企业IP地址管理系统的应用

企业IP地址管理系统的应用
摘要：分析了IP地址管理模式，简述了IP地址管理系统的工作原理包括ARP原理，概述此系统所包含的主要功能，并分别介绍了系统管理、IP地址统计分析、告警管理、设备管理、上网管理等功能模块的应用情况。

关键词：IP地址管理；统计分析；系统管理
0引言
随着企业发展的需要，越来越多的生产监控数据与管理信息都纳入到网络应用系统中来，与之相关设备的种类和数量也急剧增多，由于网络规模也日益扩大，对其进行维护的复杂性和成本不断提高。

随着企业内部计算机和服务器的增加，在分配IP地址的时候，很容易在同一网段内造成IP冲突的情况，若是服务器IP地址冲突导致在线业务中断，可能会对整个企业造成巨大损失。

实际上除了IP地址冲突外，如ARP攻击、用户入网等问题，都有可能会造成企业网络的瘫痪。

再加上网络维护成本和复杂性会随着网络规模的扩大而增加，因此，企业需要应用合适的IP准入控制技术和部署IP地址管理系统，来真正有效管理好内部局域网络，准确记录并约束违规行为，减少人工量的投入，提供集中统一的网络管理[1]。

1IP地址管理模式
1.1手工管理模式
手工IP地址管理模式是早期管理小规模局域网时静态IP地址的
分配管理模式，主要先通过PING命令来验证同一网络内IP地址是否被占用，然后在接入端电脑配置静态IP地址，最后记录下新分配的IP地址。

这种IP管理模式虽然简单，但存在很多管理缺陷。

（1）非法设备的接入使网络不稳定，无法及时进行网络跟踪和定位。

终端用户在接入网络时若是使用未经授权的IP地址，可能会导致与网络内已被分配的合法IP地址冲突，冒充合法终端入网，而真正合法的用户却无法上网。

重复的IP地址会破坏网络设备的稳定运行，给网络安全留下隐患。

比如，利用具有欺骗性的IP地址进行网络攻击，或是木马病毒入侵网络，感染其它计算机系统，容易引发网络大面积瘫痪和信息泄露。

若网络中出现IP地址冲突、网络攻击、病毒感染等情况导致的网络流量异常，想要查找IP地址源，必须先确定是哪个IP地址有异常，然后在当前设备的ARP表中查找此IP 地址所对应的MAC地址，最后根据各个交换机MAC地址表查找非法终端机。

由此可见，查找一个未伪造IP地址的非法终端所需耗费的精力很多，如果此IP地址是伪造的，想要定位真正的终端机，所耗费的精力更多[2]。

在实际过程中，若是定位不及时，有可能带来灾难性的后果。

（2）IP地址管理繁琐。

一方面，企业必须要制定相应的制度，让各部门在注销网络设备时必须联系网络管理员做好记录，否则IP 地址无法及时有效地收回，造成资源浪费；另一方面，为防止非法使用IP地址，往往采用静态APR命令捆绑IP地址和MAC地址，同时在交换机的端口上配置MAC地址绑定功能，不过一旦出现设备调整，
需要及时维护对应的对照关系，工作量大并且十分繁琐，而且IP管理成本会随着网络扩展而不断增加。

1.2 DHCP分配IP地址管理模式
DHCP分配IP地址的管理模式是利用DHCP服务器给接入设备动态分配IP地址的管理模式，避免了接入端电脑手动配置静态IP地址的繁琐过程，只需通过服务器动态获取IP地址即可，同时IP地址资源的及时回收在DHCP服务器下得到保证。

由于DHCP本身没有准入认证的安全机制，安全性能差，存在无法直接避免非法设备的接入问题，易被攻击。

而且，在此模式下，要想及时准确地追踪定位到非法接入端，同样需要大量的检索工作。

1.3IP地址管理模式
利用交换机本身所集成的安全特性，采用符合本企业安全需求的创新方法在网络内对IP地址进行高效的管理[3]。

笔者所在企业为加入网络准入机制，引入了微软的活动目录并构建与之相关的核心基础机构平台，并将客户端加入到基础结构平台中。

同时，交换机的各个端口的验证功能开启。

那么，客户端计算机必须加入我们企业域并且通过验证后，才准许接入到网络，然后才通过DHCP服务器为其终端计算机自动分配IP地址。

这种IP地址管理模式，一方面防止非法用户及安全不达标的机器接入网络影响网络安全；另一方面通过域服务器向网络中所有终端下发禁止修改网络属性的策略后，防止人为随意更改接入端IP地址。

为针对局域网内部IP 地址管理过程中需要及时准确地定位到终端设备，企业部署IP地址
管理系统对终端网络资源进行管理。

相对于此前的两种模式，这种IP管理模式对于网络管理员来说，技术实现的难度大幅降低，工作效率得到了提高。

2IP地址管理系统简介
IP地址管理系统是专门针对局域网内部IP地址管理过程中遇到的种种与非法计算机定位、计算机信息非法改变等相关问题而设计的。

系统将局域网内的IP地址、MAC地址、交换机端口等作为企业的重要资源进行管理，通过对之进行便捷有效的监控管理，提高管理人员对内部用户种种非法行为的监视和定位，同时将网络的有害影响范围控制在最小范围。

2.1工作原理
首先获取三层设备的ARP表中IP和MAC的对应关系；然后获取二层设备的转发桥接表中MAC和转发端口（PhyPort）对应关系；再获取设备接口索引（IfIndex）和接口描述（IfDesc）、接口索引（IfIndex）与物理端口（PhyPort）的对应关系；最后得到主机IP—主机MAC—交换机IP—接口索引—物理端口—接口描述。

2.2ARP原理
ARP（Address Resolution Protocol，地址解析协议）就是在以太网中进行IP通信的时候需要一个协议来建立IP地址与MAC地址的对应关系，以使IP数据包能发到一个确定的地方去。

具体过程：主机A要向主机B发送报文，会查询本地的ARP缓存表，找到B的IP 地址对应的MAC地址后，进行数据传输；如果未找到，则广播A一
个ARP请求报文，网上所有主机包括B都收到ARP请求，但只有主机B识别自己的IP地址，于是向A主机发回一个ARP响应报文，其中包含有B的MAC地址，A接收到B的应答后，就会更新本地的ARP缓存，接着使用这个MAC地址发送数据。

因此，本地高速缓存的这个表是本地网络流通的基础，而且这个缓存是动态的。

3IP地址管理功能
3.1IP地址资源管理
IP地址资源管理可以快速得到未分配的IP地址列表，快速得到已分配的IP地址列表，并且能够监视已分配IP地址列表中的在线IP，实时得到在线的终端主机列表，并以饼状图形式表示各种IP地址在总的IP地址范围中所占的比例。

3.2终端主机信息监视
终端主机信息监视的主要内容是有关主机名是否变更、主机名是否被盗用、主机的IP地址是否改变、主机IP地址是否盗用、终端主机所连的交换机物理端口是否改变、是否有非法主机的接入等。

3.3系统管理员的有用工具
若输入一个IP地址，系统就能够显示该IP所对应的MAC地址、机器名，并且能够显示与该IP地址连接的交换机物理端口；若给出交换机的IP可以得到此交换机的所有物理端口的信息，包括哪些物理端口是漫游的，哪些物理端口是级联的、物理端口号名等信息；若给出交换机可以实时得到本交换机所连的所有终端；若给定交换机的一个物理端口，可以得到与此物理端口所连的所有终端。

同时，系统
管理员可以通过此工具禁掉PC上联交换机端口，通过自动阻断和手工阻断功能，禁止非法/问题机器与网络的连接。

4IP地址管理功能模块
4.1系统管理
在系统管理模块里，用户可以进行系统运行参数管理、IP地址预分配、DHCP地址分配、基础网络设备配置、机房和部门的信息维护，还可以对BASE库进行管理，包括BASE库清理、手动完善BASE 等，同时还能对基础网络设备、部门信息、厂商信息进行导入。

其中，BASE库是整个产品运行的中心，维护所有需要管理的IP 地址相关信息，包括被管主机的IP、MAC、交换机端口号、联系人、房间号等信息。

BASE库中的信息也是产生告警的基准。

4.2IP地址统计分析
IP地址统计分析模块可以快速得到已分配和未分配的IP地址列表、能够监视已分配IP地址列表中的在线IP，能够实时得到在线的终端主机列表和以饼图等形式表示各种IP地址在总的IP地址范围中所占的比例。

查询已分配的IP（在线IP）和未分配的IP，如图2所示。

4.3告警管理
IP地址管理产品中产生的告警是将在基础网络设备上扫描到的信息通过和BASE库比对产生的。

通过告警管理功能可以实现对告警的准实时监控和查询功能。

告警管理模块提供告警监控、告警查询等功能，如图3所示。

4.4设备管理
设备管理包括设备端口管理、主机查询、交换机所连主机查询等，如图4所示。

4.5上网管理
上网管理主要是可以查询自动阻断列表和手工阻断列表，如图5所示。

5结语
IP地址管理系统提供IP地址资源管理、终端主机信息管理和终端主机监视等功能，并提供对IP地址改变、非法Mac接入等局域网管理常见问题的及时告警和阻断功能，具有端口定位准确、自动化程度高、采集高效、可配置性强、模块独立性强、界面简洁友好、用户操作简单等特点，是系统管理员非常实用的工具。

参考文献：
[1]陈明，胡梦飞，马亮.基于SNMP网络设备IP地址管理系统的设计[J].电脑知识与技术，2011（7）.
[2]马迪，毛伟.面向可信互联网的IP 地址管理技术研究[J]. 计算机应用研究，2012（3）.
[3]孙雪梅.医院内局域网IP地址管理模式分析[J].现代仪器，2011（6）.。