雙管齊下－有效的管理局域網IP地址

一、基於防火牆的IP地址與MAC地址綁定
　　1.做好整個局域網終端用戶計算機的命名，指定IP地址
　　根據用戶的類別統一命名計算機，並給定IP地址。這樣一看機器名，就知道是哪個部門哪台機器，便於管理。比如高一年級語文組1號機器，我們就將其命名為“gaoyiyuwen01”。
　　同時，統一規劃分配IP地址給每台終端機器，並建立IP地址分配登記表(見附表)。

江蘇省泗陽中學局域網ip地址綜合管理登記表
序號
機器名
ip地址
mac地址
備注
1
gaoyiyuwen01
192.168.1.3
00-90-f5-d6-16-04
高一語文組
2
gaoyiyuwen02
192.168.1.4

3
gaoyiyuwen03
192.168.1.5

……
……
……
……
……

　　2.統計每個終端機器網卡的MAC地址，建立IP地址與MAC地址對應表
　　我們知道，在MS-DOS方式下鍵入命令“Winipcfg”就可以獲得本機IP地址和MAC地址(Windows 98系統下)。我們可以將此方法公布一下，然後要求相關用戶將本機MAC地址抄錄上報到網管中心，再進行登記匯總。也可在設定機器名和IP地址時一並統計好。
　　網絡管理員也可以利用Nbtstat命令來遠程獲得指定機器的MAC地址。在MS-DOS方式下鍵入命令“Nbtstat -a遠程計算機名”，即可獲得指定機器的IP地址和MAC地址。
　　3.將IP地址與MAC地址綁定
　　這要根據局域網接入互聯網的方式不同而采用不同的辦法。如果是采用代理服務器接入互聯網，那就使用命令：
　　ARP -s IP地址MAC地址
　　例：ARP -s 192.168.1.4 00-EO-4C-6C-08-75
　　這樣，就將靜態IP地址192.168.1.4與網卡地址為00-EO-4C-6C-08-75的計算機綁定在一起了，即使別人盜用您的IP地址192.168.1.4，也無法通過代理服務器上網。
　　如果是通過路由器直接接入互聯網，最好通過硬件防火牆來實現IP與MAC地址的綁定。一般的硬件防火牆都具有這個功能，具體操作也非常簡單。
　　到這裡（電腦自動關機）似乎可以大功告成了，但事情並不像我們想象的那麼簡單。花了相當多的精力構築起來的防線不到一個月就又沖突依舊了。原來，有的終端用戶通過修改注冊表、下載專用小工具等方法，沒費多少力氣就更改了本機的MAC地址，甚至於將本機的MAC地址和IP地址改得和主服務器一模一樣，搞得局域網內又雞犬不寧了。
　　二、基於交換機的MAC地址與端口綁定
　　為了進一步解決這個問題，筆者又想到了基於交換機的MAC地址與端口綁定。這樣一來，終端用戶如果擅自改動本機網卡的MAC地址，該機器的網絡訪問將因其MAC地址被交換機認定為非法而無法實現，自然也就不會對局域網造成干擾了。
　　以思科3548交換機為例，登錄進入交換機，輸入管理口令進入配置模式，敲入命令：
　　(config)#mac_address_table permanent MAC地址以太網端口號
　　這樣逐一將每個端口與相應的計算機MAC地址綁定，保存並退出。其他品牌的交換機只要是可以網管的，大多可以仿此操作。
雙管齊下－有效的管理局域網IP地址