校园网如何抵御非法的DHC服务器的干扰.docVIP

校园网如何抵御非法的DHC服务器的干扰 　　由于学校经常有师生私自接入无线路由器，导致有些工作电脑因为不能自动获取到正确的IP地址而不能上网，为此本文专门深入了解了DHCP的工作原理，深度分析了DHCP报文交互的过程，找出校园网内DHCP网络故障的原因，结合当前的交换机技术，探讨了如何通过DHCP snooping功能，彻底消除非法DHCP服务器的影响，从而保证网络安全、可靠的使用DHCP服务。 　　【关键词】DHCP snooping 非法DHCP服务器 网络故障 　　1 非法DHCP服务器引起的故障的诊断和处理 　　1.1 网络故障的基本诊断 　　学校多个办公室和教室一两台机器出现上不了网的情况，检查后发现，这些机器是同一个问题，都是获取不到正确的IP地址――由于学校IP地址使用的是DHCP服务动态分配的，由接入设备自动获取，正确的IP地址应该是6或者7网段的，结果这些电脑无一例外，都是只获取到1网段的，例如192.168.1.x，ping局域网内其他能获取到正常IP的机器都不能连通，打开cmd命令行程序，用ipconfig/all查看网络配置，发现网关、DHCP服务器、DNS的设置全部都是错误的，基本可以断定，这些机器是受到非法DHCP服务器的影响。 　　要注意的是，并不是所有不能分到正确的IP地址的机器都是因为非法DHCP服务器的干扰，因为还有一种情况是自动获取IP地址的机器没有连接到可用的DHCP服务器，那么Windows系统会从微软保留的B类地址169.254.x.x中选一个可用的作为机器的IP地址，然后每隔五分钟尝试与DHCP服务器连接，直到能通过DHCP服务获得IP地址，才把这个B类地址丢弃。所以，如果查到IP是169.254.x.x这一类地址，就应该检查接入交换机是不是没有连到上层设备了。 　　1.2 DHCP故障的处理方法 　　打开cmd命令行程序，输入ipconfig/release和/renew命令可以把机器获取的地址释放出来，重新获取地址，可以多试几次，直到机器获得正确的IP，但是这种方法不一定都成功，只要网内的非法DHCP服务器一直存在，有些电脑就无论如何都获取不到正确的，而获取到正确IP的机器下次开机时可能又不行了，所以最好还是能清除掉网内的DHCP服务器。 　　用ipconfig/all命令查看DHCP服务器地址，把该地址输入到浏览器地址栏，例如：http：//，如果是用户私接的路由器，可以通过这个地址打开管理界面，通过管理界面可以知道是哪一款的路由器，试着输入该款路由默认的用户名和密码，一般都能进入管理端，此时把DHCP服务关掉就可以了。 　　如果不能进入管理端，可以尝试用arp?Ca命令找到这个服务器的mac地址，方法是在cmd命令提示符下输入arp?Ca 192.168.x.x，找到这个IP对应设备的mac地址，然后通过查看交换机接口mac列表，找到这个DHCP服务器的大概位置，然后把服务关掉。以锐捷交换机2900系列为例，在特权模式下输入”sh mac-address-table address x.x.x”命令（x.x.x填入待查设备mac地址），就可以查看到相应的接口。 　　把现有非法的DHCP服务器关闭可以消除当前的网络故障，但是，当有新的非法DHCP服务器出现，网络就会出现新一轮的故障，网管人员固然疲于奔命，用户也会怨声载道，所以必须要找出在整个网络消除非法DHCP服务器的办法。最有效的，就是使用DHCP snooping技术，把所有的非法DHCP报文清除掉。 　　2 使用DHCP snooping技术彻底消除非法DHCP服务器的干扰 　　2.1 DHCP工作原理 　　要理解DHCP snooping技术，先要了解DHCP服务是怎样工作的。 　　DHCP服务器的主要作用是给连接到局域网中的客户端机器动态分配IP地址，并且协助客户端完成包括子网掩码、默认网关、DNS服务器地址等网络参数的设置，这样，接入网内的客户端只需要把IP地址和DNS地址都设置成自动获取，就可以通过DHCP服务器获得网内唯一的IP地址和相关网络配置，避免了IP地址冲突或网关设置错误。使用DHCP服务的优点是用户不需要了解网络细节，网管人员也不需要在地址设置上耗费太多时间。 　　2.1.1 DHCP报文交互过程 　　DHCP报文格式见表1。 　　DHCP客户端首次接入网络的时候，会生成一个标识本次请求的随机数（xid字段），连同自身的mac地址（chaddr字段）填入DHCP报文，以广播的形式发送，网内所有机器都能收到这个报文，但只有DHCP服务器才能响应该报文，这种报文叫DISCOVER。 　　DHCP服务器收到DISCOVER之后，就会在地址池里找一个未使用的IP