划分VLAN,每个VLAN分配一个独立的IP子网,一方面独立的子网可以实现对关键服务器和关键用户的有效保护,另一方面,细分的子网可以减少IP地址冲突或者IP地址盗用所带来的影响。
尽量将关键服务器设置一个独立的VLAN和子网,避免IP地址冲突。
重要的领导和重要的部门要设立单独的VLAN。
外来或者流动性比较大的人员,要设置单独的VLAN。
语音(如果有)要设置单独的VLAN。
在不致大量增加管理工作量的情况下,把每个VLAN中的用户尽量小一些。
采用动态地址和静态分配相结合的方法来实现IP地址的有效管理,具体方法为:
所有网络设备,例如:防火墙、路由器、交换机、IDS、等,采用静态IP地址;
所有的服务器和管理维护工作站采用静态IP地址;
重要的子网,如:领导子网内的主机用静态IP地址;
其他普通用户子网,包括外来或者流动人员VLAN,采用DHCP动态分配的IP地址;
语音(IP电话),采用DHCP动态分配IP地址,实现局域网的即插即用;
建立有效的IP地址、MAC地址、用户名、主机名、网络端口、信息点的对应表格。通过表格,可以快速定位所有IP地址对应的主机和人员。
对采用静态分配IP地址的设备或主机,在分配IP地址时,登记如下信息:IP地址、MAC地址、用户名、用户名、主机名、网络端口、信息点编号等。
采用DHCP进行地址分配的,将IP地址和MAC地址绑定(IP电话除外),即特定的MAC地址只能获得指定的IP地址,从而建立:IP地址、MAC地址、用户名、用户名、主机名、网络端口、信息点编号等信息表。
除外来人员或流动人员VLAN外,未经过登记的MAC地址,DHCP服务器将不为其分配IP地址。
建立所有网络设备端口与信息点之间的对应表,即使这些信息点是还没有主机(空的)。
一旦发现IP地址盗用,首先应找到该IP地址的MAC地址,通过定位该MAC地址是从哪个交换机的哪个端口学习来的,可以知道该IP对应的网络设备端口和信息点编号。
利用Cisco交换机提供的一些智能特性,实现跨网段的地址分配,防范DHCP攻击,对用户MAC、IP、交换机端口进行跟踪等。
通过划分VLAN和IP子网,静态和动态地址分配相结合,并结合DHCP保护和IP地址盗用快速定位等技术,可以有效实现IP地址的管理。实现关键的设备和重要的用户主机不会产生IP地址冲突;
由于采用动态和静态相结合的管理,如果网络中发现IP地址冲突或者IP地址盗用,可以快速定位出该IP地址所在的信息点编号,所连接的网络端口。可以立刻禁止地址冲突。
对于本项目的网络系统,作为内部网络不需要申请有效的IP地址,所以应该在内部网内使用RFC 1597中规定的保留IP地址段。RFC 1597中规定了三段地址,这些地址不允许在因特网上出现。所规定的保留地址如下:
10.0.0.0 ~ 10.255.255.255 1个A类地址
172.16.0.0 ~ 172.31.255.255 16个B类地址
192.168.0.0 ~ 192.168.255.255 256个C类地址
贵公司可以根据目前网络的状况和今后的发展需要,选择符合自己需要的IP地址空间,我们建议选择10.0.0.0/8这个网段作为贵公司办公网普遍的地址段。
下面是我们为某家规模较大的用户单位做的IP地址规划中的部分内容,以供参考。
1、10.0.0.0 ~ 10.0.255.255这个B类地址作为服务器的IP地址。
2、10.1.0.0 ~ 10.200.255.255这200个B类地址用于VLAN的IP地址,其中第二位和相应的VLAN号相匹配。每个B类地址可以有62535个地址,保证了今后网络用户的扩容对IP地址不会造成冲击。
3、10.1.0.0 ~ 10.1.255.255这个B类地址用于网络设备的网管地址,所有网络设备的管理地址都设置在VLAN1内。
4、10.201.0.0 ~ 10.255.255.255这些地址作为预留给广域网连接使用,用到时再详细定义。