首先，要求有网络的管理权限，普通用户没有权限修改网络设备的配置 

1 配置交换机端口单地址工作模式防止IP盗用 

利用交换机提供功能，每个端口只允许一台主机通过该端口访问网络，如果下连HUB，则拒绝访问 

例： 在Cisco 2950系列交换机上的设置(其它厂商的设备原理类似） 

conf t 
int faste 0/1 
port secure max-mac-count 1 

看其它参考文档，还可以设置当发生IP盗用时该端口采用的动作，有挂起、禁用和忽略方式。如果使用diasble，则下挂HUB会导致整个HUB上的所有用户都无法通过SWITCH端口访问.我只是禁止使用，不想关闭PORT，因此未配置该选项 

2 利用MAC和交换机端口对应表查找盗用者所使用的端口 
一般SWITCH都配了VLAN ，盗用IP只能在VLAN内实现。则可以把VLAN按照交换机划分，每个交换机维护一个与端口对应的MAC表 

不过在考虑这个方法时发现有个问题，如果不启用路由，则各个交换机之间无法互访；如果启用路由，则VLAN设置形同虚设，发生IP冲突时还是不能确定发生在那个VLAN里（哪个交换机上），这是我没想明白的，期望大家指点 

2950上查MAC表： 
sh mac-address-table 

评论 (0) All

登陆 还没注册？