如何防范IP地址被盗?

1．锁定交换机端口 对于交换机的每一个以太网端口，采用MAC地址表（MAC-address-table）的方式对端口进行锁定。只有网络管理员在MAC地址表中指定的网卡的MAC地址才能通过该端口与网络连接，其他的网卡地址不能通过该端口访问网络。我们可以在计算机上先运行ping命令，然后用arp-a命令就可以看到网络用户相应的IP地址对应的MAC地址，这样就使MAC地址和物理顺序对应起来，使得一根网线、一个端口对应一个MAC地址。这种方法比较适合于单幢大楼的宽带用户，在每一层楼或每个单元放置一台交换机，对交换机的每一个以太网端口进行限定，让每个用户单独占用一个端口，如果有人盗用了IP地址也将无济于事。下面用一段程序，举例说明指定交换机的e0/9口对应MAC地址083c.0000.0002，只有这个MAC地址可以通过该端口访问网络。 2．应用ARP绑定IP地址和MAC地址 ARP（Address Resolution Protocol）即地址解析协议，这个协议是将IP地址与网络物理地址一一对应的协议。每台计算机的网卡的MAC地址都是唯一的。在三层交换机和路由器中有一张称为ARP的表，用来支持在IP地址和MAC地址之间的一一对应关系，它提供两者的相互转换，具体说就是将网络层地址解析为数据链路层的地址。 我们可以在ARP表里将合法用户的IP地址和网卡的MAC地址进行绑定。当有人盗用IP地址时，尽管盗用者修改了IP地址，但由于网卡的MAC地址和ARP表中对应的MAC地址不一致，那么也不能访问网络。以Cisco交换机为例，在Cisco Catalyst 5000网络交换机上，关于ARP表的设置和删除有以下几条命令： Set arp [dynamic | static] {ip_addr hw_addr}（ 设置动态或静态的ARP表）； ip_addr（IP地址），hw_addr（MAC地址）； Set arp static 20.89.21.1 00-80-1c-93-80-40（将将IP地址20.89.21.1和网卡MAC地址00-80-1c-93-80-40绑定）； Set arp static 20.89.21.3 00-00-00-00-00-00（对未用的IP进行绑定，将MAC地址设置为0）； Set arp agingtime seconds（设置ARP表的刷新时间，如Set arp agingtime 300）； show arp （用来显示ARP表的内容）； clear arp [dynamic | static] {ip_addr hw_addr}（清除ARP表中的内容）。 其他品牌的三层交换机也有类似的命令和功能，用其他交换机来构建宽带网络时，也可以采用这种设置ARP表的办法来防止盗用IP地址，以达到限制每个IP地址的流量和根据网络流量进行计费的目的。这种方法比较适合于社区的宽带用户，但它只能防止盗用者静态地修改IP地址。 3. 用PPPoE协议进行用户认证 对于盗用者使用第二种方法同时修改IP地址和MAC地址时，可以使用PPPoE协议进行用户认证。现在有很多基于PPPoE协议的软件，在ADSL的宽带网中广泛使用。PPPoE全称是Point to Point Protocol over Ethernet（基于局域网的点对点通讯协议），这个协议是为了满足越来越多的宽带上网设备和网络之间的通讯而最新制定开发的标准，它基于两个广泛接受的标准，即以太网和PPP点对点拨号协议。对运营商来说，在现有局域网基础上不必花费巨资来做大面积改造，使得PPPoE 在宽带接入服务中比其他协议更具有优势，因此逐渐成为宽带上网的最佳选择。 PPPoE的实质是以太网和拨号网络之间的一个中继协议，它兼有以太网的快速性和PPP协议拨号的简易性以及用户验证和IP分配等优势。在ADSL宽带网的实际应用中，PPPoE利用以太网的工作原理，将ADSL Modem的10BASE－T接口与内部以太网络互联，PPPoE接入利用在网络侧和ADSL Modem之间建立一条PVC（永久虚电路）就可以完成以太网上多用户的共同接入，实际组网方式简单易行，大大降低了网络的复杂程度。 在客户端，其设置和拨号上网方式一样，安装虚拟拨号软件，通过虚拟拨号的方式完成。在客户机接入网络后，由PPP服务器或RADIUS服务器来进行认证，其使用的验证协议有两种：PAP和CHAP。 PAP是密码身份验证协议，它使用原文（不加密）密码，是一种最简单的身份验证协议。如果网络的接入不能用更安全的验证方式，一般就使用PAP。 CHAP是质询握手身份验证协议，它是使用MD5（message digest 5一种工业标准）的一种散列方案，散列方案是一种转换密码的方法，它生成的结果是唯一的且不能被改回到原始形式。CHAP在响应时使用质询-响应机制和单向 MD5 散列。用这种方法，可以向服务器证明用户知道密码，但不必实际将密码发送到网络上。通过支持 CHAP 和 MD5，网络和拨号连接能够安全地连接到几乎所有其他的PPP服务器上。 当用户合法身份通过RADIUS服务器验证后，由宽带接入服务器给客户机分配IP地址，避免了IP地址被盗用的情况。这种由宽带接入服务器和RADIIUS服务器配合来完成用户身份并分配IP地址的方法，还可以分配不同性质的IP地址（如公网地址或私有地址），并且符合RFC 2138和RFC 2139建议，支持Radius Proxy功能，可实现用户的漫游认证。在现有的很多宽带网里，使用网络防火墙也具有同样的用户认证功能。 用PPPoE协议进行用户认证的方式适合于大范围安装ADSL和局域网的宽带用户群，是可以较好地防止盗用IP地址的一种方法。 收起