在Windows操作系統(tǒng)環(huán)境下，普通工作站用戶常?？梢愿鶕?jù)自己的意愿隨意修改本地工作站的IP地址參數(shù)，那樣一來局域網(wǎng)網(wǎng)絡就容易頻繁發(fā)生IP地址沖突的故障現(xiàn)象，這種現(xiàn)象會“干擾”局域網(wǎng)的穩(wěn)定運行，甚至會給日常的辦公效率帶來嚴重的影響。那么作為網(wǎng)絡管理員來說，我們究竟該采取什么措施，不讓IP地址沖突“干擾”局域網(wǎng)網(wǎng)絡的正常、高效運行呢?現(xiàn)在本文就為各位朋友提出一些有效的應對辦法，以幫助各位巧妙地管理好自己單位的局域網(wǎng)，確保局域網(wǎng)網(wǎng)絡的運行效率不會受到IP地址沖突現(xiàn)象的“干擾”!
制造IP地址沖突的動機
局域網(wǎng)中發(fā)生IP地址沖突故障現(xiàn)象，不僅僅是簡單的技術問題，并且還是一個網(wǎng)絡管理員必須要認真面對的管理問題。網(wǎng)絡管理員只有找到該故障現(xiàn)象存在的理由，想方設法地消滅該故障現(xiàn)象存在的基礎，才可能從源頭上杜絕IP地址沖突故障現(xiàn)象的發(fā)生。
總結各種IP地址沖突故障現(xiàn)象，我們不難分析得出制造IP 地址沖突現(xiàn)象的動機主要有下面幾種情況：一是普通工作站在長時間使用之后，因頻繁地安裝、卸載各種應用程序或殺毒軟件，甚至由于操作者本人不小心發(fā)生了錯誤操作，導致本地工作站系統(tǒng)發(fā)生了崩潰現(xiàn)象，不得已工作站用戶重新安裝了操作系統(tǒng)，并且隨意設置了工作站的上網(wǎng)參數(shù)，最終在無意中造成了IP地址沖突故障現(xiàn)象，這種情況比較普通，網(wǎng)絡管理員只要善加管理，就能有效避免由這種情況引起的IP地址沖突故障現(xiàn)象;二是局域網(wǎng)甚至Internet網(wǎng)絡中的一些非法攻擊者，企圖破壞或干擾本地局域網(wǎng)中重要網(wǎng)絡設備的穩(wěn)定運行，最終達到干擾局域網(wǎng)穩(wěn)定運行的目的，例如非法攻擊者想方設法地制造IP地址沖突故障現(xiàn)象，以便達到破壞局域網(wǎng)中服務器或交換機等重要設備的穩(wěn)定運行，最終造成整個局域網(wǎng)無法正常工作;三是一些別有用心的用戶想擁有那些被非法使用的IP地址所獲取的各種特殊訪問權限，最常見的就是想獲得Internet訪問權限。
那些被非法盜用的IP地址在局域網(wǎng)網(wǎng)絡中運行時，有可能會產生下面幾種影響：一是在合法工作站沒有連到局域網(wǎng)的情況下，冒用合法工作站使用的IP地址進行網(wǎng)絡連接操作，最終達到竊取合法工作站各種訪問權限的目的;二是在合法工作站已經連到局域網(wǎng)的情況下，擅自盜用合法工作站使用的IP地址時，會造成合法工作站出現(xiàn)IP地址發(fā)生資源沖突的故障提示，最終造成合法工作站不能正常訪問網(wǎng)絡;三是盜用了合法工作站的IP地址后，可以利用該IP地址在局域網(wǎng)網(wǎng)絡中進行各種惡意破壞活動。
要想避免IP地址沖突故障現(xiàn)象的發(fā)生，我們自然應該先了解制造IP地址沖突的方法，只有這樣我們才能對癥下藥，采取針對性措施來拒絕IP地址沖突“干擾”局域網(wǎng)的正常運行。
一般來說，在局域網(wǎng)投入運行的初期，網(wǎng)絡管理員都會為局域網(wǎng)中的所有工作站分配一個合適的IP地址。不過，在局域網(wǎng)工作站長時間運行后，很可能會出現(xiàn)系統(tǒng)癱瘓或者其他一些故障現(xiàn)象，導致工作站的上網(wǎng)參數(shù)發(fā)生了丟失，此時工作站用戶很可能會自己動手，進入本地工作站系統(tǒng)的TCP/IP屬性設置窗口，在其中隨意為本地工作站分配一個IP地址，該IP地址由于不是網(wǎng)絡管理員事先劃分好的那個IP地址，這樣一來自然就形成了IP地址沖突現(xiàn)象了。所以，在使用了靜態(tài)IP地址的局域網(wǎng)工作環(huán)境中，普通工作站用戶可以很容易地打開本地系統(tǒng)的TCP/IP屬性設置窗口，從而可以隨意更改本地工作站使用的IP地址。
為了保護本地工作站的IP地址不被非法用戶隨意盜用，有一些熟悉網(wǎng)絡的朋友往往會采取地址綁定的方法，將網(wǎng)絡管理員事先分配給本地工作站的IP地址綁定到對應工作站的網(wǎng)卡設備上，那樣一來即使非法用戶盜用了本地工作站的IP地址，也不會干擾本地工作站的正常上網(wǎng)訪問。對于采取了綁定措施的IP地址來說，非法用戶同樣也找到了盜用辦法，那就是同時盜用合法工作站的IP地址與網(wǎng)卡設備的MAC地址，然后冒用合法主機的身份進行惡意破壞。例如，非法用戶在盜用了合法工作站的IP地址后，發(fā)現(xiàn)盜用后的IP地址不能正常連接到局域網(wǎng)網(wǎng)絡中時，他們會認為該 IP地址很可能被綁定了，于是他們會嘗試使用MAC地址掃描器之類的工作來查看、盜用合法工作站的網(wǎng)卡MAC地址，在盜取合法工作站的網(wǎng)卡MAC地址后，非法用戶再將自己工作站的IP地址修改成合法MAC地址就可以了。修改網(wǎng)卡MAC地址的方法很簡單，用戶只要依次單擊本地工作站系統(tǒng)桌面中的“開始”/“ 設置”/“網(wǎng)絡連接”命令，在彈出的網(wǎng)絡連接列表窗口中，用鼠標右鍵單擊本地連接圖標，從彈出的快捷菜單中執(zhí)行“屬性”命令，打開本地連接屬性設置對話框;單擊該對話框中的“常規(guī)”選項卡，并在對應選項設置頁面中單擊“配置”按鈕，進入本地工作站的目標網(wǎng)卡屬性設置對話框;繼續(xù)單擊該設置對話框中的“高級”選項卡，打開如圖1所示的高級選項設置頁面，選中該設置頁面左側“屬性”列表框中的“Network Address”選項，并將該選項的數(shù)值設置成盜用得來的網(wǎng)卡MAC地址，最后單擊“確定”按鈕就可以完成網(wǎng)卡物理地址的修改任務了。
此外，對于一些熟悉攻擊技術的非法用戶來說，他們常常會利用IP地址電子欺騙技術來偽造某臺工作站的IP地址，不過這個電子欺騙技術通常需要借助編程手段來實現(xiàn)。例如，非法攻擊者可以通過SOCKET編程，向局域網(wǎng)網(wǎng)絡發(fā)送帶有虛假的源IP地址的通信數(shù)據(jù)包，從而達到欺騙攻擊的目的。阻止IP地址沖突的手段
了解了制造IP地址沖突的幾種方法后，我們就能根據(jù)不同的制造方法采取不同的阻止手段了。
在使用靜態(tài)IP地址的局域網(wǎng)工作環(huán)境中，網(wǎng)絡管理員可以使用IP-MAC地址綁定方法，也就是使用靜態(tài)路由技術的方法來阻止普通工作站用戶隨意進入 TCP/IP屬性設置窗口，胡亂修改本地系統(tǒng)的IP地址?？紤]到在相同的局域網(wǎng)網(wǎng)段中，普通工作站的網(wǎng)絡尋徑不是根據(jù)主機的IP地址而是根據(jù)主機的物理地址來進行的，在不同網(wǎng)段之間通信時才會根據(jù)主機的IP地址進行網(wǎng)絡尋徑，所以作為局域網(wǎng)網(wǎng)關的路由器設備上通常保存有IP-MAC的動態(tài)對應表，這是由 ARP通信協(xié)議自動生成并維護的。我們可以進入局域網(wǎng)路由器的后臺管理界面，從中找到配置ARP表的設置選項，對靜態(tài)的ARP路由表進行個性化指定，日后局域網(wǎng)路由器設備會自動依照靜態(tài)的ARP表檢查通信數(shù)據(jù)包，要是無法對應，那么就不會進行數(shù)據(jù)轉發(fā)操作。使用這種手段，網(wǎng)絡管理員能夠輕松地阻止非法攻擊者在不修改網(wǎng)卡設備MAC地址的情況下，冒用合法工作站IP地址進行非法網(wǎng)絡訪問。
為了防止非法用戶通過修改網(wǎng)卡MAC地址的方法來制造IP地址沖突故障現(xiàn)象，我們可以利用局域網(wǎng)交換機的端口綁定功能，來有效化解非法用戶通過修改網(wǎng)卡MAC地址的方法來適應靜態(tài)ARP表的問題。大家知道，常見的可管理交換機都支持端口綁定功能，我們可以利用該功能提供的端口地址過濾模式，來實現(xiàn)阻止IP地址沖突的目的，因為交換機的端口地址過濾模式往往會允許每一個交換機連接端口僅允許具有合法MAC地址的工作站訪問網(wǎng)絡，任何具有不合法MAC地址的工作站都將被交換機拒絕訪問網(wǎng)絡。
在組網(wǎng)規(guī)模較大的工作環(huán)境中，我們還可以通過劃分虛擬子網(wǎng)的方法，來阻止IP地址沖突現(xiàn)象的發(fā)生。從嚴格意義上來說，劃分虛擬工作子網(wǎng)其實并不屬于技術措施，而是管理措施與技術措施結合在一起的手段。將那些具有相同訪問行為的IP地址統(tǒng)一劃分到相同的虛擬工作子網(wǎng)中，并正確設置好相關的路由策略，這樣一來我們就能有效拒絕非法攻擊者盜用其他工作子網(wǎng)IP地址現(xiàn)象的發(fā)生。
此外，我們在管理、維護局域網(wǎng)的過程中，盡量少用那些直接針對IP地址授權的管理模式，而應該綜合運用加密、口令、VPN連接或其他身份認證機制，建立多層次的嚴密的安全體系，那樣一來就能有效降低IP地址沖突所帶來的安全威脅了。