分析並解決局域網內盜用IP的安全問題

一、IP地址盜用方法分析

IP地址的盜用方法多種多樣,其常用方法主要有以下幾種:

1、靜態修改IP地址

對于任何一個TCP/IP實現來說,IP地址都是其用戶配置的必選項。假如用戶在配置TCP/IP或修改TCP/IP配置時,使用的不是授權機構分配的IP地址,就形成了IP地址盜用。由于IP地址是一個邏輯地址,是一個需要用戶設置的值,因此無法限制用戶對于IP地址的靜態修改,除非使用DHCP服務器分配IP地址,但又會帶來其它治理問題。

2、成對修改IP-MAC地址

對于靜態修改IP地址的問題,現在很多單位都采用靜態路由技術加以解決。針對靜態路由技術,IP盜用技術又有了新的發展,即成對修改IP-MAC地址。MAC地址是設備的硬件地址,對于我們常用的以太網來說,即俗稱的計算機網卡地址。每一個網卡的MAC地址在所有以太網設備中必須是唯一的,它由IEEE分配,是固化在網卡上的,一般不能隨意改動。但是,現在的一些兼容網卡,其MAC地址可以使用網卡配置程序進行修改。假如將一台計算機的IP地址和MAC地址都改爲另外一台合法主機的IP地址和MAC地址,那靜態路由技術就無能爲力了。

另外,對于那些MAC地址不能直接修改的網卡來說,用戶還可以采用軟件的辦法來修改MAC地址,即通過修改底層網絡軟件達到欺騙上層網絡軟件的目的。

3、動態修改IP地址

對于一些黑客高手來說,直接編寫程序在網絡上收發數據包,繞過上層網絡軟件,動態修改自己的IP地址(或IP-MAC地址對),達到IP欺騙並不是一件很困難的事。

二、防範技術研究

針對IP盜用問題,網絡專家采用了各種防範技術,現在比較通常的防範技術主要是根據TCP/IP的層次結構,在不同的層次采用不同的方法來防止IP地址的盜用。

1、交換機控制

解決IP地址的最徹底的方法是使用交換機進行控制,即在TCP/IP第二層進行控制:使用交換機提供的端口的單地址工作模式,即交換機的每一個端口只答應一台主機通過該端口訪問網絡,任何其它地址的主機的訪問被拒絕。但此方案的最大缺點在于它需要網絡上全部采用交換機提供用戶接入,這在交換機相對昂貴的今天不是一個能夠普遍采用的解決方案。

2、路由器隔離

采用路由器隔離的辦法其主要依據是MAC地址作爲以太網卡地址全球唯一不能改變。其實現方法爲通過SNMP協議定期掃描校園網各路由器的ARP表,獲得當前IP和MAC的對照關系,和事先合法的IP和MAC地址比較,如不一致,則爲非法訪問。對于非法訪問,有幾種辦法可以制止,如:

a.使用正確的IP與MAC地址映射覆蓋非法的IP-MAC表項;

b.向非法訪問的主機發送ICMP不可達的欺騙包,幹擾其數據發送;

c.修改路由器的存取控制列表,禁止非法訪問。

路由器隔離的另外一種實現方法是使用靜態ARP表,即路由器中IP與MAC地址的映射不通過ARP來獲得,而采用靜態設置。這樣,當非法訪問的IP地址和MAC地址不一致時,路由器根據正確的靜態設置轉發的幀就不會到達非法主機。

路由器隔離技術能夠較好地解決IP地址的盜用問題,但是假如非法用戶針對其理論依據進行破壞,成對修改IP-MAC地址,對這樣的IP地址盜用它就無能爲力了。

3、防火牆與代理服務器

使用防火牆與代理服務器相結合,也能較好地解決IP地址盜用問題:防火牆用來隔離內部網絡和外部網絡,用戶訪問外部網絡通過代理服務器進行。使用這樣的辦法是將IP防盜放到應用層來解決,變IP治理爲用戶身份和口令的治理,因爲用戶對于網絡的使用歸根結底是要使用網絡應用。這樣實現的好處是,盜用IP地址只能在子網內使用,失去盜用的意義;合法用戶可以選擇任意一台IP主機使用,通過代理服務器訪問外部網絡資源,而無權用戶即使盜用IP,也沒有身份和密碼,不能使用外部網絡。

使用防火牆和代理服務器的缺點也是明顯的,由于使用代理服務器訪問外部網絡對用戶不是透明的,增加了用戶操作的麻煩;另外,對于大數量的用戶群(如高校的學生)來說,用戶治理也是一個問題。

分析解決局域網內盜用IP的安全問題
  一、IP地址盜用方法分析  IP地址的盜用方法多種多樣,其常用方法主要有以下幾種:  1、靜態修改IP地址  對于任何一個TCP/IP實現來說,IP地址都是其用戶配置的必選項。如果用戶在配置TCP/IP或修改TCP/IP配置...查看完整版>>分析解決局域網內盜用IP的安全問題
 
分析解決局域網內盜IP的安全問題
一、IP地址盜用方法分析 IP地址的盜用方法多種多樣,其常用方法主要有以下幾種:   1、靜態修改IP地址   對于任何一個TCP/IP實現來說,IP地址都是其用戶配置的必選項。假如用戶在配置TCP/IP或修改TCP/IP配置時,...查看完整版>>分析解決局域網內盜IP的安全問題
 
綁定IP地址與MAC地址,解決IP地址盜用問題
  故障現象    在筆者治理的局域網中,有部分用戶反映自己分配的IP地址被他人盜用,登錄網絡時出現IP地址沖突的警告提示,不能正常上網。    診斷過程    IP地址是Internet/Intranet網上主機通信的邏輯...查看完整版>>綁定IP地址與MAC地址,解決IP地址盜用問題
 
綁定IP地址與MAC地址,解決IP地址盜用問題
  故障現象  在筆者管理的局域網中,有部分用戶反映自己分配的IP地址被他人盜用,登錄網絡時出現IP地址沖突的警告提示,不能正常上網。  診斷過程  IP地址是Internet/Intranet網上主機通信的邏輯地址,由用戶...查看完整版>>綁定IP地址與MAC地址,解決IP地址盜用問題
 
解決局域網內傳輸速度慢的問題
一個剛建的小型局域網,一台服務器,十幾台工作站,使用一台交換機作爲接入設備,連接線路爲6類線。主要故障表現爲網內計算機傳輸速度較慢,任意一台工作站在服務器上複制一個100MB的文件,竟然要30分鍾。即使是相鄰...查看完整版>>解決局域網內傳輸速度慢的問題
 
解決局域網內不能互訪的問題
解決局域網內不能互訪的問題
  辦公網絡給我們的工作帶來了諸多便利,尤其是能夠直接使用對方共享的各種文件資源。但是有時我們會發現在網上鄰居中找不到其他計算機,或者無法打開局域網中某台計算機的共享文件夾,究竟爲何在局域網中會出現這...查看完整版>>解決局域網內不能互訪的問題
 
局域網IP地址非法使用問題的解決
  在大多數局域網的運行治理工作中,網絡治理員負責治理用戶IP地址的分配,用戶通過正確地注冊後才被認爲是合法用戶。在局域網上任何用戶使用未經授權的IP地址都應視爲IP非法使用。但在Windows操作系統中,終端用戶...查看完整版>>局域網IP地址非法使用問題的解決
 
解決局域網中IP盜用問題的三種技術手段
域網上若有兩台主機IP地址相同,則兩台主機相互報警,造成應用混亂。因此,IP地址盜用成了網管員最頭疼的問題。當幾百台、甚至上千台主機同時上網,如何控制IP地址盜用?   引入問題   對于集團用戶而言,多數都...查看完整版>>解決局域網中IP盜用問題的三種技術手段
 
解決局域網中IP盜用問題的三種技術手段
  局域網上若有兩台主機IP地址相同,則兩台主機相互報警,造成應用混亂。因此,IP地址盜用成了網管員最頭疼的問題。當幾百台、甚至上千台主機同時上網,如何控制IP地址盜用?  引入問題  對于集團用戶而言,多...查看完整版>>解決局域網中IP盜用問題的三種技術手段
 
 
回到王朝網路移動版首頁