mac与ip绑定问题
双向绑定IP和MAC
局域网IP与mac双向绑定——防止恶意软件控制为了给大家带来良好的网络环境,阻止P2P终结者等恶意控制软件破坏局域网网络环境,并且市面上的arp防火墙,如:彩影arp,金山arp等对P2P终结者并无多大防御作用。
现在我们就来做一下网关与客户机的双向IP&MAC绑定来搞定它。
在操作过程中,请关掉arp防火墙(暂时),因为它对我们的操作有一定的影响。
等操作完成之后再打开。
若安装有彩影arp的用户,请不要让它在开机自动运行(方法下面有),可以开机后手动运行。
首先声明一点,绑定IP和MAC是为了防止arp欺骗,防御P2P终结者控制自己的电脑(网速),对自己的电脑没有一点负面影响。
不想绑定的同学可以不绑定,以自愿为原则。
但是若被控制网速,自己躲在屋里哭吧!(开玩笑)。
好了废话不多说,开始我们的客户机IP与MAC绑定教程吧!一.首先将路由即网关的IP和MAC查看下(路由IP一般都是192.168.1.1):开始→运行→cmd(回车)→arp/a就会出现如下图信息:其中第一个192.168.1.1即为路由IP,后面就是路由的MAC二.查看自己的IP和MAC有以下两种方法:①右键网上邻居→属性→右键本地连接→状态→支持→详细信息里面的实际地址即为自己的MAC地址,IP地址即为自己的IP地址。
②开始→运行→cmd(回车)→ipconfig/all(回车)会出来信息,如图:其中本地连接(以太网连接)里面的physical Address即为自己的MAC ,IP Address即为自己的IP地址。
三.不让彩影arp防火墙开机运行的方法(后面用到):开始→运行→msconfig(回车)→启动→将Antiarp.exe(彩影arp程序)前面的勾去掉→确定→退出而不重新启动→OK!启动里面的启动项目就是你安的软件的名称,命令就是你安在了哪里。
这样开机就不会自动运行它了,要想运行,手动打开桌面上它的程序就行。
若要恢复开机自动运行彩影arp,在启动中,将勾重新勾上就行了(不推荐)!若是不想让其他程序开机运行,和本操作一样!四.以管理员身份运行CMD(一般都是管理员身份,不是的很少,这个基本用不到)在命令界面(即进入CMD以后)直接按ctral+shift+(回车)就行了。
ip_mac地址绑定的问题
上海宝创（金盾）不支持厂家建议：上网行为主要管理的是人；建议采用认证的方式。
深信服科技（sinfor）支持通过准入规则的方式，客户端利用轻量agency同中心端的策略进行交互，如果符合的就通过，不符合的失去权限；可以把IP和mac绑定设置为一种策略，自动分发到agency，就可以控制终端的运行状态了；客户端自动安装一个插件，类似activeX；来达到对IP/MAC地址的绑定。网康科技不支持支持单网段的IP和MAC地址绑定。北信源防火墙支持客户端需要自动安装控件。
现象描述：
问题分析：
处理方法： （1）行业内对该问题得处理
目前对行业内部三个竞争对手的产品进行了调查，对于跨三层设备（路由方式）进行IP和MAC地址的绑定功能调查及部分实现方式如下：
1、基于端口的绑定模式；
2、基于MAC地址的访问列表；
3、基于IP和MAC的绑定
以上三种方式是目前对MAC绑定比较常用的方式。在三层结构的网络中，一般实现此功能都是在核心交换机上实现。其他的是实现方法需要安装客户端软件。
同时，MAC地址本身就是数据链路层的概念，当报文跨越路由设备时mac地址已经失去了其本身的意义，此时不同的子网中即使MAC地址相同也是完全可以正常工作的。早期设备因为没有很强大的驱动，因此MAC似乎成了一个硬件设备唯一的身份象征，但是现在网卡技术太成熟了，用户可以通过计算机的网络属性，网卡设置中的功能轻易的修改MAC
..................................
当实施IP—MAC绑定时，首先给绑定好的用户设置允许的策略，然后再找到未定义用户设置阻止。
当实施到此条策略时会查看经过的数据报文，将其中的IP地址与绑定表中的对应如A的IP进去后会找到相应A的MAC如果相匹配就顺利通过。如果用户C没有在绑定表中改成的用户B的IP，C用户会查找自己对应的CMAC而不是看后面的BMAC如果找不到仍可以上网。所以要做一个示定义的策略，限制其它的IP上网。
MAC地址绑定与IP绑定区别讲解
MAC地址绑定与IP绑定区别讲解在网络通信中，MAC地址绑定和IP地址绑定是两种常见的安全措施。
它们都是限制特定设备的访问权限，提高网络的安全性。
然而，它们之间存在一些区别。
本文将详细讲解MAC地址绑定与IP地址绑定的区别，并探讨它们各自的优劣势。
一、MAC地址绑定MAC地址（Media Access Control Address）是设备的物理地址，通常由设备的网卡厂商预先分配。
每个网络设备都拥有唯一的MAC地址，用于在局域网中进行数据通信。
MAC地址绑定是一种通过识别MAC地址来控制访问的方式。
1.1 原理MAC地址绑定基于一个简单的原理，即只有经过认证的MAC地址才能够通过网络设备进行通信。
网络管理员将特定设备的MAC地址与网络访问策略进行绑定，该设备在网络上的通信可以顺利进行。
非授权的设备将被阻止访问网络。
1.2 优势MAC地址绑定具有以下优势：（1）安全性高：由于MAC地址是设备的物理地址，无法被更改，因此MAC地址绑定提供了较高的安全性。
（2）易于配置：网络管理员可以通过简单的配置过程将MAC地址与网络绑定，不需要额外的设备或软件支持。
（3）不受IP地址变化的影响：即使IP地址发生变化，通过MAC地址绑定的设备仍然可以顺利访问网络。
1.3 缺点MAC地址绑定存在一些缺点：（1）繁琐的管理：对于大型网络而言，管理维护所有设备的MAC地址绑定是一项繁重的任务。
（2）无法在不同网络间漫游：由于MAC地址是局限在本地网络中，当设备从一个网络漫游到另一个网络时，需要重新进行MAC地址绑定。
二、IP地址绑定IP地址（Internet Protocol Address）是设备在网络上的标识，用于在广域网中进行数据通信。
IP地址绑定是一种通过识别IP地址来控制访问的方式。
2.1 原理IP地址绑定的原理是限制只有特定的IP地址才能够访问网络。
网络管理员将指定的IP地址与网络访问策略进行绑定，只有使用这些IP地址的设备可以顺利进行通信，其他设备将被拒绝访问。
IP和MAC地址绑定
1. 如何进行IP和MAC地址绑定，以防范ARP欺骗？用路由器做地址转换，上网频繁掉线，此时将PC机的网卡禁用一下或将PC机重启一下又可以上网了，并且不能上网时ping PC机的网关不通。
这种情况一般来说,都是中了ARP欺骗病毒，可以通过以下方法进行防范。
方法一：在路由器上静态绑定PC机的IP地址和MAC地址，在PC机上绑定路由器内网口的IP地址和MAC地址。
步骤如下：1) 在路由器上绑定PC机的IP地址和MAC地址，格式如下：[H3C]arp static 192.168.1.2 00e1-7778-9876注意：需要对该网段内的每一个IP都绑定MAC，没有使用的IP地址也需要绑定，可以任意指定其绑定的MAC地址，推荐使用0000-0000-0123等特殊MAC。
2) 在PC机上绑定路由器内网口的IP地址和MAC地址，命令格式如下：arp –s 192.168.1.1 00-0f-e2-21-a0-01方法二：让路由器定时发送免费ARP报文，刷新PC机的ARP表项进入路由器相应的内网接口，配置如下命令：[H3C-Ethernet1/0]arp send-gratuitous-arp 1方法三：ARP固化可以在全局视图和接口视图下配置ARP固化功能，使动态ARP转化为固定ARP，有效防范ARP 攻击。
固化ARP有三种方式：1) 全局视图下配置动态ARP固化[H3C] arp fixup2) 接口视图下配置动态ARP固化[H3C] interface ethernet 1/0/0[H3C-Ethernet1/0/0] arp fixup3) 配置指定固化ARP表项的功能[H3C] arp fixed 10.1.0.1 00-11-22【提示】1) PC机重启后，静态配置的arp表项会丢失，需要重新配置，可以在PC机上制作一个.bat 的批处理文件，放到启动项中。
2) arp send-gratuitous-arp 并非所有产品均支持，请查询网站上的配置手册和命令手册，确认您所使用的产品是否支持该功能。
教你如何解决ip冲突、如何进行ip和mac绑定
教你如何解决ip冲突、如何进行ip和mac绑定作者：交子日期：2013-11-7局域网组建过程中，经常出现ip地址与网内其他地址冲突的问题，这本来看似简单的一个小问题却导致网络不能正常访问，还拖累整个局域网的正常通信。
那么，如何避免局域网出现ip地址冲突，如何解决ip地址冲突问题呢？下面有两个比较简单的方法供网管们参考。
一、通过路由器进行IP和MAC绑定、网关的静态绑定一种方法是采用DHCP方式为用户分配IP，然后限定这些用户只能使用动态IP的方式。
这样如果改成静态IP的方式则不能连接上网络;也就是使用了DHCP SNOOPING功能。
先点击“开始”选择“运行”，然后在里面输入ipconfig -all命令，这就可以查出自己的网卡地址；记录后再到代理服务器端把上网的静态IP地址与所记录计算机的网卡地址进行捆绑，具体命令是：ARP -s192.168.0.4 00-EO-4C-6C-08-75这样，就将您上网的静态IP地址192.168.0.4与网卡地址为00-EO-4C-6C-08-75的计算机绑定在一起了。
即使别人盗用此IP地址192.168.0.4，也无法通过代理服务器上网。
其中应注意的是此项命令仅在局域网中上网的代理服务器端有用，还要是静态IP地址，像一般的 Modem拨号上网是动态IP地址就不起作用。
对于动态分配IP，做一个DHCP服务器来绑定用户网卡MAC地址和IP地址，然后再根据不同IP设定权限。
对于静态IP，如果用三层交换机的话，你可以在交换机的每个端口上做IP地址的限定，如果有人改了自己的IP地址，那么他的网络就不通了。
二、通过专业的网络管理软件来进行IP和MAC绑定，防止修改IP地址、禁止修改MAC地址另外一种方法就是采用专业上网管理软件进行ip-mac绑定，“聚生网管”就是这样一款专门进行网络限制、进行ip-mac绑定的网络管理软件，软件能够自动扫描局域内ip和mac地址，只需要网管根据要求设置绑定列表即可。
局域网MAC地址与IP地址绑定策略的加固方法
ＭＡＣ地 址 可 以唯 一 标 志 一 块 网 卡 。在 以 太 网上 传 输 的 每 个 报 文 都 含 有 发 送 该 报 文 的 网 卡 的
ＭＡＣ地址 ， 以太 网根据 报 文头 中 的源 ＭＡＣ地址 和 目的 ＭＡＣ来识 别报 文 的发送 端和接 收 端 。
Ｉ Ｐ协议 应用 于 网络层 ， 使用 的地址 为 Ｉ 址 。使 用 Ｉ Ｐ地 Ｐ协 议进 行 通讯 ， 个 Ｉ 每 Ｐ报 文 头 中必 须 含 有源 １ Ｐ地 址和 目的 Ｉ Ｐ地址 ， 以标 志该 Ｉ 用 Ｐ报 文 的发 送 端 和接 收 端 。在 以太 网上 使用 Ｉ Ｐ协 议 传 输报 文时 ， Ｉ Ｐ报文作 为 以太 网报 文 的数 据 。Ｉ Ｐ地址 对于 交换 机或 处理器 是 透 明的 。用 户 可 以根
第３ ４ ～ 期
２ｌ ０ Ｏ年 １ ２月
高
能
量
密
度
物
理
ＮＯ． ３～ ４ Ｄ ｅ ．。２ ０ ｃ ０１
ＨＩ Ｈ Ｇ ＥＮ ＥＲＧ Ｙ ＤＥＮ ＳＩ Ｙ Ｔ ＰＨ Ｙ ＳＩ ＣＳ
局 域 网 ＭＡＣ地 址 与 Ｉ Ｐ地 址 绑 定 策 略 的加 固方 法
陆向阳， 周凯莉
（ 国工 程 物 理 研 究 院 流体 物 理研 究 所 网 管 中心 ， 中 四川 绵 阳 ６ １０ ） ２ ９ ０
数 之 间用 冒号 隔开 ， ： ８ Ｏ ：０ ０ ８ ６ 如 Ｏ ：Ｏ ２ ：Ａ：Ｃ：Ｄ就 是一 个 ＭＡＣ地 址 ， 中前 ６位 Ｏ ： Ｏ ２ 其 ８ Ｏ ：０为 １ ６进
制数 ， 代表 网络 硬件 制造 商 的编号 ， 由 Ｉ Ｅ 它 Ｅ Ｅ分 配 ， ３位 Ｃ： Ｄ为 １ 后 ６ ６进 制数 ， 代表 制造 商制造 的 某 个 网络产 品 （ 网卡） 如 的系列 号 ， 网络设 备制 造商 必 须 确保 它所 制 造 的 每个 以太 网设 备 都 具有 相 同的前 三字 节 以及不 同 的后 三个 字节 ， 可保 证 每 个 以太 网设 备 在 全 球 具 有 唯 一 的 ＭＡＣ地 址 ， 就
MAC地址与IP地址绑定
MAC地址与IP地址绑定1引言大多数解决“IP地址盗窃”的方案都采用MAC和IP地址之间的绑定策略，这是非常危险的。
本文将讨论这个问题。
这里需要注意的是，本文关注的是MAC和IP地址绑定策略的安全性，不具有任何黑客性质。
1.1为什么要绑定mac与ip地址影响网络安全的因素很多。
IP地址盗窃或地址欺骗是常见且有害的因素之一。
在现实中，许多网络应用都是基于IP的，比如流量统计、账户控制等，都将IP地址作为标记用户的重要参数。
如果有人窃取了合法地址并假装是合法用户，网络上传输的数据可能会被破坏、窃听，甚至被盗用，造成无法弥补的损失。
盗用外部网络的ip地址比较困难，因为路由器等网络互连设备一般都会设置通过各个端口的ip地址范围，不属于该ip地址范围的报文将无法通过这些互连设备。
但如果盗用的是ethernet内部合法用户的ip地址，这种网络互连设备显然无能为力了。
“道高一尺，魔高一丈”，对于ethernet内部的ip地址被盗用，当然也有相应的解决办法。
绑定mac地址与ip地址就是防止内部ip盗用的一个常用的、简单的、有效的措施。
1.2mac与IP地址的绑定原则ip地址的修改非常容易，而mac地址存储在网卡的eeprom中，而且网卡的mac地址是唯一确定的。
因此，为了防止内部人员进行非法ip盗用(例如盗用权限更高人员的ip地址，以获得权限外的信息)，可以将内部网络的ip地址与mac地址绑定，盗用者即使修改了ip地址，也因mac地址不匹配而盗用失败：而且由于网卡mac地址的唯一确定性，可以根据mac地址查出使用该mac地址的网卡，进而查出非法盗用者。
目前，许多单位的内部网络，尤其是校园网，都采用了MAC地址和IP地址的绑定技术。
许多防火墙（硬件防火墙和软件防火墙）也在MAC地址和IP地址之间内置绑定功能，以防止网络内的IP地址被盗。
从表面上看来，绑定mac地址和ip地址可以防止内部ip地址被盗用，但实际上由于各层协议以及网卡驱动等实现技术，mac地址与ip地址的绑定存在很大的缺陷，并不能真正防止内部ip地址被盗用。
ip和mac绑定的几种方法
H3C华为交换机端口绑定基本配置1，端口+MACa)AM命令使用特殊的AM User-bind命令，来完成MAC地址与端口之间的绑定。
例如：[SwitchA]am user-bind mac-address 00e0-fc22-f8d3 interface Ethernet 0/1配置说明：由于使用了端口参数，则会以端口为参照物，即此时端口E0/1只允许PC1上网，而使用其他未绑定的MAC地址的PC机则无法上网。
但是PC1使用该MAC地址可以在其他端口上网。
b)mac-address命令使用mac-address static命令，来完成MAC地址与端口之间的绑定。
例如：[SwitchA]mac-address static 00e0-fc22-f8d3 interface Ethernet 0/1 vlan 1[SwitchA]mac-address max-mac-count 0配置说明：由于使用了端口学习功能，故静态绑定mac后，需再设置该端口mac 学习数为0，使其他PC接入此端口后其mac地址无法被学习。
2，IP+MACa)AM命令使用特殊的AM User-bind命令，来完成IP地址与MAC地址之间的绑定。
例如：[SwitchA]am user-bind ip-address 10.1.1.2 mac-address 00e0-fc22-f8d3配置说明：以上配置完成对PC机的IP地址和MAC地址的全局绑定，即与绑定的IP地址或者MAC地址不同的PC机，在任何端口都无法上网。
支持型号：S3026E/EF/C/G/T、S3026C-PWR、E026/E026T、S3050C、E050、S3526E/C/EF、S5012T/G、S5024Gb)arp命令使用特殊的arp static命令，来完成IP地址与MAC地址之间的绑定。
例如：[SwitchA]arp static 10.1.1.2 00e0-fc22-f8d3配置说明：以上配置完成对PC机的IP地址和MAC地址的全局绑定。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
MAC地址与IP地址绑定策略的破解
对IP地址盗用的解决方案绝大多数都是采取MAC与IP地址绑定策略，这种做法是十分危险的，本文将就这个问题进行探讨。
在这里需要声明的是，本文是处于对对MAC与IP地址绑定策略安全的忧虑，不带有任何黑客性质。
1.1为什么要绑定MAC与IP 地址
影响网络安全的因素很多，IP地址盗用或地址欺骗就是其中一个常见且危害极大的因素。
现实中，许多网络应用是基于IP的，比如流量统计、账号控制等都将IP地址作为标志用户的一个重要的参数。
如果有人盗用了合法地址并伪装成合法用户，网络上传输的数据就可能被破坏、窃听，甚至盗用，造成无法弥补的损失。
盗用外部网络的IP地址比较困难，因为路由器等网络互连设备一般都会设置通过各个端口的IP地址范围，不属于该IP地址范围的报文将无法通过这些互连设备。
但如果盗用的是Ethernet内部合法用户的IP地址，这种网络互连设备显然无能为力了。
道高一尺，魔高一丈，对于Ethernet内部的IP地址被盗用，当然也有相应的解决办法。
绑定MAC地址与IP地址就是防止内部IP盗用的一个常用的、简单的、有效的措施。
1.2 MAC与IP 地址绑定原理
IP地址的修改非常容易，而MAC地址存储在网卡的EEPROM中，而且网卡的MAC地址是唯一确定的。
因此，为了防止内部人员进行非法IP盗用(例如盗用权限更高人员的IP地址，以获得权限外的信息)，可以将内部网络的IP地址与MAC
地址绑定，盗用者即使修改了IP地址，也因MAC地址不匹配而盗用失败：而且由于网卡MAC地址的唯一确定性，可以根据MAC地址查出使用该MAC地址的网卡，进而查出非法盗用者。
目前，很多单位的内部网络，尤其是学校校园网都采用了MAC地址与IP地址的绑定技术。
许多防火墙（硬件防火墙和软件防火墙）为了防止网络内部的IP地址被盗用，也都内置了MAC地址与IP地址的绑定功能。
从表面上看来，绑定MAC地址和IP地址可以防止内部IP地址被盗用，但实际上由于各层协议以及网卡驱动等实现技术，MAC地址与IP地址的绑定存在很大的缺陷，并不能真正防止内部IP地址被盗用。
2 破解MAC与IP地址绑定策略
2.1 IP地址和MAC地址简介
现行的TCP/IP网络是一个四层协议结构，从下往上依次为链路层、网络层、传输层和应用层。
Ethernet协议是链路层协议，使用的地址是MAC地址。
MAC地址是Ethernet 网卡在Ethernet中的硬件标志，网卡生产时将其存于网卡的EEPROM中。
网卡的MAC地址各不相同，MAC地址可以唯一标志一块网卡。
在Ethernet上传输的每个报文都含有发送该报文的网卡的MAC地址。
Ethernet根据Ethernet报文头中的源MAC地址和目的MAC来识别报文的发送端和接收端。
IP协议应用于网络层，使用的地址为IP地址。
使用IP协议进行通讯，每个IP报文头中必须含有源IP和目的IP地址，用以标志该IP报文的发送端和接收端。
在Ethernet上
使用IP协议传输报文时，IP报文作为Ethernet报文的数据。
IP地址对于Ethernet交换机或处理器是透明的。
用户可以根据实际网络的需要为网卡配置一个或多个IP地址。
MAC地址和IP地址之间并不存在一一对应的关系。
MAC地址存储在网卡的EEPROM中并且唯一确定，但网卡驱动在发送Ethernet 报文时，并不从EEPROM中读取MAC地址，而是在内存中来建立一块缓存区，Ethernet报文从中读取源MAC地址。
而且，用户可以通过操作系统修改实际发送的Ethernet报文中的源MAC地址。
既然MAC地址可以修改，那么MAC地址与IP地址的绑定也就失去了它原有的意义。
2.2 破解方案
其内部服务器和外部服务器都提供Web服务，防火墙中实现了MAC地址和IP地址的绑定。
报文中的源MAC地址与1P地址对如果无法与防火墙中设置的MAC地址与1P地址对匹配，将无法通过防火墙。
主机2和内部服务器都是内部网络中的合法机器；主机1是为了做实验而新加入的机器。
安装的操作系统是W2000企业版，网卡是3Com的。
试验需要修改主机1中网卡的MAC和IP地址为被盗用设备的MAC和IP地址。
首先，在控制面板中选择网络和拨号连接，选中对应的网卡并点击鼠标右键，选择属性，在属性页的常规页中点击配置按钮。
在配置属性页中选择高级，再在属性栏中选择Network Address，在值栏中选中输人框，然后在输人框中输人被盗用设备的MAC地址，MAC地址就修改成功了。
然后再将IP地址配置成被盗用设备的IP地址。
盗用内部客户机IP地址：将主机1的MAC地址和IP地址分别修改为主机2的MAC地址和IP地址。
主机1
可以访问外部服务器，能够顺利地通过防火墙，访问权限与主机2没有分别。
而且，与此同时主机2也可以正常地访问外部服务器，完全不受主机1的影响。
无论是主机2还是防火墙都察觉不到主机1的存在。
主机1如果访问内部服务器，根本无需通过防火墙，更是畅通无阻了。
盗用内部服务器IP地址：将主机1的MAC地址和U地址修改为内部服务器的MAC地址和IP地址。
主机1也提供Web服务。
为了使效果更明显，主机1上提供的Web服务内容与内部服务器提供的内容不同。
因为在实际的实验中主机1与主机2连在同一个HUB上，主机2的访问请求总是先被主机1响应，主机2期望访问的是内部服务器，得到的却总是主机1提供的内容。
更一般地，主机2如果试图访问内部服务器，获得的到底是主机1提供的内容还是内部服务器提供的内容具有随机性，要看它的访问请求首先被谁响应，在后面的分析中我们将进一步对此进行阐述。
盗用服务器的MAC和IP危害可能更大，如果主机1提供的Web内容和内部服务器中的内容一样，那么主机2将无法识别它访问的到底是哪个机器；如果Web内容中要求输人账号、密码等信息，那么这些信息对于主机1来说则是一览无遗了。