| |
（2）交換機端口綁定：
借助交換機端口的MAC地址綁定功能可以解決非法用戶修改MAC地址以適應靜態(tài)ARP表的問題�？晒芾淼慕粨Q機中都有端口MAC地址綁定功能。使用交換機提供的端口地址過濾模式，即交換機的每一個端口只具有允許合法MAC地址的主機通過該端口訪問網(wǎng)絡，任何來自其它MAC地址的主機的訪問將被拒絕。
（3）VLAN劃分：
嚴格來說，VLAN劃分不屬于技術手段，而是管理與技術結合的手段。將具有相近權限的IP地址劃分到同一個VLAN，設置路由策略，可以有效阻止非法用戶冒用其他網(wǎng)段的IP地址的企圖。
（4）與應用層的身份認證相結合：
避免采用針對IP地址的直接授權的管理模式，綜合運用用戶名、口令、加密、VPN及其他應用層的身份認證機制，構成多層次的嚴密的安全體系，或者啟用一些諸如RADIUS AAA以及802.1x等具有認證的功能，這些都可以有效降低IP地址非法使用所帶來的危害。
四，高級方法——DHCP SNOOPING：
實際情況中上面出現(xiàn)問題都是因為非法用戶自己修改自己的IP地址以及MAC地址造成的，那么我們有沒有一種辦法能夠限定普通用戶必須使用自動獲得IP地址的方法來上網(wǎng)呢？如果可以限制的話，那么非法用戶即使修改自己的IP地址與MAC地址為合法信息也無法正常上網(wǎng)。一般來說我們可以在路由交換設備上啟用DHCP SNOOPING功能。不過這個功能并不是所有設備都有的，使用前請仔細查詢說明書。
DHCP SNOOPING使用的方法是采用DHCP方式為用戶分配IP，然后限定這些用戶只能使用動態(tài)IP的方式，如果改成靜態(tài)IP的方式則不能連接上網(wǎng)絡。
五，總結：
外來人員非法進入公司網(wǎng)絡的途徑有很多很多種，網(wǎng)絡管理員除有法律手段和技術手段，還擁有各種內部管理手段，同時還有一些技術手段，如部署一套網(wǎng)管系統(tǒng)，比如國內較為知名的網(wǎng)管軟件：聚生網(wǎng)管，具有一項“自動發(fā)現(xiàn)新加入主機，并自動實施某個策略的功能”，這樣你可以建立一個禁止上網(wǎng)（或者強制斷網(wǎng)）的功能，這樣軟件只要一掃描到電腦，就自動將禁止上網(wǎng)或者強制斷網(wǎng)的功能應用到這個主機上，這樣他就自動不能上網(wǎng)了，與其他手段相比，這樣的控制方法是自動的，大大減輕網(wǎng)管人員的工作，更為方便。因此，只有綜合運用管理手段和技術手段來處理此問題才能實現(xiàn)高可靠性的系統(tǒng)運行與低成本的管理維護的統(tǒng)一。 |
| 【收藏】【打印】【進入論壇】 |
|
|
|
|
| |
|
|
|
