首页 > 所有文章 > 行业 >文章详情

电脑ip不会自动获取(ipv4地址169.254解决)

时间:2024-02-13 09:52:58 浏览量:315

网络安全应用之终端IP地址冲突管控


最近客户那边反应局域网络中经常有IP地址冲突现象,影响正常的业务通讯。

客户提出让所有员工电脑的IP地址都使用自动获取,禁止私自手工配置IP地址。打印机要通过网络共享,所以要使用固定的IP地址。

根据需求,给出的实施方案是将所有员工电脑的IP地址都设置为通过DHCP方式获取,再通过部署IPSG,实现员工只能使用DHCP Server分配的IP地址,才能正常联网,如果私自指定IP地址将无法访问网络。网络拓扑如下图

网关设备作为DHCP示意图

IPSG,IP 源防护(IP Source Guard)是一种基于 IP/MAC 的端口流量过滤技术,它可以防止局域网内的 IP 地址欺骗攻击。

通过在设备接入用户侧的端口上启用IPSG功能, 能够对端口收到的报文进行过滤控制,防止非法报文通过端口,从而限制了非授权的设备非法使用网络资源(比如非法主机仿冒合法用户IP接入网络),提高了网络的安全性。


IPSG应用生产环境:

在网络中经常出现利用仿冒合法用户IP/MAC等信息的报文访问或攻击网络的情况,导致合法用户无法获得稳定、安全的网络服务。配置IP报文检查功能,可以防范上述情况的发生。当使能了IP报文的检查功能后,默认会对IP报文中的IP、MAC、VLAN、接口信息进行绑定表匹配检查,只有与绑定表匹配的IP报文才能被转发,否则被丢弃。

IPSG实施条件:

由于该功能是基于绑定表进行匹配检查的,因此:

1)对于DHCP环境中的用户,需要使能DHCP Snooping自动生成动态绑定表。

2)对于无DHCP环境,静态配置IP的用户,需要手工配置静态绑定。

IPSG实施步骤:

1、在接入交换机上配置DHCP Snooping功能,生成DHCP Snooping动态绑定表。

dhcp snooping相关配置命令参考

2、接入交换机上连接员工主机的接口上使能IPSG功能。

IPSG配置命令参考

3、打印机配置固定IP地址

根据实施文档为打印机配置规划好的IP地址信息


总结:通过以上IPSG配置后,终端电脑在自动获得IP地址后,交换机就会生成dhcp snooping 用户信息动态绑定表(display dhcp snooping user-bind all)。此时如果员工再手动设置IP地址就无法正常使用网络了,即使手动设置的IP地址就是自动获取的IP地址,也无法使用网络。

本文介绍所实现的功能是仅限制终端电脑不能手动更改IP地址,并不限制终端接入网络的位置,即只要是在网络服务范围内,且能正常自动获取IP地址信息,都是允许使用网络的。


IPSG实施常见问题:

1、汇聚交换机要不要配置ip source check user-bind enable,如图中汇聚交换机的g0/0/8口有终端接入。

这里说明一下实施的思路,我们在对某个工具某个命令作配置时,首先要弄明白,此工具命令的作用是什么,可以实现什么功能,可能会造成什么后果。

ip source check user-bind enable命令是启动IP报文的检查功能,包括IP、MAC、VLAN、接口编号等信息,功能是比对读上来的这些信息和表里的信息是否匹配,目的是过滤非法的终端,后果是造成非法的终端无法使用网络。所以答案出来了,此接口如果接的是需要管控的电脑终端,就需要配置此命令,否则不需要配置此命令。

2、配置完ip source check user-bind enable,交换机卡了,或是访问不了互联网了。

1)上行口配置了ip source check user-bind enable,上行口不能配置IPSG检查功能。

2)在接入交换机的vlan下配置了ip source check user-bind enable,而上行口也包含此vlan,导致接入交换机无法和此vlan的网关设备正常通讯。解决方法是拿掉此命令配置,改在接口配置ip source check user-bind enable或在全局使用user-bind static mac-address绑定上行网关设备对应三层接口的mac地址,而且是只绑定mac地址,不要绑定IP地址。如果上行是中继链路,建议都在接口上配置ip source check user-bind enable。

3、display dhcp snooping user-bind all发现已经创建并生成了绑定表,但IPSG功能没有生效。

1)检查IPSG功能是否在指定接口或者指定VLAN上使能。只有在指定接口或在指定VLAN上使能IPSG后功能才生效。当上行是路由链路,首选在vlan下配置ip source check user-bind enable,当上行是中继链路,首选在接口上配置ip source check user-bind enable。

2)要在真机上实施。