基于DHCP SNOOPING的中小型企业网络接入系统研究.docVIP

基于DHCP SNOOPING的中小型企业网络接入系统研究 摘要：本文针对中小企业存在的IP地址管理问题，提出了搭建基于IP?DHCP?SNOOPING、DAI（Dynamic?ARP?Inspection）的B/S架构园区IP地址集中管理系统，从根本上解决中小企业园区网络IP地址管理问题。 关键词：DHCP；SNOOPING?IP地址；ARP攻击；DHCP 1概述 随着计算机网络技术以几何级的增长方式不断发展，企业的网络规模不断壮大，为应对日益复杂的网络环境，各种新技术不断涌现。然而，中小企业出于成本考量，网络设备一般随着企业规模增长而逐步增多，设备型号、品牌较多，而且往往忽视、缺乏对相应的网络管理软件及系统的投入。用户非法DHCP服务器、IP地址冲突和ARP攻击引起的IP地址类故障层出不穷，对于企业内部的IP地址管理问题，网管人员往往也束手无策。智能化工具的广泛使用，对于IP地址，如果依然采用手工方式或者EXCEL表格登记的方式进行分配，显然不能适应信息化的要求。利用交换机中的DHCP?SNOOPING技术和DHCP服务器配合，通过简单的编程开发，建立B/S架构的IP地址管理系统，可以高效的管理IP地址，为网络管理员节省大量宝贵时间。 2?DHCP服务器 通过手动设置IP地址的方式，可以对数量比较少的计算机进行管理。但是，如果划分了多个子网，并且计算机数量较多时，通过手动方式，为计算机配置和管理IP地址，其工作量和复杂程度就会成倍地增加，而且搬迁到新位置也需要更换IP地址，不符合目前移动办公的需要。由于这些问题存在于局域网中，于是人们提出使用DHCP服务器，客户端主机借助DHCP服务器可以在每次启动并加入网络时，上网所需的IP地址、网关和DNS服务器地址等信息就可以自动获得，进而在一定程度上减少了配置管理的工作量。受自身局限性的影响，DHCP协议并不能解决非法DHCP服务器、设置固定IP地址所引起的IP地址冲突、ARP攻击等IP地址类故障。 3?DHCP?SNOOPING 通过对不可信DHCP消息进行过滤，DHCP?SNOOPING可以进一步增强其安全性，同时建立并维护DHCP绑定数据库。DAI（dynamic?arp?inspect）、Source?IP?Lockdown等功能需要以该数据库为基础。DHCP?SNOOPING技术就像是将一道防火墙安装在非信任端口的主机和DHCP服务器之间，DHCP?Offer报文通过信任端口可以进行正常接收和转发，而不信任端口会丢弃接收到的DHCP?Offer报文，对于DHCP攻击及私设DHCP服务器等，在一定程度上可以起到防止作用。在启用了DHCP?SNOOPING功能的接口下，DAI/Source?IP?Lockdown只允许通过DHCP方式获取到IP地址的主机与网络进行通信。这样，对于通过受信任DHCP服务器分配到IP地址的用户可以接入网络，其他包括使用固定IP地址的用户数据包都将被交换机所丢弃。DHCP?SNOOPING及DAI、Source?IP?Lockdown等技术很好的弥补了DHCP协议的局限性，使得在DHCP环境下基于DHCP?SNOOPING搭建IP地址管理系统能够取得良好成效。 4系统功能实现 4.1?IP地址管理 在IP地址管理平台的控制下，通过编程开发使DHCP服务器上的配置文件，进一步与后台MYSQL数据库同步，DHCP服务器中所用到的网段配置参数、IP地址租约时间等各种参数和数据全部存放在后台的MYSQL数据库中。这种方式一方面保留了传统DHCP的优点，大大减少园区网IP地址管理的复杂度，另一方面加强了DHCP方式管理的可控性。 在DHCP服务器上，通过对配置文件/etc/dhcpd.conf进行修改，可以对地址段进行配置，同时实现对MAC地址访问的控制。以区域或者VLAN为类别，将园区网络内各主机的MAC地址添加到相应的类别中，只有被添加了MAC地址的主机才能够在对应的区域或者VLAN内通过合法的DHCP服务器获取IP地址配置信息，进而对网络进行访问。对于网络设备来说，由于启用了DHCP?SNOOPING及DAI等功能，用户不可能通过自行修改IP地址进而获得访问权限。对于打印机、考勤机及其它需要使用固定IP地址的服务器，也可以在配置文件中指定固定IP地址，并不需要在网络设备上再配置静态的DAI条目，达到集中管理IP地址分配的目的，降低维护复杂度。显然，直接由网管人员修改配置文件存在很高的安全风险，通过IP地址管理系统维护数据库，系统后台再根据相应情况对DHCP服务器配置文件进行修改，既降低了风险，也降低了对于管理人员的技术要求。 在配置DHCP服务器的过程中，将DHCP服务器中所用到的各种数据和参数保存到数据库中，进而组成整个园区网络的IP地址使用数据库。