網(wǎng)絡(luò)中斷是為網(wǎng)絡(luò)事故中最常見的問(wèn)題之一，而此問(wèn)題的產(chǎn)生多與IP地址有關(guān)。只要有一臺(tái)個(gè)人電腦的地址設(shè)置不正確，網(wǎng)絡(luò)的傳輸就會(huì)受到影響，甚至整個(gè)網(wǎng)絡(luò)都會(huì)癱瘓。

 

　　我們知道，對(duì)于在Internet和Intranet網(wǎng)絡(luò)上，使用TCP/IP協(xié)議時(shí)每臺(tái)主機(jī)必須具有獨(dú)立的IP地址，有了IP地址的主機(jī)才能與網(wǎng)絡(luò)上的其它主機(jī)進(jìn)行通訊。

 

　　隨著網(wǎng)絡(luò)應(yīng)用普及，網(wǎng)絡(luò)客戶急劇膨脹，由于靜態(tài)IP地址分配，IP地址沖突和IP地址篡改的麻煩相繼而來(lái)。IP地址篡改，網(wǎng)絡(luò)能正常運(yùn)行，但是網(wǎng)絡(luò)傳輸質(zhì)量發(fā)生了變化，改變的原因?yàn)槁酚筛淖兞耍籌P地址沖突也造成了很壞的影響。

 

　　四種因素造成IP地址沖突

 

　　只要網(wǎng)絡(luò)上存在沖突的機(jī)器，網(wǎng)絡(luò)客戶不能正常工作。因?yàn)橹灰袥_突的網(wǎng)絡(luò)終端一啟動(dòng)，在客戶機(jī)上都會(huì)頻繁出現(xiàn)地址沖突的提示：“如果網(wǎng)絡(luò)上某項(xiàng)應(yīng)用的安全策略是基于IP地址進(jìn)行的，這種非法的IP用戶會(huì)對(duì)應(yīng)用系統(tǒng)的安全造成了嚴(yán)重威脅。出現(xiàn)問(wèn)題有時(shí)并不能及時(shí)發(fā)現(xiàn)，只有在相互沖突的網(wǎng)絡(luò)客戶同時(shí)都在開機(jī)狀態(tài)時(shí)才能顯露出問(wèn)題，所以具有相當(dāng)?shù)碾[蔽性。一般而言，下列幾種情況有可能造成IP地址沖突：

 

1、很多用戶對(duì)TCP/IP并不了解，不知道“IP地址”、“子網(wǎng)掩碼”、“默認(rèn)網(wǎng)關(guān)”等參數(shù)如何設(shè)置，有時(shí)用戶不是從管理員處得到的上述參數(shù)的信息，或者是用戶無(wú)意修改了這些信息。

 

2、管理員或用戶根據(jù)管理員提供的上述參數(shù)進(jìn)行設(shè)置時(shí)，由于失誤造成參數(shù)輸錯(cuò)。

 

3、在客戶機(jī)維修調(diào)試時(shí)，維修人員使用臨時(shí)IP地址應(yīng)用造成。

 

4、有人竊用他人的IP地址。

 

　　ping等命令可廉價(jià)解決問(wèn)題

 

　　如果導(dǎo)入了昂貴的網(wǎng)絡(luò)管理軟件，也許就能夠更加輕松地解決問(wèn)題。但是利用ping等命令，基本上可以解決所有的問(wèn)題。當(dāng)發(fā)生故障以后，首先使用ping命令。如果使用得當(dāng)，其作用堪與昂貴的軟件相媲美。當(dāng)出現(xiàn)IP地址沖突時(shí)候，我們首先要確定沖突發(fā)生的VLAN。

 

　　通過(guò)IP規(guī)劃的vlan定義，和沖突的IP地址，找到?jīng)_突地址所在的網(wǎng)段。這對(duì)成功地找到網(wǎng)卡MAC地址很關(guān)鍵，因?yàn)橛行┚W(wǎng)絡(luò)命令不能跨網(wǎng)段存取。將客戶機(jī)與網(wǎng)絡(luò)隔離，讓非法的IP地址的微機(jī)在網(wǎng)上運(yùn)行，網(wǎng)管員便可以設(shè)法找到它了。應(yīng)用網(wǎng)絡(luò)測(cè)試命令有ping命令和arp命令。使用ping命令，假設(shè)沖突的IP地址為134.39.236.136，在msdos窗口，命令格式如下，其中斜體部分是命令結(jié)果。

 

C:\WIDOWS\〉ping 134.39.236.136

 

Request timed out

 

Reply from 134.39.236.136 bytes=32 time〈1ms TTL=128

 

　　我們之所以要ping這臺(tái)機(jī)器，是出于兩個(gè)目的，首先我們要知道我們要找的機(jī)器確實(shí)在網(wǎng)絡(luò)上；其次，我們要知道這臺(tái)機(jī)器的網(wǎng)卡的MAC地址，那么我們?nèi)绾沃浪腗AC地址呢？這就需要使用第二個(gè)命令arp：arp命令只能在某一個(gè)VLAN中使用有效，它是低層協(xié)議，并不能跨路由。

 

C:\WIDOWS\〉arp-a

 

Interface:......onInerface.....

 

InternetAddress/PhysicalAddress/Type

 

134.39.236.136/00-30-88-02-dc-5c /dynamic

 

　　以上列表表示出沖突IP地址134.39.236.136處網(wǎng)卡的MAC地址為00-30-88-02-dc-5c。接下來(lái)我們通過(guò)網(wǎng)絡(luò)執(zhí)行官管理軟件找到是MAC地址為00-30-88-02-dc-5c的網(wǎng)卡的具體物理位置。
防范沖突比解決沖突更重要

 

　　做好預(yù)防IP地址沖突，是問(wèn)題的根本。解決這種問(wèn)題并不是很難，需要網(wǎng)絡(luò)管理員做到以下幾點(diǎn)：

 

　　首先，做好整個(gè)局域網(wǎng)終端用戶計(jì)算機(jī)的命名，指定IP地址，根據(jù)用戶的類別統(tǒng)一命名計(jì)算機(jī)，并給定IP地址。這樣一看機(jī)器名，就知道是哪個(gè)部門哪臺(tái)機(jī)器，便于管理。比如綜合部001號(hào)機(jī)器，我們就將其命名為”zonghebu001”。同時(shí)，統(tǒng)一規(guī)劃分配IP地址給每臺(tái)終端機(jī)器，并建立IP地址分配登記表。

 

　　其次，統(tǒng)計(jì)每個(gè)終端機(jī)器網(wǎng)卡的MAC地址，建立IP地址與MAC地址對(duì)應(yīng)表。在MS-DOS方式下鍵入命令“WinIPcfg”就可以獲得本機(jī)IP地址和MAC地址。我們可以將此方法公布一下，然后要求相關(guān)用戶將本機(jī)MAC地址抄錄上報(bào)到網(wǎng)管中心，再進(jìn)行登記匯總。也可在設(shè)定機(jī)器名和IP地址時(shí)一并統(tǒng)計(jì)好。網(wǎng)絡(luò)管理員也可以利用Nbtstat命令來(lái)遠(yuǎn)程獲得指定機(jī)器的MAC地址。在MS-DOS方式下鍵入命令“Nbtstat -a 遠(yuǎn)程計(jì)算機(jī)名”，即可獲得指定機(jī)器的IP地址和MAC地址。

 

　　最后，將IP地址與MAC地址綁定。這要根據(jù)局域網(wǎng)接入互聯(lián)網(wǎng)的方式不同而采用不同的辦法。

 

　　方法一：交換機(jī)控制　　解決IP地址的最徹底的方法是使用交換機(jī)進(jìn)行控制，即在TCP/IP第二層進(jìn)行控制。使用交換機(jī)提供的端口的單地址工作模式，即交換機(jī)的每一個(gè)端口只允許一臺(tái)主機(jī)通過(guò)該端口訪問(wèn)網(wǎng)絡(luò)，任何其它地址的主機(jī)的訪問(wèn)被拒絕。但此方案的最大缺點(diǎn)在于它需要網(wǎng)絡(luò)上全部采用交換機(jī)提供用戶接入，這在交換機(jī)相對(duì)昂貴的今天不是一個(gè)能夠普遍采用的解決方案。

 

　　方法二：路由器隔離　　采用路由器隔離的辦法的主要依據(jù)是MAC地址作為以太網(wǎng)卡地址全球唯一不能改變。其實(shí)現(xiàn)方法為通過(guò)SNMP協(xié)議定期掃描各路由器的ARP表，獲得當(dāng)前IP和MAC的對(duì)照關(guān)系，和事先合法的IP和MAC地址比較，如不一致，則為非法訪問(wèn)。對(duì)于非法訪問(wèn)，有幾種辦法可以制止，如

 

1.使用正確的IP與MAC地址映射覆蓋非法的IP-MAC表項(xiàng)；

 

2.向非法訪問(wèn)的主機(jī)發(fā)送ICMP不可達(dá)的欺騙包，干擾其數(shù)據(jù)發(fā)送；

 

3.修改路由器的存取控制列表，禁止非法訪問(wèn)。

 

　　路由器隔離的另外一種實(shí)現(xiàn)方法是使用靜態(tài)ARP表，即路由器中IP與MAC地址的映射不通過(guò)ARP來(lái)獲得，而采用靜態(tài)設(shè)置。這樣，當(dāng)非法訪問(wèn)的IP地址和MAC地址不一致時(shí)，路由器根據(jù)正確的靜態(tài)設(shè)置轉(zhuǎn)發(fā)的幀就不會(huì)到達(dá)非法主機(jī)。

 

　　使用靜態(tài)IP地址分配可以對(duì)各部門進(jìn)行合理的IP地址規(guī)劃，能夠在第三層上方便地跟蹤管理，如果我們通過(guò)加強(qiáng)對(duì)MAC地址的管理，同樣也會(huì)有效地解決這一問(wèn)題。

 

　　總之，在網(wǎng)絡(luò)用戶連網(wǎng)的同時(shí)，建立IP地址和MAC地址的信息檔案，自始至終地對(duì)局域網(wǎng)客戶執(zhí)行嚴(yán)格的管理、登記制度，將每個(gè)用戶的IP地址、MAC地址、上聯(lián)端口、物理位置和用戶身份等信息記錄在網(wǎng)絡(luò)管理員的數(shù)據(jù)庫(kù)中。

 

　　試想，在我們上述的案例中，如果知道了非法用戶的MAC地址后，我們可以從管理員數(shù)據(jù)庫(kù)中進(jìn)行查尋，如果我們對(duì)MAC地址記錄全面，我們便可以立即找到具體的使用人的信息，這會(huì)節(jié)省我們大量寶貴時(shí)間，避免大海撈針的煩惱。同時(shí)我們對(duì)于某些應(yīng)用應(yīng)避免使用IP地址來(lái)進(jìn)行權(quán)限限制，如果我們從MAC地址上進(jìn)行限制相對(duì)來(lái)說(shuō)要安全的多，這樣可以有效地防止有人竊取IP地址的僥幸行為. 管理IP地址是一項(xiàng)長(zhǎng)期工作，管理的好壞，直接影響企業(yè)網(wǎng)絡(luò)發(fā)展。