DHCPSNOOPING的中小型企业网络接入系统研究

1概述

随着计算机网络技术以几何级的增长方式不断发展,企业的网络规模不断壮大,为应对日益复杂的网络环境,各种新技术不断涌现。然而,中小企业出于成本考量,网络设备一般随着企业规模增长而逐步增多,设备型号。品牌较多,而且论文网往往忽视。缺乏对相应的网络管理软件及系统的投入。用户非法DHCP服务器。IP地址冲突和ARP攻击引起的IP地址类故障层出不穷,对于企业内部的IP地址管理问题,网管人员往往也束手无策。智能化工具的广泛使用,对于IP地址,如果依然采用手工方式或者EXCEL表格登记的方式进行分配,显然不能适应信息化的要求。利用交换机中的DHCPSNOOPING技术和DHCP服务器配合,通过简单的编程开发,建立B/S架构的IP地址管理系统,可以高效的管理IP地址,为网络管理员节省大量宝贵时间。

2DHCP服务器

通过手动设置IP地址的方式,可以对数量比较少的计算机进行管理。但是,如果划分了多个子网,并且计算机数量较多时,通过手动方式,为计算机配置和管理IP地址,其工作量和复杂程度就会成倍地增加,而且搬迁到新位置也需要更换IP地址,不符合目前移动办公的需要。由于这些问题存在于局域网中,于是人们提出使用DHCP服务器,客户端主机借助DHCP服务器可以在每次启动并加入网络时,上网所需的IP地址。网关和DNS服务器地址等信息就可以自动获得,进而在一定程度上减少了配置管理的工作量。受自身局限性的影响,DHCP协议并不能解决非法DHCP服务器。设置固定IP地址所引起的IP地址冲突。ARP攻击等IP地址类故障。

3DHCPSNOOPING

通过对不可信DHCP消息进行过滤,DHCPSNOOPING可以进一步增强其安全性,同时建立并维护DHCP绑定数据库。DAI(dynamicarpinspect)。SourceIPLockdown等功能需要以该数据库为基础。DHCPSNOOPING技术就像是将一道防火墙安装在非信任端口的主机和DHCP服务器之间,DHCPOffer报文通过信任端口可以进行正常接收和转发,而不信任端口会丢弃接收到的DHCPOffer报文,对于DHCP攻击及私设DHCP服务器等,在一定程度上可以起到防止作用。在启用了DHCPSNOOPING功能的接口下,DAI/SourceIPLockdown只允许通过DHCP方式获取到IP地址的主机与网络进行通信。这样,对于通过受信任DHCP服务器分配到IP地址的用户可以接入网络,其他包括使用固定IP地址的用户数据包都将被交换机所丢弃。DHCPSNOOPING及DAI。SourceIPLockdown等技术很好的弥补了DHCP协议的局限性,使得在DHCP环境下DHCPSNOOPING搭建IP地址管理系统能够取得良好成效。

4系统功能实现

4。1IP地址管理

在IP地址管理平台的控制下,通过编程开发使DHCP服务器上的配置文件,进一步与后台MYSQL数据库同步,DHCP服务器中所用到的网段配置参数。IP地址租约时间等各种参数和数据全部存放在后台的MYSQL数据库中。这种方式一方面保留了传统DHCP的优点,大大减少园区网IP地址管理的复杂度,另一方面加强了DHCP方式管理的可控性。

在DHCP服务器上,通过对配置文件/etc/dhcpd。conf进行修改,可以对地址段进行配置,同时实现对MAC地址访问的控制。以区域或者VLAN为类别,将园区网络内各主机的MAC地址添加到相应的类别中,只有被添加了MAC地址的主机才能够在对应的区域或者VLAN内通过合法的DHCP服务器获取IP地址配置信息,进而对网络进行访问。对于网络设备来说,由于启用了DHCPSNOOPING及DAI等功能,用户不可能通过自行修改IP地址进而获得访问权限。对于打印机。考勤机及其它需要使用固定IP地址的服务器,也可以在配置文件中指定固定IP地址,并不需要在网络设备上再配置静态的DAI条目,达到集中管理IP地址分配的目的,降低维护复杂度。显然,直接由网管人员修改配置文件存在很高的安全风险,通过IP地址管理系统维护数据库,系统后台再根据相应情况对DHCP服务器配置文件进行修改,既降低了风险,也降低了对于管理人员的技术要求。

在配置DHCP服务器的过程中,将DHCP服务器中所用到的各种数据和参数保存到数据库中,进而组成整个园区网络的IP地址使用数据库。园区网每个地址段中有多少用户在使用DHCP服务器分配的固定地址上网,以及每个网段有多少个地址用于自动分配等,在管理平台上,管理人员都可以查询到。

4。2上网日志及用户定位

在每次下发客户端DHCP请求的IP地址资源时,DHCP服务器会形成一条记录。所请求IP的客户端MAC地址。分配给客户的IP地址。客户端的机器名。租约时间范围等一系列信息都包含在这条记录中。在数据库保存这样的记录,构建一个IP地址分配情况的数据库。DHCP服务器借助这个数据库,对于所分发的IP地址资源提供了完善的日志记录功能。通过记录,在某个时间段内特定IP与MAC的对应关系很容易查询到,然后对某个IP对应的MAC地址进行查询。结合SNMP协议,通过用户IP地址,查询在IP地址管理功能中的数据库可以获取此用户IP所对应的接入交换机列表,再通过SNMP指令查询这些交换机的MAC地址表,可以进一步得到用户上线时所在的交换机接口信息,这对于管理人员管理维护网络是非常有帮助的。

5小结

本文真实环境,提出以部署DHCPSnooping为基础,建立B/S架构的IP地址管理系统,对IP地址进行集中管理。DHCPSNOOPING技术目前已基本成为各大主流设备厂商可网管交换机的基础功能,部署方式非常灵活。系统开发简单,投入小,可以直接部署在DHCP服务器上。系统部署后,基本可以杜绝非法DHCP服务器。用户私设固定地址引起的IP地址冲突及APR攻击等问题,并能对园区网络中的IP地址做到统一。灵活的管理,极大的提高了管理人员的工作效率,使网络管理趋于规范化。科学化。

DHCPSNOOPING的中小型企业网络接入系统研究