巧用兩種方法解決局域網(wǎng)內(nèi)IP被盜的安全問題(2)

　　二、防范技術(shù)研究

　　針對(duì)IP盜用問題，網(wǎng)絡(luò)專家采用了各種防范技術(shù)，現(xiàn)在比較通常的防范技術(shù)主要是根據(jù)TCP/IP的層次結(jié)構(gòu)，在不同的層次采用不同的方法來防止IP地址的盜用。

　　1、交換機(jī)控制

　　解決IP地址的最徹底的方法是使用交換機(jī)進(jìn)行控制，即在TCP/IP第二層進(jìn)行控制:使用交換機(jī)提供的端口的單地址工作模式，即交換機(jī)的每一個(gè)端口只允許一臺(tái)主機(jī)通過該端口訪問網(wǎng)絡(luò)，任何其它地址的主機(jī)的訪問被拒絕。但此方案的最大缺點(diǎn)在于它需要網(wǎng)絡(luò)上全部采用交換機(jī)提供用戶接入，這在交換機(jī)相對(duì)昂貴的今天不是一個(gè)能夠普遍采用的解決方案。

　　2、路由器隔離

　　采用路由器隔離的辦法其主要依據(jù)是MAC地址作為以太網(wǎng)卡地址全球唯一不能改變。其實(shí)現(xiàn)方法為通過SNMP協(xié)議定期掃描校園網(wǎng)各路由器的ARP表，獲得當(dāng)前IP和MAC的對(duì)照關(guān)系，和事先合法的IP和MAC地址比較，如不一致，則為非法訪問。對(duì)于非法訪問，有幾種辦法可以制止，如:

　　a. 使用正確的IP與MAC地址映射覆蓋非法的IP-MAC表項(xiàng);

　　b. 向非法訪問的主機(jī)發(fā)送ICMP不可達(dá)的欺騙包，干擾其數(shù)據(jù)發(fā)送;

　　c. 修改路由器的存取控制列表，禁止非法訪問。

　　路由器隔離的另外一種實(shí)現(xiàn)方法是使用靜態(tài)ARP表，即路由器中IP與MAC地址的映射不通過ARP來獲得，而采用靜態(tài)設(shè)置。這樣，當(dāng)非法訪問的IP地址和MAC地址不一致時(shí)，路由器根據(jù)正確的靜態(tài)設(shè)置轉(zhuǎn)發(fā)的幀就不會(huì)到達(dá)非法主機(jī)。

　　路由器隔離技術(shù)能夠較好地解決IP地址的盜用問題，但是如果非法用戶針對(duì)其理論依據(jù)進(jìn)行破壞，成對(duì)修改IP-MAC地址，對(duì)這樣的IP地址盜用它就無能為力了。

　　3、防火墻與代理服務(wù)器

　　使用防火墻與代理服務(wù)器相結(jié)合，也能較好地解決IP地址盜用問題:防火墻用來隔離內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)，用戶訪問外部網(wǎng)絡(luò)通過代理服務(wù)器進(jìn)行。使用這樣的辦法是將IP防盜放到應(yīng)用層來解決，變IP管理為用戶身份和口令的管理，因?yàn)橛脩魧?duì)于網(wǎng)絡(luò)的使用歸根結(jié)底是要使用網(wǎng)絡(luò)應(yīng)用。這樣實(shí)現(xiàn)的好處是，盜用IP地址只能在子網(wǎng)內(nèi)使用，失去盜用的意義;合法用戶可以選擇任意一臺(tái)IP主機(jī)使用，通過代理服務(wù)器訪問外部網(wǎng)絡(luò)資源，而無權(quán)用戶即使盜用IP，也沒有身份和密碼，不能使用外部網(wǎng)絡(luò)。

　　使用防火墻和代理服務(wù)器的缺點(diǎn)也是明顯的，由于使用代理服務(wù)器訪問外部網(wǎng)絡(luò)對(duì)用戶不是透明的，增加了用戶操作的麻煩;另外，對(duì)于大數(shù)量的用戶群(如高校的學(xué)生)來說，用戶管理也是一個(gè)問題。

　　總之呢，還是應(yīng)該提高防范措施，不要等到問題出現(xiàn)的時(shí)候，才后悔沒有好好的學(xué)習(xí)關(guān)注這方面的事情，祝你們好運(yùn)吧。