威脅現狀
IP 盜用極其普遍，攻擊者竊取合法 IP/MAC 逃避追蹤、隱藏身份，侵害正常用戶權益，威脅網絡安全與穩定運行。研究盜用手法與防範機制是當前緊迫任務。
兩大核心盜用手法
1. 純 IP 修改盜用
用戶配置非合法分配 IP。IP 為協議邏輯地址，用戶可隨意修改，無法從協議層限制。
2. IP-MAC 雙綁定盜用（繞過 IP-MAC 綁定防禦）
- MAC 為硬件地址，理論全球唯一、固化不可改
- 但：兼容網卡可通過配置程式修改 MAC；不可改 MAC 卡可通過底層驅動修改欺騙上層軟體
- 同時竊取合法主機 IP+MAC → IP-MAC 綁定技術失效
現有防範機制及其局限
| 機制 | 原理 | 局限 |
|---|
| IP-MAC 綁定 | 網關/交換機強制對應 | 管理極難；無法防雙盜用；盜用者仍在子網內活動、可攻擊內網設備 |
| 代理服務器 | 統一出口認證 | 盜用者可繞過代理或利用代理漏洞獲取外網資源 |
| IP-MAC-USER 認證授權 | 三元組綁定 | 部署複雜，用戶體驗差 |
| 透明網關 | 專用設備轉發數據 | 專用機易成瓶頸，單點故障風險高 |
核心痛點：所有機制均未從根本阻斷盜用者在子網內的自由活動與橫向攻擊能力。
破局方案：交換機端口級定位與阻斷（SNMP + Port Security）
原理
交換機工作在數據鏈路層，維護 端口-MAC 映射表。通過 SNMP 管理站輪詢各交換機代理，實時構建 Switch-Port-MAC 實時對應表。
檢測邏輯
- 實時表 vs 合法基線表對比 → 發現非法 MAC
- 同一 MAC 出現在不同非級聯交換機端口 → 鐵證 IP-MAC 雙盜用
秒級定位與阻斷
- 非法 MAC 即定位到具體交換機端口
- 查詢預建「端口-房間」映射表 → 定位到物理房間/工位
- SNMP Set 請求修改端口管理狀態：
`ifAdminStatus` (1.3.6.1.2.1.2.2.1.7) → 設置為 2（關閉端口）
例：`set("private" 192.168.1.1 1.3.6.1.2.1.2.2.1.7.2 2)` 關閉 192.168.1.1 交換機 2 號端口
- 盜用機瞬間斷網，零影響合法用戶，網絡效率無損
方案優勢
- 解決 IP-MAC 雙盜用難題
- 端口級精準阻斷，不波及無辜
- 無需額外專用硬件，利用既有交換機 SNMP 能力
- 響應速度秒級，適配高頻攻擊場景
部署前提
- 全網交換機支持 SNMP 讀寫
- 建立完整「交換機-端口-MAC-房間-用戶」基線資料庫
- 管理站部署 SNMP 管理軟體（如 HP OpenView、SolarWinds、Zabbix 腳本）
- 制定「發現→定位→阻斷→溯源→處理」標準化應急流程