IT家园 - Powered by Discuz! Board

标题: [分享] 如何预防用户恶意修改ＩＰ地址来获的访问权限 [打印本页]

作者: 圆明船 时间: 2007-4-9 04:23 标题: 如何预防用户恶意修改ＩＰ地址来获的访问权限

解决方法：

在交换机上配置MAC访问控制列表．

在公司里面，用户修改ＩＰ地址企图获的访问权限，这种现象很常见，会导致在公司里面网络通信出现故障（由于ＩＰ地址冲突）．

作为一名网络管理员，有职责来预防这类现象．

解决方法：

为了更详细说明问题，假设在公司里面，１９２.１６８.１.０／２４这个网段具有访问１９２.１６８.２.0／２４网段服务器的权利．

现有一个非法用户企图修改自己ＩＰ地址为１９２.１６８.１.０／２４网段来访问服务器．

１.正常情况下，为了只允许１９２.１６８.１.０／２４网段用户访问服务器，管理员只需要在交换机上配置

access-list {acl#} permit ip host 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255

然后把访问控制列表应用在交换机的接口下，即

ip access-group  {acl#} {in |outside }

注意：默认情况下，１９２.１６８.１.０／２４　和１９２.１６８.２.０／２４之外的网段用户是无法访问服务器的，但此时交换机毫无能力来预防用户修改ＩＰ地址，此时，非法用户只要把ＩＰ地址修改成１９２.１６８.１.０　或１９２.１６８.２.０即可访问服务器．

２.在第１步的基础上，网络管理员还需要做更多的事情．

arp {ip_address} {mac_address} arpa          (把１９２.１６８.１.０／２４和１９２.１６８.２.０／２４的用户ＩＰ地址与各自ＭＡＣ地址进行一一映射）

附：如果非法用户把其ＩＰ地址修改成上面合法的ＩＰ地址，他们发送到路由器的包是正常的，但是，从服务器返回来的包在路由器上转发的时候，目标地址总是为１９２.１６８.１.０和１９２.１６８.２.０合法用户的ＭＡＣ地址，非法用户是永远接收不到包的．

俗话说的好，道高一尺，魔高一丈，你能对ＭＡＣ地址与ＩＰ地址进行绑定，那么，我只要把自己的ＭＡＣ地址修改成１９２.１６８.１.０和１９２.１６８.２.０合法用户的ＭＡＣ地址，那么，不就可以轻易的接受到服务器返回过来的包了吗？

是的，一点没错．

那么，网络管理员就束手无策了吗？答案当时不是．

再教你一招：port  secure !

管理员除了进行上述配置外，另外只需要在每个端口下激活port secure功能，当非法用户修改了ＭＡＣ地址之后，交换机就自动关闭了端口，哈哈，让他电脑真正成为ＰＣ机，任何资源都访问不了，包括Ｉnternet.

具体设置方法：

进入交换机

switch＞enable

password:******

switch#config t

switch(config)# interface {interface_id }

switch(config-if)# switchport mode access

switch(config-if)# switchport port-security violation [protect |restric |shutdown ]

注：protect-当交换机接收到非法源地址的包，不告警；

　　restric-当交换机接收到非法源地址的包，发送syslog告警；

　　shutdown-当交换机接收到非法源地址的包，关闭其端口，让非法用户与网络断开．

这一招的确够绝，如果我是老板，看见我手下真有用户进行而已修改，我根据其端口，直接找到其ＰＣ机，第２天，让他倦着行李回家睡觉去，呵呵！我想大家都喜欢做一个遵守公司纪律的好员工，不会恶意修改其ＩＰ地址的．

作者: sunflow 时间: 2007-4-10 16:35

不错，不错，嘿嘿，能试用下

欢迎光临 IT家园 (http://bbs.it998.com/)