flashalang flashalang
关注数: 83 粉丝数: 421 发帖数: 7,218 关注贴吧数: 362
局域网内非法的DHCP服务如何应对 网络安全是我们的重点关注对象。很多网络中,都存在着这样活着那样的安全问题。那么今天我们主要讨论一下局域网内非法的DHCP服务所带来的安全问题,以及相关的防范措施。  1、非法DHCP带来的灾害:   一般公司内部都会有一个DHCP服务器来给员工计算机提供必要的网络参数信息的,例如IP地址,子网掩码,网关,DNS等地址,很多情况路由器就可以担当此重任。每次员工计算机启动后都会向网络中发送广播包寻找DHCP服务器(前提是该计算机被设置为自动获得IP地址),广播包随机发送到网络中,当有一台DHCP服务器收到这个广播包后就会向该包源MAC地址的计算机发送一个应答信息,同时从自己的地址池中抽取一个IP地址分配给该计算机。   合法DHCP服务器可以提供正确的数据,非法DHCP服务器则提供的是错误的数据。我们如何让员工机器都通过合法DHCP服务器获得网络信息呢?如果是交换式网络则没有可能,因为广播包会发向网络中的所有设备,合法还是非法服务器先应答是没有任何规律的。这样网络就被彻底扰乱了,原本可以正常上网的机器再也不能连接到INTERNET。   2、消极防范:   既然广播包会发向网络中的所有设备,合法还是非法服务器先应答是没有任何规律的,那么我们可以通过多次尝试广播包的发送来临时解决这个问题,直到客户机可以得到真实的地址为止。问题中网友使用的方法就是此手段。即先使用ipconfig /release释放非法网络数据,然后使用ipconfig /renew尝试获得网络参数,如果还是获得错误信息则再次尝试/release与/renew直到得到正确信息。   不过这种方法治标不治本,反复尝试的次数没有保证,一般都需要十几次甚至是几十次,另外当DHCP租约到期后员工机需要再次寻找DHCP服务器获得信息,故障仍然会出现。   3、官方提供的办法:   一般我们使用的操作系统都是Windows,微软为我们提供了一个官方解决办法。在windows系统组建的网络中,如果非法DHCP服务器也是用Windows系统建立的话我们可以通过“域”的方式对非法DHCP服务器进行过滤。   将合法的DHCP服务器添加到活动目录(Active Directory)中,通过这种认证方式就可以有效的制止非法DHCP服务器了。原理就是没有加入域中的DHCP Server在相应请求前,会向网络中的其他DHCP Server发送DHCPINFORM查询包, 如果其他DHCP Server有响应,那么这个DHCP Server就不能对客户的要求作相应,也就是说网络中加入域的DHCP服务器的优先级比没有加入域的DHCP服务器要高。这样当合法DHCP存在时非法的就不起任何作用了。   授权合法DHCP的过程如下:   第一步:开始->程序->管理工具->DHCP   第二步:选择DHCP root, 用鼠标右键单击,然后浏览选择需要认证的服务器。   第三步:点“添加”按钮, 输入要认证的DHCP服务器IP地址, 完成授权操作。   这种方法效果虽然不错,但需要域的支持。要知道对于众多中小企业来说“域”对他们是大材小用,基本上使用工作组就足以应对日常的工作了。所以这个方法是微软推荐的,效果也不错,但不太适合实际情况。另外该方法只适用于非法DHCP服务器是windows系统,对非Windows的操作系统甚至是NT4这样的系统都会有一定的问题。   4、路由交换设备上封杀:   有的路由交换设备自身功能比较强,例如具有extreme功能,他可以自动抑制非法dhcp的数据包。如果没有extreme功能我们如何提前预防非法DHCP服务器的接入呢?   首先需要对DHCP数据包使用的端口有所了解,DHCP服务主要使用的是UDP的67和68端口,服务器端应答数据包使用68端口,67端口为客户机发送请求时使用。所以我们可以在路由器和交换机上通过访问控制列表来屏蔽除合法DHCP服务器以外的所有DHCP应答包,也就是说将68端口封闭。具体命令为“access-list 108 deny udp any eq 68 any”。(如图1)
怎么查询局域网内全部电脑IP和mac地址等信息? 在局域网内查询在线主机的IP一般比较简单,但局域网内全部电脑的IP怎么才能够查到呢?查询到IP后我还要知道对方的一些详细信息(如MAC地址、电脑名称等)该怎么查询呢??? Windows 网络方法一 查询本机IP——窗口查看 直接单击任务栏最右边的“本地连接”图标,会打开“本地连接状态”对话框,如图: 单击弹出对话框中的“支持”选项卡,在下面的“连接状态”中能够看到本机的基本IP信息,如上图; 再单击“本地连接状态”对话框中的“详细信息”按钮,将弹出“网络连接详细信息”对话框: 该对话框中能够显示详细的本机网络信息,如IP地址、MAC地址、子网掩码和默认网关及NDS等信息,如上图。方法二 查看本机IP——命令查看 点击屏幕左下角任务栏左边的“开始”菜单,选择“运行”命令: 在弹出“的运行”对话框的文本输入框中直接输入“cmd”,单击“确定”按钮,打开黑色背景的DOS“命令提示符”窗口:或者单“开始”按钮,选择“所有程序”,再选择“附件”,再从弹出的菜单中选择“命令提示符”,同样能打开“DOS命令提示符”窗口:在DOS“命令提示符”窗口中输入“ipconfig /all”,同样可以查看本机的详细信息:在该结果窗口中,具体显示了本机详细的计算机名称、MAC地址、DHCP、DNS、网关等详细内容。 方法三 查看局域网内其它电脑名称和IP 有些时候我们需要查询本局域网内所有电脑IP和电脑名称,但网络上很多有类似功能的软件并不安全,而无相关的技术的人员也较难实现这个需求,此时可以尝试这里介绍的无需任何软件和其它技术的简便方法。 如果你要方便,可打开dbank下载地址http://tieba.baidu.com/mo/q/checkurl?url=http%3A%2F%2Fdl.dbank.com%2Fc0cu3h09ga&urlrefer=d7df51228efcbb8b94b6583b25435050下载查询程序:如果要自己建立这个程序,可以参照从这里开始的步骤。点击任务栏中的“开始”按钮,选择“所有程序”,再选择“附件”,再选择弹出菜单中的“记事本”,打开记事本程序:将以下内容复制到记事本,另存为后缀为.bat的批处理文件: COLOR 0A CLS @ECHO Off Title 查询局域网内在线电脑IP :send @ECHO off&setlocal enabledelayedexpansion ECHO 正在获取本机的IP地址,请稍等... for /f "tokens=3 skip=2 delims=: " %%i in ('nbtstat -n') do ( set "IP=%%i"
首页 1 2 3 4 下一页