作為網(wǎng)絡(luò)管理員，每天都要面臨大量的維護工作。如果能夠充分挖掘網(wǎng)絡(luò)管理中的技巧，無疑可以減輕管理員的負擔，同時可以讓網(wǎng)絡(luò)應(yīng)用更加優(yōu)化。下面就介紹兩個與IP設(shè)置相關(guān)的管理技巧，希望能為廣大的管理員提供借鑒。
動靜結(jié)合，靈活分配IP地址
在基于TCP/IP的企業(yè)網(wǎng)絡(luò)中，通常采用靜態(tài)和動態(tài)兩種地址分配方式。靜態(tài)分配方式是由管理員為每一臺聯(lián)網(wǎng)的計算機、服務(wù)器交換機、防火墻、計費網(wǎng)關(guān)等網(wǎng)絡(luò)設(shè)備設(shè)定一個固定的IP地址。這種分配方式下，管理員可以掌握每一臺設(shè)備的IP地址信息，但是隨著設(shè)備的更新、調(diào)換以及用戶自己更改IP地址，很容易造成IP地址的混亂和沖突，進而給管理員帶來較大的維護工作量。
動態(tài)分配方式下，每一臺計算機在登錄網(wǎng)絡(luò)后都可以通過DHCP服務(wù)器自動地獲取IP地址、默認網(wǎng)關(guān)及DNS地址信息。這種方式可以節(jié)省管理員大量的維護工作量。但是如果采用全動態(tài)的分配方式，對于服務(wù)器或是處理特定業(yè)務(wù)的工作站來講，一旦原有的地址被爭用，將重新獲得一個新的地址，這種轉(zhuǎn)變對于客戶端來講是不透明的，往往會造成應(yīng)用不能正常使用的情況。
因此，合理的IP地址分配方式是采取動靜結(jié)合的方式，其分配原則是以動態(tài)分配為主，同時對于需要設(shè)定固定IP地址的設(shè)備采取靜態(tài)分配方式。
實現(xiàn)的方法是，在進行DHCP作用域設(shè)置的時候，在每個子網(wǎng)中預留一定空間的IP地址，這些地址參與動態(tài)分配，主要用來進行固定地址的分配。如：在VLAN1的作用域中要排除192.168.1.1到192.168.1.20范圍的IP地址以及地址192.168.1.100，可以在DHCP作用域設(shè)置的時候進行（如圖1）所示的設(shè)置。
 |
| 圖1 在作用域中預留IP地址 |
通過上面的設(shè)置，在VLAN1中可以動態(tài)分配給客戶機的IP地址空間為除去地址192.168.1.100的從192.168.1.21到192.168.1.253(192.168.1.254作為默認網(wǎng)關(guān)地址)地址范圍。
由于動靜結(jié)合的IP分配方式不需要管理員對客戶機的IP地址信息進行維護，可以大大減少IP地址沖突的產(chǎn)生，同時需要設(shè)定固定IP地址的設(shè)備相對較少，不會增加管理員的維護工作量。
在采用DHCP動態(tài)分配IP地址的方式下，可以在客戶機啟用DHCP自動獲取IP地址的同時再手工設(shè)置一個固定IP地址，這樣當網(wǎng)絡(luò)中的DHCP服務(wù)器不可用時，客戶機會自動使用備用的固定IP地址進行網(wǎng)絡(luò)連接，從而減少DHCP服務(wù)器故障對網(wǎng)絡(luò)應(yīng)用的不利影響。設(shè)置方法是在TCP/IP協(xié)議的屬性設(shè)置中，在“備用配置”選型頁選擇“用戶配置”選項并輸入相應(yīng)的IP地址信息，（如圖2）所示。
 |
| 圖2 為DHCP預留備用IP地址 |
| 共2頁: 1 [2] 下一頁 | ||||
|
我們可以看到備用配置還有一個“自動專有IP地址”的選項，使用該選項，在DHCP服務(wù)器不可用時，也可以自動配置計算機的IP地址信息，但是該地址有很大的局限性，只允許計算機與同在一個子網(wǎng)內(nèi)并且所處狀態(tài)相同的計算機進行通信，具體的原因在下文中將會詳細介紹。因此在具有多個子網(wǎng)的企業(yè)網(wǎng)絡(luò)中，不要使用這種備用配置方式。
對于一個沒有任何外部網(wǎng)絡(luò)連接并且只包含一個子網(wǎng)的小辦公室網(wǎng)絡(luò)，如果計算機全部基于Windows 2000或Windows XP系統(tǒng)，我們還可以利用操作系統(tǒng)提供的APIPA(Automatic Private IP Addressing，自動專有IP地址尋址)機制實現(xiàn)IP地址的零維護。在APIPA方式下，雖然網(wǎng)絡(luò)中沒有DHCP服務(wù)器，計算機啟動后會自動在169.254.0.1 ~169.254.255.254的范圍內(nèi)為自己指定一個IP地址，子網(wǎng)掩碼為255.255.0.0，不指定默認網(wǎng)關(guān)或DNS、WINS服務(wù)器的地址。通過IPCONFIG /ALL命令可以查看當前的尋址方式及相關(guān)的IP地址信息，（如圖3）所示。
 |
|
圖3 用IPCONFIG /ALL命令查看 尋址方式及IP地址信息 |
在計算機的TCP/IP協(xié)議的屬性設(shè)置中，選擇“自動獲得IP地址”選項就可以自動地啟用APIPA方式。對小型的辦公網(wǎng)絡(luò)來講，APIPA既可以省去設(shè)置DHCP服務(wù)器的開銷，同時不需要對IP地址進行任何維護。
隔離網(wǎng)絡(luò)設(shè)備所在的子網(wǎng)
網(wǎng)絡(luò)管理員為了便于對網(wǎng)絡(luò)設(shè)備進行統(tǒng)一的管理和維護，通常需要為交換機設(shè)定管理IP地址，同時將所有的設(shè)備設(shè)定在一個指定的VLAN中。通過管理IP地址，管理員可以利用網(wǎng)管軟件或是TELNET遠程登錄對設(shè)備進行調(diào)試和維護。
要實現(xiàn)位于不同VLAN之間的計算機互相通信，除了IP地址和子網(wǎng)掩碼外，在設(shè)置IP地址處必須輸入相應(yīng)的默認網(wǎng)關(guān)地址，也就是VLAN的接口地址。在網(wǎng)絡(luò)中每一臺交換機都可以認為是專門的計算機，如果在設(shè)置交換機的管理IP地址時，設(shè)置了默認網(wǎng)關(guān)地址，那么網(wǎng)絡(luò)中的任何一個用戶如果知道了交換機的管理IP地址，都可以利用TELNET進行遠程連接。
有些交換機提供了用戶身份認證的機制來限制用戶的登錄，但是對于沒有提供身份認證機制的交換機而言，這可能會帶來一定的安全問題：一些對網(wǎng)絡(luò)技術(shù)比較感興趣的用戶可能會遠程登錄到交換機中進行設(shè)置的實驗或是有意無意的更改、刪除已有的設(shè)置，這些操作可能會造成網(wǎng)絡(luò)工作不正常或是中斷。避免這些安全隱患最好的辦法就是對網(wǎng)絡(luò)設(shè)備所在的子網(wǎng)進行隔離。
由于將設(shè)備VLAN設(shè)置為一個單獨的VLAN，因此在設(shè)置交換機管理IP地址的時候不設(shè)置默認網(wǎng)關(guān)地址，網(wǎng)絡(luò)中其他VLAN中的計算機也就不能遠程登錄到交換機中，這樣就可以實現(xiàn)對設(shè)備VLAN的隔離。
但是管理員需要對設(shè)備進行管理和維護，不可能每次都要物理接觸到交換機才能操作。解決這個問題，我們可以采取兩種辦法：
一、 在網(wǎng)管中心的核心交換機中，將連接網(wǎng)管工作站的端口包含在與設(shè)備相同的VLAN中，這樣管理員在網(wǎng)管工作站中遠程登錄設(shè)備時，和位于同一子網(wǎng)內(nèi)的計算機進行通信一樣，不需要默認網(wǎng)關(guān)進行數(shù)據(jù)包的轉(zhuǎn)發(fā)。
二、 管理員可以首先TELNET遠程登錄到作為VLAN默認網(wǎng)關(guān)的核心交換機中，然后在核心交換機用戶接口窗口，再TELNET遠程登錄到要進行管理的交換機中。例如：一臺交換機的管理IP地址為192.168.2.21，所在子網(wǎng)的默認網(wǎng)關(guān)地址為192.168.2.1，管理員可以先在Windows的“命令提示符”窗口執(zhí)行TELNET 192.168.2.1命令，成功連接到核心交換機后會出現(xiàn)命令行方式的設(shè)置界面，在此界面中，再執(zhí)行TELNET 192.168.2.21命令就可以連接到交換機了。
如果出于應(yīng)用的需要，必須為交換機設(shè)置默認網(wǎng)關(guān)地址，我們可以在設(shè)備VLAN和客戶機VLAN之間設(shè)置一道“防火墻”，即通過在核心交換機中設(shè)置二層的包過濾策略和三層的IP過濾策略來限制客戶機對指定VLAN和IP地址的訪問，從而實現(xiàn)對設(shè)備VLAN的隔離。
啟動策略后，只有符合策略規(guī)則的數(shù)據(jù)包才能進入設(shè)備VLAN中。當然這種方式的實現(xiàn)，要求核心交換機支持包過濾和IP過濾才可以。
熱詞搜索：
上一篇：利用IP 別名托管多個SSL 站點
下一篇：將風險降到最低 網(wǎng)絡(luò)管理十大注意事項分享到：
收藏
延伸閱讀
熱文
Copyright © 2009-2022 網(wǎng)絡(luò)安全和運維網(wǎng) All rights reserved. 京ICP備10047140號 京公安網(wǎng)備11010802014307
掃碼關(guān)注微信