通过routeros软路由系统管理校园网络设备ip地址

通过routeros软路由管理校园网络设备ip地址

Routeros是东欧拉脱维亚的MikroTik公司开发的一款软路由软件，最初开发RouterOS目的是解决无线局域网传输问题（WLAN）后来通过不断扩展功能实现了各种功能的应用。RouterOS从功能和性能方面已经超过了许多中端路由器，从最开始的网吧多线路与流控和小区宽带到后来的VPN方案解和企业管理，还有RouterOS的WLAN无线应用，都在整个网络行业有一定的影响。

Routeros软路由不仅功能强大，图形化的winbox管理工具让人觉得便捷直观。利用它的dhcp和hostpot功能，对学校客户端ip地址进行有效管理，拒绝非法访问，同时也减少一些安全上的隐患。

学校网络基本情况，有300多台的客户端，其中100台台式机，130台笔记本，网络监控，打印机共计50台，剩下是手机平板电脑等移动终端，所有终端通过交换机和其连接的ap接入点接入网络，最后由S5750三层交换机与上级单位连接，终端的ip地址除了服务器、监控、打印机，剩下绝大多数由dhcp服务器负责分配。

需要解决的问题：随着手机用户的增多，上级分配的ip地址逐渐紧缺，经常出现电脑没有ip地址可用。只能控制手机上网了。由于ap接入点比较零散，都没有密码验证，通过连接加密的办法控制起来比较难，由于使用dhcp功能，个别手机的mac地址每次都改变，每次连接都占用一个新的ip地址，只能等租约到期后才能收回，浪费了许多ip地址资源。通过交换机上绑定过mac+ip，由于不能绑定所有ip地址，客户仍然能够使用未绑定的ip上网，不容易管理。最后经过多次实践，使用下面的方法，效果不错：每台客户端固定ip，笔记本用户只给无线网卡分配ip地址，绝大多数都在交换机上做ip与mac绑定，在学校内临时使用的移动客户端可以通过ros系统动态分配ip，有访问校园网络权限，但接入internet 需要通过hostpot认证。校园网内用户不能使用除自己mac绑定外的其它地址，如果自行设置静态地址将无法访问网络资源。

搭建的简单过程：

1.Ros（routeros）搭设dhcp服务器，为客户端提供ip地址。

DHCP-Server设置：

用winbox操作：因为ros和三层交换机vlan10三层连接，需要设置relay，由三层交换机转发dhcp 广播包。（图1）。

用户端可以使用静态ip地址，或者是dhcp自动获取的，但必须是和本机mac绑定的ip地址才有访问网络权限。为使同一个mac每次分配的ip总是相同的，可以通过脚本将/ip dhcp-server lease中分配的动态ip与mac对应转化为静态指定ip地址。

脚本内容：

Dhcp运行一段时间后，将校园的客户端基本上都绑定不同的ip，但不容易将用户端与ip地址进行对应起来，为易于管理，要求电脑客户端将主机名称按要求修改（如jz+姓名），在ip dhcp server lease 中可以看到hostname，如图

通过脚本（如图）为每一个静态分配的ip地址加上主机名注释，

这样还可以根据客户端位置，类型等特殊要求，统一规划ip，通过导出rsc文件（图2），在excel 中编辑（图3），重新导入（图4），为用户分配统一规划的ip地址（图）。

2.Ros开启hotspot服务，禁止网内用户使用绑定外的ip。

开启hotspot服务。

将已经绑定的ip绕过hotspot认证。（图）

3.在交换机上进行ip 和mac的绑定，防止用户使用已经分配给其他客户的ip地址。学校的ros和交换机是通过三层接口互联的，只能在交换机上绑定（略）。如果是二层连接的，在ros绑定mac更便捷（略）。

验证效果：

1，用户从dhcp获取和自己的mac绑定的ip地址，访问外网无需hotspot认证。

2，用户手工指定非绑定的ip地址，需要 hotspot认证。

3，临时用户（未绑定mac的终端，黑名单除外）能成功从dhcp获取地址，访问外网需要hotspot认证。

4，服务器等静态指定绑定ip地址。无需hotspot认证。

5，用户手工设置静态非法ip地址，如果是已绑定mac的ip地址，有两种可能，（一）是告知ip地址已经使用，配置失败，（二）是指定成功，但无法使用网络，因为在交换机上已经进行ip与mac绑定。

通过ros系统的dhcp和hotspot功能，有效的防止了用户私自指定ip地址上网，同时防止了手机用户直接通过dhcp获取ip地址直接访问外网，节省了网络ip地址资源，和网络带宽。将Ip地址与用户名一一对应，更易于网络的管理和降低网络的不安全因素。实现了严格的管理之后，也随之带来了缺点，如临时用户不知道hotspot认证的密码是无法访问网络，主机更新后，mac地址应及时更新，带给管理员相

应的麻烦。总之，利大于弊，在ip地址紧缺，或网络带宽不足等环境下具有一定的可行性。