對于三層交換機(ji)劃分多(duo)個VLAN的局域(yu)網(wang)來說，要設置IP-MAC綁(bang)(bang)定(ding)可真(zhen)不容易。在(zai)三層交換機(ji)上進(jin)行(xing)IP-MAC綁(bang)(bang)定(ding)，不但(dan)配置復雜(za)而(er)且維護工作量(liang)很大(da)，所以(yi)大(da)部分網(wang)管都不會直接在(zai)三層交換機(ji)上進(jin)行(xing)綁(bang)(bang)定(ding)。在(zai)本(ben)文中，我將介(jie)紹用WSG上網(wang)行(xing)為管理，在(zai)網(wang)橋部署的模式(shi)下(xia)，如(ru)何(he)來實現三層交換機(ji)下(xia)的IP和(he)MAC綁(bang)(bang)定(ding)。

1. 先看下網絡拓撲圖。

IP地址沖突一般是由于手動設置(zhi)IP的原因，綜合(he)來說有如(ru)下兩種可能性：

1. A電腦和B電腦都手工設置了同樣的IP地址。
   

2. A電(dian)腦自動獲取，B電(dian)腦手動設(she)置了和A電(dian)腦一樣的IP地址(zhi)。

出現IP地址(zhi)沖(chong)突時(shi)，通(tong)過arp -a命令，可以(yi)看到沖(chong)突對方的MAC地址(zhi)。如下圖：

IP地址沖(chong)突是網絡管理的(de)一個常見問題。尤(you)其(qi)在企業局(ju)域網內部，由于(yu)管控策略(lve)的(de)存在，總會(hui)有人試(shi)圖(tu)通過修(xiu)改IP地址來繞開管控、獲取更(geng)多的(de)上網權(quan)限以(yi)及更(geng)高的(de)帶寬(kuan)。修(xiu)改的(de)IP一旦(dan)和公(gong)司(si)的(de)服(fu)務器發送IP沖(chong)突，會(hui)直(zhi)接影響(xiang)到辦公(gong)和業務的(de)正(zheng)常運行(xing)。IP沖(chong)突的(de)危害如下：

1. 繞開行為管理策略和流控策略的管控。
   

2. 導致被沖突的客戶機斷網。
   

3. 和服務(wu)器IP沖突會影響業務(wu)的正(zheng)常(chang)運行。

4. 難以定位，使(shi)網絡管理混亂無序。

IP-MAC綁(bang)定一直(zhi)是局(ju)域(yu)網管理的一個(ge)重要(yao)部分。但是其實現卻往往比(bi)較復雜(za)，一般(ban)會有如下問(wen)題(ti)：

1. 大部分路由器的IP-MAC綁定功能比較局限。一般就是簡單的ARP綁定。客戶機手動修改IP等方式來突破。
   

2. 路(lu)由(you)器由(you)于硬(ying)件限制，允許的IP-MAC綁(bang)定條(tiao)目比較少(shao)，一般在256條(tiao)以(yi)內。

3. 交換機上進行IP-MAC綁定，配(pei)置和維(wei)護的工作量會比較大。

4. 三層交換機的IP-MAC綁定往往需要專業技術人員才可以操作。
   

今天，我要(yao)介紹的(de)是(shi)一種非(fei)常(chang)簡(jian)(jian)單(dan)方便的(de)IP-MAC綁定(ding)方式，無需修改交換(huan)機和路(lu)由(you)器，不改變當前網絡(luo)結構和配置，即插(cha)即用，web界面配置。非(fei)常(chang)簡(jian)(jian)單(dan)方便就可以實(shi)現(xian)對(dui)局(ju)域網內(nei)客戶機的(de)IP-MAC綁定(ding)。具體介紹如下：

電腦(nao)修改IP，最直接的(de)(de)結果(guo)(guo)，會導致這(zhe)個電腦(nao)不(bu)(bu)能上網(wang)(wang)，如(ru)(ru)果(guo)(guo)改成另外(wai)一(yi)臺電腦(nao)的(de)(de)IP，那么IP會沖(chong)突，兩個電腦(nao)都(dou)沒法上網(wang)(wang)。這(zhe)樣的(de)(de)問(wen)題(ti)，不(bu)(bu)是(shi)大問(wen)題(ti)，但是(shi)卻很麻煩(fan)，如(ru)(ru)果(guo)(guo)是(shi)想在(zai)本機(ji)禁止，網(wang)(wang)上有一(yi)水(shui)的(de)(de)經驗和方法，就不(bu)(bu)一(yi)一(yi)介(jie)紹的(de)(de)。但是(shi)如(ru)(ru)果(guo)(guo)碰到員(yuan)工自己的(de)(de)電腦(nao)，或者網(wang)(wang)管(guan)(guan)的(de)(de)爪子伸不(bu)(bu)到電腦(nao)上，那么如(ru)(ru)果(guo)(guo)在(zai)網(wang)(wang)絡層(ceng)管(guan)(guan)理呢？

1. 如果您是域環境，做禁止修改IP也好做的。給每臺電腦設置固定IP地址，且不開放管理員權限（客戶機無法自行修改）。這個方案只能對電腦起作用，一般在域環境的局域網用的比較多。如圖中的組策略配置。

這(zhe)個世界(jie)有矛就有盾，既然有IP-MAC綁(bang)定的技術，總歸就有人會(hui)嘗試去突破這(zhe)個綁(bang)定。一般(ban)來說，無非是通過(guo)”修改(gai)IP地址(zhi)(zhi)“和”修改(gai)MAC地址(zhi)(zhi)“兩(liang)種方式。

1. IP地(di)址的(de)修改很(hen)簡單，在“本地(di)連接”里面，修改TCP/IP的(de)屬性(xing)就(jiu)可以(yi)，如圖：

隨著(zhu)移動終端使用越來(lai)越廣(guang)泛，WIFI也(ye)是漫天遍野(ye)都是，但(dan)是企業局(ju)域(yu)網(wang)里(li)面(mian)私(si)接(jie)(jie)路由或者電(dian)腦上插了隨身WIFI，看(kan)視頻或者下載(zai)什么，對于局(ju)域(yu)網(wang)帶寬消耗很大，最直接(jie)(jie)的(de)也(ye)非常影響(xiang)了工作狀態。如果(guo)把(ba)IP綁定以后，能否杜絕(jue)這一(yi)現象呢(ni)？一(yi)半的(de)一(yi)半，私(si)接(jie)(jie)路由可以拒(ju)絕(jue)，但(dan)是隨身WIFI不(bu)行(xing)。

1. 先說私接路由，這里的私接路由，是局域網里面某個大神自己帶個小無線路由器，往角落里面交換機上一插，然后就可以無線上網了，那么這個時候如果想要阻止這位大神，需要采用那個NGF或者WSG網關的IP綁定策略，采取這樣的策略，隨便什么無線路由，或者電腦直接插都無法上網，這樣配置，那么局域網里面電腦擅自修改IP，也無法上網。這樣的IP管理的妥妥的。一人一P，人改P不改。

交換機上配置IP-mac綁定，主要需要考慮兩個因素：

1. 該交(jiao)換機(ji)是否開啟DHCP服務(wu)？

2. 是采(cai)用端口(kou)綁(bang)定還(huan)是ARP綁(bang)定？

端口綁定(ding)或者ARP綁定(ding)，只是強(qiang)制了IP-MAC的對應關系。但是，對于(yu)自(zi)動獲取IP地(di)址的客(ke)戶機(ji)而言(yan)，還(huan)需要(yao)在DHCP服務器上分(fen)(fen)配固定(ding)IP才(cai)可以(yi)；否則客(ke)戶機(ji)重(zhong)新獲取IP后，就會聯不(bu)了網。所以(yi)，一(yi)個完善的IP-MAC綁定(ding)方案(an)，既要(yao)考(kao)慮DHCP的靜態地(di)址分(fen)(fen)配，還(huan)要(yao)考(kao)慮IP-MAC的實(shi)際綁定(ding)實(shi)現。對于(yu)三層交換機(ji)而言(yan)，分(fen)(fen)為兩種情況：

對(dui)于企業的(de)(de)辦公局(ju)域(yu)網來(lai)說，IP-MAC綁(bang)定帶來(lai)的(de)(de)好處是顯而(er)易(yi)見的(de)(de)。但是各(ge)企業在具(ju)體實(shi)施的(de)(de)過(guo)程中，應當根據(ju)各(ge)自(zi)局(ju)域(yu)網的(de)(de)特(te)點，結合行(xing)政手段，有計(ji)劃(hua)、有目的(de)(de)的(de)(de)進行(xing)實(shi)施。

首先，獲取管理層的支持，頒布行政命令。

如果沒有相應(ying)的行政(zheng)(zheng)命令，員工會不斷的嘗(chang)試手動修(xiu)改IP來繞開(kai)監管(guan)。從(cong)而導致(zhi)不斷的IP地址(zhi)沖突等網絡(luo)問題。所以在行政(zheng)(zheng)命令上，需(xu)要做到：

1. 禁止私自修改(gai)IP。

2. 禁(jin)止私(si)接路由器、隨身wifi等設備。

以上行為一旦發現，配(pei)合一定(ding)的懲罰手(shou)段，可以減(jian)少(shao)技術手(shou)段的工作負(fu)擔。

對局域網(wang)設備進行IP-MAC綁定是網(wang)絡管理的一個重要手段(duan)，可以有(you)效的防止(zhi)IP盜用(yong)、IP濫(lan)用(yong)、IP地址沖突(tu)等(deng)異常情況。

IP-MAC綁(bang)定可以(yi)采用(yong)多種(zhong)方法(fa)來實(shi)現，本文中，我將(jiang)介紹一些常用(yong)的局(ju)域網IP-MAC綁(bang)定方案。

1. 域的組策略禁止修改IP

給每臺電腦設置固定IP地址，且不開放管理員權限（客戶機無法自行修改）。這個方案只能對電腦起作用，一般在域環境的局域網用的比較多。如圖中的組策略配置。

很多(duo)公司出(chu)于(yu)安全考慮，需要對IP-MAC地址(zhi)進行綁(bang)定(ding)。IP-MAC綁(bang)定(ding)可(ke)以(yi)采用多(duo)種方法來實(shi)現，本文中(zhong)(zhong)，我將(jiang)介紹(shao)各款交換機(ji)是如何(he)進行IP-MAC綁(bang)定(ding)的(de)。請注(zhu)意，本文中(zhong)(zhong)的(de)IP-MAC綁(bang)定(ding)是基于(yu)端口(kou)做的(de)綁(bang)定(ding)，要求客戶機(ji)必須(xu)固定(ding)IP地址(zhi)才可(ke)以(yi)聯網。

思科2950

#進入配置模式

Switch#config terminal

#進入具體端口配置模式

Switch(config)#Interface fastethernet 0/1

#配置端口安全模式

#配置該端口要綁定的主機的MAC地址

Switch(config-if )#switchport port-security mac-address MAC(主機的MAC地址) ip-address 192.168.x.x

1. 為什么要進行IP-mac綁定？

IP-MAC綁定是網絡管理的一個重要手段，在局域網內啟用IP-MAC綁定，可以給您帶來如下好處：

1. 只有通過綁定的(de)設備才可以(yi)接(jie)入網絡，從而有效(xiao)的(de)防止了私(si)接(jie)設備。

2. 大部分上(shang)(shang)網(wang)和(he)流控策(ce)略都是基(ji)于IP地址的，需(xu)要綁(bang)定IP和(he)MAC才(cai)可以更好(hao)的應用上(shang)(shang)網(wang)策(ce)略。

3.  實現(xian)有效的(de)上網記錄和上網統計。如果不(bu)綁定，那么記錄統計不(bu)能有效的(de)定位到(dao)具體用戶。

4. 節省IP資源，防止IP盜用。
   

5. 減少ARP攻擊，杜絕IP地址沖突，從而提高網絡的(de)穩定性(xing)。 

所以(yi)，對(dui)于企業(ye)的辦公局(ju)域網(wang)來(lai)說，IP-MAC綁(bang)定(ding)帶來(lai)的好(hao)處(chu)是顯而易(yi)見的。我建議任何(he)有(you)條件的局(ju)域網(wang)都進(jin)行ip-mac綁(bang)定(ding)，至少做(zuo)到部分綁(bang)定(ding)（比如：辦公設(she)備(bei)(bei)綁(bang)定(ding)、手機(ji)設(she)備(bei)(bei)自動(dong)分配），這樣(yang)可以(yi)有(you)效的提高網(wang)絡安全(quan)性和穩定(ding)性。

局域(yu)網的IP地址(zhi)和MAC地址(zhi)綁定，一般選擇在交換機或者路由器上進行配(pei)置。

1. 交換(huan)機(ji)的(de)IP-MAC地址(zhi)綁定(ding)一般是基于端口(kou)的(de)。主要用(yong)于綁定(ding)各個交換(huan)機(ji)端口(kou)的(de)IP地址(zhi)/MAC地址(zhi)。支持該功能的(de)交換(huan)機(ji)不(bu)多，配(pei)置和維護比(bi)較復雜，一般不(bu)推薦。

2. 路由器(qi)的IP-MAC綁(bang)定比交換(huan)機要方便些。可以直接和路由器(qi)的DHCP服務結(jie)合，給綁(bang)定的MAC地址分配固定IP。但是路由器(qi)最大的問題就是無法(fa)進(jin)行跨網段綁(bang)定。

一個(ge)有效的IP-MAC綁定(ding)方案，需(xu)要(yao)考慮(lv)到如下因素(su)：

1. 要可以和DHCP結合，給客戶(hu)機自動(dong)分配綁(bang)定(ding)的(de)IP地址。

2. 對于(yu)未綁(bang)定(ding)的(de)設(she)備(bei)，要提(ti)供是否允許上(shang)網的(de)配(pei)置項。比(bi)如可以(yi)實現這樣(yang)的(de)功能需求：辦公電(dian)腦都進行綁(bang)定(ding)，移(yi)動設(she)備(bei)無(wu)需綁(bang)定(ding)。

3. 多網(wang)段(duan)環(huan)境(jing)下，要可以跨網(wang)段(duan)進行綁定。

本文將簡單(dan)介紹“WFilter NGF上網行(xing)為管理系統”的IP-MAC綁定功能。如果想用“WFilter ICF上網行(xing)為管理軟件(jian)”來實現(xian)旁(pang)路模式(shi)的IP-MAC綁定，請(qing)參考(kao)：