網(wǎng)絡(luò)中斷是為網(wǎng)絡(luò)事故中最常見的問題之一,而此問題的產(chǎn)生多與IP地址有關(guān)。只要有一臺(tái)個(gè)人電腦的地址設(shè)置不正確,網(wǎng)絡(luò)的傳輸就會(huì)受到影響,甚至整個(gè)網(wǎng)絡(luò)都會(huì)癱瘓。
我們知道,對(duì)于在Internet和Intranet網(wǎng)絡(luò)上,使用TCP/IP協(xié)議時(shí)每臺(tái)主機(jī)必須具有獨(dú)立的IP地址,有了IP地址的主機(jī)才能與網(wǎng)絡(luò)上的其它主機(jī)進(jìn)行通訊。
隨著網(wǎng)絡(luò)應(yīng)用普及,網(wǎng)絡(luò)客戶急劇膨脹,由于靜態(tài)IP地址分配,IP地址沖突和IP地址篡改的麻煩相繼而來。IP地址篡改,網(wǎng)絡(luò)能正常運(yùn)行,但是網(wǎng)絡(luò)傳輸質(zhì)量發(fā)生了變化,改變的原因?yàn)槁酚筛淖兞耍籌P地址沖突也造成了很壞的影響。
四種因素造成IP地址沖突
只要網(wǎng)絡(luò)上存在沖突的機(jī)器,網(wǎng)絡(luò)客戶不能正常工作。因?yàn)橹灰袥_突的網(wǎng)絡(luò)終端一啟動(dòng),在客戶機(jī)上都會(huì)頻繁出現(xiàn)地址沖突的提示:“如果網(wǎng)絡(luò)上某項(xiàng)應(yīng)用的安全策略是基于IP地址進(jìn)行的,這種非法的IP用戶會(huì)對(duì)應(yīng)用系統(tǒng)的安全造成了嚴(yán)重威脅。出現(xiàn)問題有時(shí)并不能及時(shí)發(fā)現(xiàn),只有在相互沖突的網(wǎng)絡(luò)客戶同時(shí)都在開機(jī)狀態(tài)時(shí)才能顯露出問題,所以具有相當(dāng)?shù)碾[蔽性。一般而言,下列幾種情況有可能造成IP地址沖突:
1、很多用戶對(duì)TCP/IP并不了解,不知道“IP地址”、“子網(wǎng)掩碼”、“默認(rèn)網(wǎng)關(guān)”等參數(shù)如何設(shè)置,有時(shí)用戶不是從管理員處得到的上述參數(shù)的信息,或者是用戶無意修改了這些信息。
2、管理員或用戶根據(jù)管理員提供的上述參數(shù)進(jìn)行設(shè)置時(shí),由于失誤造成參數(shù)輸錯(cuò)。
3、在客戶機(jī)維修調(diào)試時(shí),維修人員使用臨時(shí)IP地址應(yīng)用造成。
4、有人竊用他人的IP地址。
ping等命令可廉價(jià)解決問題
如果導(dǎo)入了昂貴的網(wǎng)絡(luò)管理軟件,也許就能夠更加輕松地解決問題。但是利用ping等命令,基本上可以解決所有的問題。當(dāng)發(fā)生故障以后,首先使用ping命令。如果使用得當(dāng),其作用堪與昂貴的軟件相媲美。當(dāng)出現(xiàn)IP地址沖突時(shí)候,我們首先要確定沖突發(fā)生的VLAN。
通過IP規(guī)劃的vlan定義,和沖突的IP地址,找到?jīng)_突地址所在的網(wǎng)段。這對(duì)成功地找到網(wǎng)卡MAC地址很關(guān)鍵,因?yàn)橛行┚W(wǎng)絡(luò)命令不能跨網(wǎng)段存取。將客戶機(jī)與網(wǎng)絡(luò)隔離,讓非法的IP地址的微機(jī)在網(wǎng)上運(yùn)行,網(wǎng)管員便可以設(shè)法找到它了。應(yīng)用網(wǎng)絡(luò)測(cè)試命令有ping命令和arp命令。使用ping命令,假設(shè)沖突的IP地址為134.39.236.136,在msdos窗口,命令格式如下,其中斜體部分是命令結(jié)果。
C:\WIDOWS\〉ping 134.39.236.136
Request timed out
Reply from 134.39.236.136 bytes=32 time〈1ms TTL=128
我們之所以要ping這臺(tái)機(jī)器,是出于兩個(gè)目的,首先我們要知道我們要找的機(jī)器確實(shí)在網(wǎng)絡(luò)上;其次,我們要知道這臺(tái)機(jī)器的網(wǎng)卡的MAC地址,那么我們?nèi)绾沃浪腗AC地址呢?這就需要使用第二個(gè)命令arp:arp命令只能在某一個(gè)VLAN中使用有效,它是低層協(xié)議,并不能跨路由。
C:\WIDOWS\〉arp-a
Interface:......onInerface.....
InternetAddress/PhysicalAddress/Type
134.39.236.136/00-30-88-02-dc-5c /dynamic
以上列表表示出沖突IP地址134.39.236.136處網(wǎng)卡的MAC地址為00-30-88-02-dc-5c。接下來我們通過網(wǎng)絡(luò)執(zhí)行官管理軟件找到是MAC地址為00-30-88-02-dc-5c的網(wǎng)卡的具體物理位置。
防范沖突比解決沖突更重要
做好預(yù)防IP地址沖突,是問題的根本。解決這種問題并不是很難,需要網(wǎng)絡(luò)管理員做到以下幾點(diǎn):
首先,做好整個(gè)局域網(wǎng)終端用戶計(jì)算機(jī)的命名,指定IP地址,根據(jù)用戶的類別統(tǒng)一命名計(jì)算機(jī),并給定IP地址。這樣一看機(jī)器名,就知道是哪個(gè)部門哪臺(tái)機(jī)器,便于管理。比如綜合部001號(hào)機(jī)器,我們就將其命名為”zonghebu001”。同時(shí),統(tǒng)一規(guī)劃分配IP地址給每臺(tái)終端機(jī)器,并建立IP地址分配登記表。
其次,統(tǒng)計(jì)每個(gè)終端機(jī)器網(wǎng)卡的MAC地址,建立IP地址與MAC地址對(duì)應(yīng)表。在MS-DOS方式下鍵入命令“WinIPcfg”就可以獲得本機(jī)IP地址和MAC地址。我們可以將此方法公布一下,然后要求相關(guān)用戶將本機(jī)MAC地址抄錄上報(bào)到網(wǎng)管中心,再進(jìn)行登記匯總。也可在設(shè)定機(jī)器名和IP地址時(shí)一并統(tǒng)計(jì)好。網(wǎng)絡(luò)管理員也可以利用Nbtstat命令來遠(yuǎn)程獲得指定機(jī)器的MAC地址。在MS-DOS方式下鍵入命令“Nbtstat -a 遠(yuǎn)程計(jì)算機(jī)名”,即可獲得指定機(jī)器的IP地址和MAC地址。
最后,將IP地址與MAC地址綁定。這要根據(jù)局域網(wǎng)接入互聯(lián)網(wǎng)的方式不同而采用不同的辦法。
方法一:交換機(jī)控制 解決IP地址的最徹底的方法是使用交換機(jī)進(jìn)行控制,即在TCP/IP第二層進(jìn)行控制。使用交換機(jī)提供的端口的單地址工作模式,即交換機(jī)的每一個(gè)端口只允許一臺(tái)主機(jī)通過該端口訪問網(wǎng)絡(luò),任何其它地址的主機(jī)的訪問被拒絕。但此方案的最大缺點(diǎn)在于它需要網(wǎng)絡(luò)上全部采用交換機(jī)提供用戶接入,這在交換機(jī)相對(duì)昂貴的今天不是一個(gè)能夠普遍采用的解決方案。
方法二:路由器隔離 采用路由器隔離的辦法的主要依據(jù)是MAC地址作為以太網(wǎng)卡地址全球唯一不能改變。其實(shí)現(xiàn)方法為通過SNMP協(xié)議定期掃描各路由器的ARP表,獲得當(dāng)前IP和MAC的對(duì)照關(guān)系,和事先合法的IP和MAC地址比較,如不一致,則為非法訪問。對(duì)于非法訪問,有幾種辦法可以制止,如
1.使用正確的IP與MAC地址映射覆蓋非法的IP-MAC表項(xiàng);
2.向非法訪問的主機(jī)發(fā)送ICMP不可達(dá)的欺騙包,干擾其數(shù)據(jù)發(fā)送;
3.修改路由器的存取控制列表,禁止非法訪問。
路由器隔離的另外一種實(shí)現(xiàn)方法是使用靜態(tài)ARP表,即路由器中IP與MAC地址的映射不通過ARP來獲得,而采用靜態(tài)設(shè)置。這樣,當(dāng)非法訪問的IP地址和MAC地址不一致時(shí),路由器根據(jù)正確的靜態(tài)設(shè)置轉(zhuǎn)發(fā)的幀就不會(huì)到達(dá)非法主機(jī)。
使用靜態(tài)IP地址分配可以對(duì)各部門進(jìn)行合理的IP地址規(guī)劃,能夠在第三層上方便地跟蹤管理,如果我們通過加強(qiáng)對(duì)MAC地址的管理,同樣也會(huì)有效地解決這一問題。
總之,在網(wǎng)絡(luò)用戶連網(wǎng)的同時(shí),建立IP地址和MAC地址的信息檔案,自始至終地對(duì)局域網(wǎng)客戶執(zhí)行嚴(yán)格的管理、登記制度,將每個(gè)用戶的IP地址、MAC地址、上聯(lián)端口、物理位置和用戶身份等信息記錄在網(wǎng)絡(luò)管理員的數(shù)據(jù)庫(kù)中。
試想,在我們上述的案例中,如果知道了非法用戶的MAC地址后,我們可以從管理員數(shù)據(jù)庫(kù)中進(jìn)行查尋,如果我們對(duì)MAC地址記錄全面,我們便可以立即找到具體的使用人的信息,這會(huì)節(jié)省我們大量寶貴時(shí)間,避免大海撈針的煩惱。同時(shí)我們對(duì)于某些應(yīng)用應(yīng)避免使用IP地址來進(jìn)行權(quán)限限制,如果我們從MAC地址上進(jìn)行限制相對(duì)來說要安全的多,這樣可以有效地防止有人竊取IP地址的僥幸行為. 管理IP地址是一項(xiàng)長(zhǎng)期工作,管理的好壞,直接影響企業(yè)網(wǎng)絡(luò)發(fā)展。