图3
二、IP保护从DHCP开始
其实,具有一定规模的企业网络,一般会部署DHCP服务器来为客户端提供网络服务,免去了手工设置IP的麻烦,大大简化了网络管理。此时,客户端连入网络后会发送DHCP请求包,DHCP服务器会应答并提供IP地址、子网掩码、网关,DNS等信息。但是,当局域网中出现了另外一台非授权的DHCP后会怎么样呢?毫无疑问,这必然导致IP的混乱。因此,我们不能忽视对DHCP的保护。
1、简单防范
(1).客户端不断请求
既然广播包会发向网络中的所有设备,合法还是非授权服务器先应答是没有任何规律的,那么我们可以通过多次尝试广播包的发送来临时解决这个问题,直到客户机可以得到真实的地址为止。
客户端在命令行中先敲入命令“ipconfig /release”释放非授权网络数据,然后输入命令“ipconfig /renew”尝试获得网络参数。如果还是获得错误信息则再次尝试上面两条命令,直到得到正确信息。不过这种方法治标不治本,反复尝试的次数没有保证,一般都需要十几次甚至是几十次,另外当DHCP租约到期后客户端需要再次寻找DHCP服务器获得信息,故障仍然会出现。
(2).另类方法干扰
在实际使用中笔者发现了一个另类的方法,该方法和上面介绍的消极防范结合起来使用效果还算不错。这个方法就是只要知道非授权的DHCP的IP,找台电脑设置和他同样的IP,能降低非授权DHCP发放的数量,这样在执行ipconfig /release和ipconfig /renew时获得合法网络信息的概率大大提高。
2、主动出击
(1).通过DC对DHCP授权
一般我们使用的操作系统都是Windows,微软为我们提供了一个官方解决办法。在windows系统组建的网络中,如果非授权DHCP服务器也是用Windows系统建立的话我们可以通过“域”的方式对非授权DHCP服务器进行过滤。将合法的DHCP服务器添加到活动目录(Active Directory)中,通过这种认证方式就可以有效的制止非授权DHCP服务器了。
原理就是没有加入域中的DHCP Server在相应请求前,会向网络中的其他DHCP Server发送DHCP INFORM查询包,如果其他DHCP Server有响应,那么这个DHCP Server就不能对客户的要求作相应,也就是说网络中加入域的DHCP服务器的优先级比没有加入域的DHCP服务器要高。这样当合法DHCP存在时非授权的就不起任何作用了。
授权合法DHCP的过程如下:“开始→程序→管理工具→DHCP”,选择DHCP, 用鼠标右键单击选择“添加服务器”,然后浏览选择需要认证的服务器。点“添加”按钮, 输入要认证的DHCP服务器IP地址, 完成授权操作。
图4
这种方法效果虽然不错,但需要域的支持。要知道对于众多中小企业来说“域”对他们是大材小用,基本上使用工作组就足以应对日常的工作了。所以这个方法是微软推荐的,效果也不错,但不太适合实际情况。另外该方法只适用于非授权DHCP服务器是windows系统,对非Windows的操作系统甚至是NT4这样的系统都会有一定的问题。
(2).在路由器/交换机上封杀
有的路由交换设备自身功能比较强,例如具有extreme功能,他可以自动抑制非授权dhcp的数据包。如果没有extreme功能我们如何提前预防非授权DHCP服务器的接入呢?
首先需要对DHCP数据包使用的端口有所了解,DHCP服务主要使用的是UDP的67和68端口,服务器端应答数据包使用68端口,67端口为客户机发送请求时使用。所以我们可以在路由器和交换机上通过访问控制列表来屏蔽除合法DHCP服务器以外的所有DHCP应答包,也就是说将68端口封闭。具体命令为:access-list 108 deny udp any eq 68 any
图5
这种方法只对于WINDOWS操作系统的DHCP服务器有效,对于在其他操作系统上建立的DHCP服务器则无法完全过滤。而且大量的ACL也会降低路由交换设备的性能,使网络速度受到一定的影响。
(3).在路由器/交换机上实施屏蔽
第一步:知道了非授权DHCP服务器的IP地址后使用ping -a ip来反向查看他的计算机主机名。根据ARP命令查询该计算机对应的MAC地址,也可以到合法DHCP服务器上查看缓存池中该IP对应的MAC地址。 知道了MAC地址后登录交换机执行show mac add显示所有MAC地址与交换机端口的对应关系。
相关视频
相关阅读 iPadOS beta 2下载 iPadOS beta 2固件下载地址iPadOS怎么升级 iPadOS升级教程iPadOS有什么新功能 iPadOS有哪些新功能iPadOS下载 iPadOS固件下载地址iPadOS支持哪些设备升级 iPadOS可升级设备一览Mac怎么关闭SIP系统完整性 Mac SIP怎么关闭ip密码忘记了怎么解锁面容id不可用怎么解决
热门文章 电视盒子怎么看百度云迅雷9怎么关闭右侧 迅迅雷99.99下载不完怎么网易云音乐怎么上传歌
最新文章
2022支付宝万能福扫福微信迎新春状态怎么设
微信小老虎头像怎么设置 微信ID后面设置小老抖音压岁钱卡怎么获得2022 抖音压岁钱获取方微博隐私保护怎么设置 微博隐私保护功能完善今日头条2022年集卡活动开启时间 今日头条2
人气排行 智学网怎么登录 智学网怎么查分数 智学网统教你怎么写电子邮箱格式?以163和QQ邮箱为例腾讯大王卡用了后悔怎么办 腾讯大王卡值得办缺少或丢失xinput1_3.dll解决方法,xinput1应用程序无法正常启动0xc000007b解决方法快播关闭怎么办?快播不能用了怎么看片将pdf文件转换为word文件的最简单方法如何破解QQ空间密码和权限
查看所有0条评论>>