ip地址管理中的一些核心問題、基本原則和注意事項(xiàng)，并對(duì)實(shí)踐中突出存在的ip地址盜用現(xiàn)象進(jìn)行了分析，提出了有效的管理辦法。關(guān)鍵詞：ip地址，mac地址，dhcp，vlan，ip盜用tcpip協(xié)議的網(wǎng)絡(luò)層使用的地址標(biāo)識(shí)符稱為ip地址，用于解決互聯(lián)網(wǎng)絡(luò)中主機(jī)、路由器及其他設(shè)備的全局唯一的標(biāo)識(shí)問題。在校園網(wǎng)使用中，也必須給每臺(tái)入網(wǎng)的機(jī)器配置唯一合法的ip地址，才能保障內(nèi)部與內(nèi)部，內(nèi)部與外部之間的正常通訊。

2、隨著接入internet機(jī)器數(shù)量的迅猛增加，ip地址已成為極其重要的緊俏資源。一般來說，目前任何一個(gè)學(xué)校申請(qǐng)到的外部ip地址是極其有限的，因而校園網(wǎng)lan內(nèi)部大都采用內(nèi)部私有地址，通過nat轉(zhuǎn)換與internet進(jìn)行通信。為了合理地分配和有效地利用好這一內(nèi)外ip地址，保證用戶電腦正常使用網(wǎng)絡(luò)資源和保護(hù)用戶權(quán)益不受侵犯，加強(qiáng)ip地址管理已成為網(wǎng)絡(luò)管理的重要內(nèi)容。特別是針對(duì)高等院校這樣一個(gè)人員眾多、知識(shí)結(jié)構(gòu)復(fù)雜、上網(wǎng)目的各異、部門林立、物理位置廣闊分散的單位，ip地址管理更應(yīng)引起網(wǎng)絡(luò)管理部門的高度重視，否則可能引起大面積的停網(wǎng)甚至全網(wǎng)癱瘓。根據(jù)我們多年的實(shí)踐，在ip地址管理中主要應(yīng)注意以下幾個(gè)方面

3、的問題。一、合理的vlan劃分是關(guān)鍵vlan（virtual local area network）即虛擬局域網(wǎng)，是一種通過將局域網(wǎng)內(nèi)的設(shè)備邏輯地而不是物理地劃分成一個(gè)個(gè)網(wǎng)段，從而實(shí)現(xiàn)虛擬工作組的技術(shù)。vlan技術(shù)允許網(wǎng)管員將一個(gè)物理的lan邏輯地劃分成不同vlan，每一個(gè)vlan都包含一組有著相同需求的計(jì)算機(jī)工作站，與物理上形成的lan有著相同的屬性。但由于它是邏輯地而不是物理地劃分，所以同一個(gè)vlan內(nèi)的各個(gè)工作站無(wú)需放置在同一個(gè)物理空間里，即這些工作站不一定屬于同一個(gè)物理lan網(wǎng)段。一個(gè)vlan內(nèi)部的廣播和單播流量都不會(huì)轉(zhuǎn)發(fā)到其他vlan中，從而有助于控制流量、減少設(shè)備投資、簡(jiǎn)化網(wǎng)絡(luò)管理

4、、提高網(wǎng)絡(luò)的安全性；同時(shí)vlan技術(shù)在以太網(wǎng)幀的基礎(chǔ)上增加了vlan頭，用vlanid把用戶劃分為更小的工作組，限制不同工作組間的用戶二層互訪，每個(gè)工作組就是一個(gè)虛擬局域網(wǎng)，限制了以太網(wǎng)的廣播范圍，并能夠形成虛擬工作組，動(dòng)態(tài)管理網(wǎng)絡(luò)。當(dāng)然由于vlan之間必須通過路由才能訪問，因此某一vlan中的用戶將無(wú)法盜用其他vlan中的ip地址。vlan在交換機(jī)上的實(shí)現(xiàn)方法可以大致劃分為4類，但在實(shí)踐中根據(jù)端口劃分是目前定義vlan的最廣泛的方法，ieee802.1q規(guī)定了依據(jù)以太網(wǎng)交換機(jī)的端口來劃分vlan的國(guó)際標(biāo)準(zhǔn)。這種劃分方法的優(yōu)點(diǎn)是定義vlan成員時(shí)非常簡(jiǎn)單。針對(duì)一個(gè)具體的校園網(wǎng)絡(luò)，如何劃分vla

5、n，劃分多少vlan，應(yīng)兼顧設(shè)備性能、使用者、地理分布、方便維護(hù)、重要性幾個(gè)大的因素。一般地講，關(guān)鍵的設(shè)備如路由器、防火墻、服務(wù)器應(yīng)與其他vlan分開；管理vlan應(yīng)與一般vlan分開；教工宿舍不應(yīng)整體劃分在一個(gè)大的vlan內(nèi)，而應(yīng)按宿舍樓劃分成不同的vlan，學(xué)生宿舍亦如此；教學(xué)區(qū)一般應(yīng)按樓宇劃分vlan，機(jī)房應(yīng)按不同的房號(hào)劃分vlan，管理機(jī)關(guān)也應(yīng)按照部門重要性的不同劃分vlan，而不應(yīng)籠統(tǒng)地在一個(gè)vlan中，如招生就業(yè)部門、教務(wù)管理部門、圖書館應(yīng)與其他vlan分開等。vlan劃分是ip地址管理中最初的一環(huán)，也是最關(guān)鍵的一環(huán)，它將直接影響到網(wǎng)絡(luò)運(yùn)行的質(zhì)量。vlan劃分的好壞將直接影響網(wǎng)絡(luò)的

6、使用效果和維護(hù)成本，既不能過粗也不能過細(xì)，網(wǎng)管部門應(yīng)根據(jù)實(shí)際情況加以劃分并在實(shí)踐中適當(dāng)調(diào)整。二、確定ip地址的分配策略ip地址是用來唯一標(biāo)識(shí)internet上計(jì)算機(jī)的邏輯地址，每臺(tái)聯(lián)網(wǎng)計(jì)算機(jī)都依靠ip地址來互相區(qū)分、相互聯(lián)系，因此ip地址必須唯一。ip地址由統(tǒng)一的組織負(fù)責(zé)分配，任何個(gè)人都不能隨便使用。即使采用私有地址的lan，ip地址也必須由網(wǎng)絡(luò)管理部門統(tǒng)一規(guī)劃分配，否則就會(huì)引起沖突和混亂。ip地址的分配有兩種方式，一種是靜態(tài)方式，一種是動(dòng)態(tài)方式，還可以根據(jù)需要將兩種方式結(jié)合使用，即混合分配方式。靜態(tài)分配ip地址是指給每一臺(tái)計(jì)算機(jī)都分配一個(gè)固定的ip地址，優(yōu)點(diǎn)是便于管理，出現(xiàn)問題時(shí)易于定位。靜

7、態(tài)分配ip地址的弱點(diǎn)是合法用戶分配的地址可能被非法盜用，不僅對(duì)網(wǎng)絡(luò)的正常使用造成影響，同時(shí)也容易給合法用戶造成損失和潛在的安全隱患。動(dòng)態(tài)分配ip地址是指僅當(dāng)用戶計(jì)算機(jī)需要連入網(wǎng)絡(luò)工作時(shí)，系統(tǒng)才在所掌握的可分配ip地址空間中，隨機(jī)挑選一個(gè)給用戶使用的ip地址分配方式。對(duì)于臨時(shí)用戶較多但可以使用的ip地址數(shù)量有限的網(wǎng)絡(luò)，如果不要求用戶通過身份認(rèn)證后就能訪問internet的網(wǎng)絡(luò)，那么采用動(dòng)態(tài)分配ip地址的策略是一種十分方便的管理方式。ip地址的動(dòng)態(tài)分配是通過tcp/ip的動(dòng)態(tài)主機(jī)配置協(xié)議dhcp（dynamic host configuration protocol）進(jìn)行的。dhcp的優(yōu)點(diǎn)主要體現(xiàn)

8、在dhcp協(xié)議使tcpip的配置和管理從用戶端轉(zhuǎn)移到網(wǎng)絡(luò)管理端，實(shí)現(xiàn)ip的集中式管理，避免了因手工設(shè)置ip地址及子網(wǎng)掩碼所產(chǎn)生的錯(cuò)誤，避免了把一個(gè)ip地址分配給多臺(tái)工作站所造成的ip地址沖突，同時(shí)也降低了管理ip地址設(shè)置的負(fù)擔(dān)，大大縮短配置或重新配置網(wǎng)絡(luò)中工作站ip地址所花費(fèi)的時(shí)間，而且通過對(duì)dhcp服務(wù)器的設(shè)置可靈活地設(shè)置ip地址的租期，租約的更新由客戶機(jī)與dhcp服務(wù)器自動(dòng)完成，無(wú)需網(wǎng)絡(luò)管理員干涉。dhcp服務(wù)器可以選擇win2000或win2003中的dhcp服務(wù)來建立，也可以在linux、unix上配置dhcp服務(wù)器來為dhcp客戶提供服務(wù)（具體配置過程可參看相關(guān)技術(shù)文檔）。那么在校園

9、網(wǎng)中ip地址分配策略究竟采用哪種方式好呢？這就要根據(jù)實(shí)際情況和管理的需要來定，一般是要將兩種方式結(jié)合使用，即混合分配。所謂混合分配是將ip地址的靜態(tài)分配與動(dòng)態(tài)分配結(jié)合使用的方式，主要是利用各自的長(zhǎng)處。在校園網(wǎng)中，服務(wù)器、交換設(shè)備、路由器、防火墻必須采用靜態(tài)ip地址，教工宿舍、管理部門、教師用機(jī)一般采用靜態(tài)分配方式，教學(xué)機(jī)房、學(xué)生用機(jī)一般采用動(dòng)態(tài)分配方式。三、強(qiáng)化用戶信息的管理隨著網(wǎng)絡(luò)的發(fā)展與深入應(yīng)用，校園網(wǎng)已經(jīng)成為高等教育的重要基礎(chǔ)設(shè)施，并已成為人們獲取知識(shí)和信息的重要途徑。接入校園網(wǎng)的機(jī)器少則幾百臺(tái)，多則幾千臺(tái)，它們分布在學(xué)校的教學(xué)樓、圖書館、科研機(jī)構(gòu)、教工宿舍、學(xué)生宿舍等不同的地域。網(wǎng)絡(luò)安

10、全是校園網(wǎng)當(dāng)中用戶最為關(guān)注的問題，其主要原因是學(xué)生用戶是校園網(wǎng)用戶的主要部分，學(xué)生群體是一個(gè)好奇心強(qiáng)，技術(shù)水平較高，技術(shù)消息互通迅速的特殊群體。因此，加強(qiáng)網(wǎng)絡(luò)安全建設(shè)顯得非常重要，ip地址的有效管理是安全建設(shè)中的重要內(nèi)容，而強(qiáng)化用戶信息管理則是ip地址管理中不可缺少的重要基礎(chǔ)部分。用戶信息的管理主要包括用戶入網(wǎng)申請(qǐng)、ip分配和確認(rèn)、用戶信息變更、用戶注銷等幾個(gè)方面。用戶入網(wǎng)申請(qǐng)應(yīng)要求用戶如實(shí)填寫用戶入網(wǎng)申請(qǐng)表，主要內(nèi)容包括用戶姓名、所在部門、入網(wǎng)地點(diǎn)、機(jī)器mac（介質(zhì)訪問控制）地址、電子郵件地址、用戶身份證號(hào)碼、聯(lián)系電話、qq號(hào)碼等，各學(xué)?？筛鶕?jù)自身管理的需要進(jìn)行增刪。ip分配和確認(rèn)發(fā)生在用戶

11、提交用戶入網(wǎng)申請(qǐng)表后，網(wǎng)絡(luò)管理部門根據(jù)其申請(qǐng)情況進(jìn)行核實(shí)，確認(rèn)用戶填寫的信息是否真實(shí)可靠、有無(wú)錯(cuò)漏。對(duì)確認(rèn)符合入網(wǎng)條件的分配給相應(yīng)的ip地址，開通網(wǎng)絡(luò)。用戶信息查詢主要滿足用戶和網(wǎng)絡(luò)管理部門可能需要對(duì)入網(wǎng)用戶信息進(jìn)行查詢的要求，如用戶重裝系統(tǒng)遺失ip信息，網(wǎng)管部門對(duì)異常上網(wǎng)情況與用戶進(jìn)行溝通等。如果用戶更換了電腦或機(jī)器的網(wǎng)卡等內(nèi)容，用戶信息應(yīng)及時(shí)變更，特別是mac地址的變更應(yīng)及時(shí)通知網(wǎng)管部門。用戶注銷是指用戶因各種原因不再需要使用ip地址時(shí)，應(yīng)及時(shí)到網(wǎng)管中心注銷相應(yīng)用戶信息，網(wǎng)管部門收回相應(yīng)的ip地址資源。其實(shí)，對(duì)用戶入網(wǎng)申請(qǐng)到用戶注銷的過程，可以設(shè)計(jì)一個(gè)地址管理主頁(yè)通過網(wǎng)絡(luò)來自動(dòng)實(shí)現(xiàn)，既可免

12、去網(wǎng)絡(luò)用戶的東奔西跑，方便了用戶，也可節(jié)省網(wǎng)管中心的人力，減輕網(wǎng)管人員的負(fù)擔(dān)，特別是在機(jī)器比較多的情況下，效果應(yīng)該是十分明顯的。四、對(duì)ip盜用的預(yù)防對(duì)于任何一個(gè)tcp/ip的實(shí)現(xiàn)來說，ip地址都是用戶配置的必選項(xiàng)。如果用戶在配置或修改tcpip配置時(shí)，使用的不是授權(quán)機(jī)構(gòu)分配的ip地址，就形成了ip盜用。ip盜用不僅可能導(dǎo)致ip沖突，ip地址管理混亂，損害網(wǎng)絡(luò)用戶的合法權(quán)益，嚴(yán)重的甚至可能影響到網(wǎng)絡(luò)的正常運(yùn)行?？梢哉f，ip盜用問題是校園網(wǎng)管理中經(jīng)常發(fā)生的問題之一，也是最讓網(wǎng)絡(luò)管理人員頭痛的問題。ip地址的盜用對(duì)于用戶來說更加直觀，比更改mac地址更加方便，這就使得ip地址盜用比mac地址盜用更加

13、普遍。ip地址的盜用方法多種多樣，其常用方法主要有以下幾種：一是靜態(tài)（手工）修改ip配置。對(duì)于一個(gè)網(wǎng)絡(luò)用戶來說，ip地址是用戶配置的必選項(xiàng)。如果用戶在配置tcpip選項(xiàng)時(shí)，使用的不是網(wǎng)管部門分配的ip地址，就形成了ip地址的盜用。由于ip地址是一個(gè)邏輯地址，因此無(wú)法限制用戶對(duì)于ip地址的靜態(tài)修改。二是成對(duì)修改ip和mac地址。對(duì)于靜態(tài)修改ip地址的問題，很多單位采用ip和mac地址綁定加以解決，針對(duì)這種技術(shù)，ip盜用技術(shù)又采取成對(duì)修改ip和mac地址的方法，即將一臺(tái)計(jì)算機(jī)的ip和mac地址都改為另外一臺(tái)合法主機(jī)的ip和mac地址，這樣ip和mac地址綁定的方法就失效了，同時(shí)，對(duì)于那些mac地址

14、不能直接修改的網(wǎng)卡來說，用戶還可以通過軟件的辦法來修改mac地址，即通過修改底層網(wǎng)絡(luò)軟件達(dá)到欺騙上層網(wǎng)絡(luò)軟件的目的。三是動(dòng)態(tài)修改ip地址，即偽造某臺(tái)主機(jī)ip地址的技術(shù)。這類ip欺騙通常需要用編程來實(shí)現(xiàn)，在網(wǎng)絡(luò)上發(fā)送帶有假冒的源ip地址的數(shù)據(jù)包，繞過上層網(wǎng)絡(luò)軟件，動(dòng)態(tài)修改自己的ip地址（或ip-mac地址對(duì)），從而達(dá)到ip欺騙和盜用。四是通過各種軟件進(jìn)行基地ip攻擊。dos是最常見的一種基于ip的攻擊方法，其原理是非法用戶向被攻擊的主機(jī)發(fā)出大量的攻擊包，同時(shí)將報(bào)文中的源ip地址進(jìn)行修改掩藏自己真實(shí)的ip，這樣就可以逃避網(wǎng)管的追查，名正言順地攻擊對(duì)方了。針對(duì)ip盜用問題，現(xiàn)在通常的防范技術(shù)主要是根

15、據(jù)tcpip的層次結(jié)構(gòu)，在不同的層次采用不同的方法來防止ip地址的盜用。1.靜態(tài)arp表的綁定通過在三層交換機(jī)或路由器上設(shè)置靜態(tài)arp（地址解析協(xié)議）表，實(shí)現(xiàn)ip和mac地址的綁定，保證合法ip地址的唯一。這是因?yàn)樵谝粋€(gè)網(wǎng)段內(nèi)的網(wǎng)絡(luò)尋址不是依靠ip而是mac地址，ip只是在網(wǎng)際之間尋址使用的。因此在三層交換機(jī)或路由器上有ip和mac的動(dòng)態(tài)對(duì)應(yīng)表，這是由arp協(xié)議生成并維護(hù)的。在配置三層交換機(jī)或路由器時(shí)，可以指定靜態(tài)的arp表，三層交換機(jī)或路由器會(huì)根據(jù)靜態(tài)的arp表檢查數(shù)據(jù)包，如果不能對(duì)應(yīng)，則不進(jìn)行處理。2.交換機(jī)端口控制如果將一臺(tái)計(jì)算機(jī)的ip和mac地址都改為另外一臺(tái)合法主機(jī)的ip和mac地址

16、，那ip和mac綁定就無(wú)能為力了。解決ip盜用的最徹底的方法是使用交換機(jī)端口進(jìn)行ipmac控制，即在tcpip第二層進(jìn)行控制，借助交換機(jī)端口的ipmac地址綁定功能，使用交換機(jī)提供的端口單地址工作模式，即交換機(jī)的某一個(gè)端口只允許一臺(tái)指定的主機(jī)通過該端口訪問網(wǎng)絡(luò)，任何其它地址的主機(jī)的訪問將被拒絕。這樣就可以有效防止用戶盜用ip地址進(jìn)行非法訪問和網(wǎng)絡(luò)攻擊，同時(shí)也便于網(wǎng)絡(luò)管理人員查找網(wǎng)絡(luò)攻擊源和日志審計(jì)。但此方案的最大缺點(diǎn)在于對(duì)于校園網(wǎng)而言，初始工作量大。用戶地址變更或更換網(wǎng)卡時(shí)需要重新配置交換機(jī)，當(dāng)然對(duì)于不具備此功能的交換機(jī)也將無(wú)能為力。3.ip和賬號(hào)綁定其實(shí)現(xiàn)方法是，假如用戶在進(jìn)行802.1x認(rèn)

17、證前不是使用的合法ip地址，而是濫用、盜用某個(gè)ip地址時(shí)，由于這個(gè)時(shí)候用戶還沒有通過認(rèn)證，因而用戶與網(wǎng)絡(luò)是隔離的，其指定的ip不會(huì)與別的用戶ip沖突；當(dāng)用戶使用賬號(hào)密碼試圖通過認(rèn)證時(shí)，由于認(rèn)證服務(wù)器端該用戶賬號(hào)和其ip做了綁定，認(rèn)證服務(wù)器將不予通過認(rèn)證，從而同樣不會(huì)形成ip沖突。如果用戶使用正確的賬號(hào)和ip通過認(rèn)證后，再通過手工靜態(tài)修改ip地址，計(jì)費(fèi)認(rèn)證系統(tǒng)客戶端軟件能夠檢測(cè)到ip地址的更改，即刻踢出該用戶，同時(shí)發(fā)送計(jì)費(fèi)結(jié)束報(bào)文，結(jié)束計(jì)費(fèi)，從而避免ip沖突和盜用。該方法要求所使用的認(rèn)證計(jì)費(fèi)系統(tǒng)、交換機(jī)必須支持802.1x協(xié)議。防止ip盜用究竟采用哪種方法最好，這與具體的網(wǎng)絡(luò)使用環(huán)境有關(guān)，作為網(wǎng)管人員應(yīng)該仔細(xì)了解所用設(shè)備的功能特性，結(jié)合學(xué)校的實(shí)際情況，找到一種切實(shí)可行的辦法。隨著網(wǎng)絡(luò)設(shè)備功能的日趨完善和網(wǎng)管人員的管理水平的提高，會(huì)摸索出更多更好的防止ip盜用的方法。五、總結(jié)作為學(xué)校公共服務(wù)體系的主要組成部分，校園網(wǎng)絡(luò)已成為學(xué)校最重要的基礎(chǔ)設(shè)施。校園網(wǎng)建設(shè)與管理是一項(xiàng)復(fù)雜的、長(zhǎng)期的系統(tǒng)過程，需要我們?cè)诠ぷ?/p>