區域網IP-MAC繫結方案

對區域網裝置進行IP-MAC繫結是網路管理的一個重要手段，可以有效的防止IP盜用、IP濫用、IP地址衝突等異常情況。

IP-MAC繫結可以採用多種方法來實現，本文中，我將介紹一些常用的區域網IP-MAC繫結方案。

1. 域的組策略禁止修改IP

給每臺電腦設定固定IP地址，且不開放管理員許可權（客戶機無法自行修改）。這個方案只能對電腦起作用，一般在域環境的區域網用的比較多。如圖中的組策略配置。

2. 基於交換機埠繫結

交換機的埠設定IP-MAC繫結。該方案是最嚴格的IP-MAC繫結方案，但是需要交換機有這個功能，且配置比較複雜。以華為S5700交換機為例，命令如下：

3. DHCP伺服器上做靜態IP分配

在DHCP伺服器上靜態IP分配，從而客戶機每次都可以獲取到同一個IP地址，DHCP伺服器可以是路由器或者交換機。但是請注意，DHCP的靜態地址分配並不能防止手動修改IP來繞開繫結。所以一般還需要和其他手段配合使用，比如：

• ARP繫結，一般在交換機上配置。只有符合IP和MAC對應關係的裝置才可以上網。

• 旁路上網行為管理。配置了靜態IP後，再啟用“WFilter ICF上網行為管理軟體”的“IP-MAC繫結”功能。客戶機一旦修改IP，就會被禁止上網。如圖：

4. WFilter NGF的IP-MAC繫結

WFilterNGF，以及基於該系統的WSG上網行為管理閘道器，既具有DHCP的靜態IP分配功能，又可以做IP-MAC的校驗。無需其他裝置就可以實現“靜態IP分配”和“IP-MAC繫結”的功能，而且還可以進行跨VLAN的IP-mac繫結。配置如下圖：