目前IP地址盜用行為非常常見,許多“不法之徒”用盜用地址的行為來逃避追蹤、隱藏自己的身份。IP位址的盜用行為侵害了網路正常用戶的權益,並且給網路安全、網路的正常執行帶來了巨大的負面影響,因此研究IP位址盜用的問題,找出有效的防範措施,是當前的一個緊迫課題。
利用埠定位及時阻斷IP位址盜用
交換機是局域網的主要網路設備,它工作在資料連結層上,基於MAC位址來轉發和過濾資料包。因此,每個交換機均維護著一個與埠對應的MAC位址表。任何與交換機直接相連或處於同一廣播域的主機的MAC位址均會被保存到交換機的MAC位址表中。通過SNMP(Simple Network Management protocol)管理站與各個交換機的SNMP代理通信可以獲取每個交換機保存的與埠對應的MAC位址表,從而形成一個即時的Switch-Port-MAC對應表。將即時獲得的Switch-Port-MAC對應表與事先獲得的合法的完整表格對照,就可以快速發現交換機埠是否出現非法MAC位址,進一步即可判定是否有IP地址盜用的發生。如果同一個MAC位址同時出現在不同的交換機的非級聯埠上,則意味著IP-MAC成對盜用。
發現了地址盜用行為後,實際上也已經將盜用行為定位到了交換機的埠。再通過查詢事先建立的完整的Switch-Port-MAC對應表,就可以立即定位到發生盜用行為的房間。
發生了位址盜用行為後,可以立即採取相應的方法來阻斷盜用行為所產生的影響,技術上可以通過SNMP管理站向交換機代理發出一個SNMP消息來關斷發生盜用行為的埠,這樣盜用IP位址的機器無法與網路中其他機器發生任何聯繫,當然也無法影響其他機器的正常執行。
埠的關斷可以通過改變其管理狀態來實現。在MIB(Management Information Base)中有一個代表埠管理狀態的可讀寫物件ifAdminStatus(物件識別字號為1.3.6.1.2.1.2.2.1.7),給ifAdminStatus賦不同的值,可以改變埠的管理狀態,即“1”—開啟埠,“2”—關閉埠,“3”—供測試用。
這樣,通過管理站給交換機發送賦值資訊(Set Request),就可以關閉和開啟相應的埠,比如要關閉某一交換機(192.168.1.1)的2號埠,可以向該交換機發出如下資訊:
set("private" 192.168.1.1 1.3.6.1,2.1.2.2.1.7.2.0.2).
結合IP-MAC綁定技術,通過交換機埠管理,可以在實際使用中迅速發現並阻斷IP位址的盜用行為,尤其是解決了IP-MAC成對盜用的問題,同時也不影響網路的執行效率。交換機是局域網的主要網路設備,它工作在資料連結層上,基於MAC位址來轉發和過濾資料包。因此,每個交換機均維護著一個與埠對應的MAC位址表。任何與交換機直接相連或處於同一廣播域的主機的MAC位址均會被保存到交換機的MAC位址表中。通過SNMP(Simple Network Management protocol)管理站與各個交換機的SNMP代理通信可以獲取每個交換機保存的與埠對應的MAC位址表,從而形成一個即時的Switch-Port-MAC對應表。將即時獲得的Switch-Port-MAC對應表與事先獲得的合法的完整表格對照,就可以快速發現交換機埠是否出現非法MAC位址,進一步即可判定是否有IP地址盜用的發生。如果同一個MAC位址同時出現在不同的交換機的非級聯埠上,則意味著IP-MAC成對盜用。
發現了地址盜用行為後,實際上也已經將盜用行為定位到了交換機的埠。再通過查詢事先建立的完整的Switch-Port-MAC對應表,就可以立即定位到發生盜用行為的房間。
發生了位址盜用行為後,可以立即採取相應的方法來阻斷盜用行為所產生的影響,技術上可以通過SNMP管理站向交換機代理發出一個SNMP消息來關斷發生盜用行為的埠,這樣盜用IP位址的機器無法與網路中其他機器發生任何聯繫,當然也無法影響其他機器的正常執行。
埠的關斷可以通過改變其管理狀態來實現。在MIB(Management Information Base)中有一個代表埠管理狀態的可讀寫物件ifAdminStatus(物件識別字號為1.3.6.1.2.1.2.2.1.7),給ifAdminStatus賦不同的值,可以改變埠的管理狀態,即“1”—開啟埠,“2”—關閉埠,“3”—供測試用。
這樣,通過管理站給交換機發送賦值資訊(Set Request),就可以關閉和開啟相應的埠,比如要關閉某一交換機(192.168.1.1)的2號埠,可以向該交換機發出如下資訊:
set("private" 192.168.1.1 1.3.6.1,2.1.2.2.1.7.2.0.2).
結合IP-MAC綁定技術,通過交換機埠管理,可以在實際使用中迅速發現並阻斷IP位址的盜用行為,尤其是解決了IP-MAC成對盜用的問題,同時也不影響網路的執行效率。