某企業(yè)所在的辦公局域網(wǎng)有100多臺計算機，為了區(qū)分不同用戶分配更詳細的訪問權限，我們采用的是設置固定IP的方法，而不是自動獲取IP地址，由于我們還有一部分電腦要聯(lián)到Internet上。這樣就要設兩個子網(wǎng)，如內(nèi)網(wǎng)我們設為192.168.0.1網(wǎng)段，能聯(lián)外網(wǎng)的我們設為192.168.1.1網(wǎng)段。  
 
 
  
在實際使用中遇到了經(jīng)常有用戶為了上網(wǎng)私自修改IP地址，從而造成網(wǎng)絡沖突的問題。

因為我們的計算機都是使用Windows XP操作系統(tǒng)的，用戶可以私自設兩個IP網(wǎng)段的地址這樣即可聯(lián)入單位的局域網(wǎng)也可以聯(lián)到因特網(wǎng)，但這是公司不允許的。下面是我解決的過程和自己的一些心得，希望能給要解決這樣問題的一些提示(我用的是TP-LINK路由器)。

方法一：IP地址與MAC地址的綁定加上路由器的MAC過濾功能

使用ARP -s 192.168.1.2 00-AO-43-E0-6A-84的命令，將靜態(tài)IP地址192.168.1.2與網(wǎng)卡地址為00-AO-43-E0-6A-84的計算機綁定在一起，使別人就不能使用這個IP地址了。再進入路由器的MAC過濾功能選中只允許下列MAC的網(wǎng)卡地址聯(lián)入外網(wǎng)把00-AO-43-E0-6A-84填入即可。

可是上面提到的方法雖然可以在一定程度上解決非法用戶網(wǎng)絡接入的問題和網(wǎng)絡沖突的問題，但用戶還是可以通過修改注冊表，下載專用修改MAC小工具等方法，輕松更改本機MAC地址，甚至將本機的MAC地址和IP地址改得和上面能上網(wǎng)的機器一模一樣。非法用戶又可以非法使用網(wǎng)絡。并且我用的路由器的MAC過濾功能只能填入16個MAC。

方法二：交換機的MAC地址與端口綁定

將交換機的MAC地址與端口綁定后，非法用戶擅自改動本機網(wǎng)卡的MAC地址，該機器的網(wǎng)絡訪問將因其MAC地址被交換機認定為非法而無法實現(xiàn)。

登錄進入交換機(我單位用的是Cisco交換機，我想別的品牌的交換機也差不多)，輸入管理口令進入配置模式：

敲入命令：(config)#mac_address_table permanent [MAC地址] [以太網(wǎng)端口號]

這樣逐一的將每個端口與相應的計算機MAC地址進行綁定，保存退出后就徹底阻止了用戶的非法修改。

方法三：防火墻與代理服務器

我個人感覺使用防火墻與代理服務器相結合，更能較好地解決IP地址盜用問題：防火墻用來隔離內(nèi)部網(wǎng)絡和外部網(wǎng)絡，用戶訪問外部網(wǎng)絡通過代理服務器進行。使用這樣的辦法是將IP防盜放到應用層來解決，變IP管理為用戶身份和口令的管理，因為用戶對于網(wǎng)絡的使用歸根結底是要使用網(wǎng)絡進入因特網(wǎng)。這樣實現(xiàn)的好處是，盜用IP地址只能在子網(wǎng)內(nèi)使用，失去盜用的意義；合法用戶可以選擇任意一臺IP主機使用，通過代理服務器訪問外部網(wǎng)絡資源，而無權用戶即使盜用IP，也沒有身份和密碼，不能使用外部網(wǎng)絡。

使用防火墻和代理服務器的缺點也是明顯的，由于使用代理服務器訪問外部網(wǎng)絡對用戶不是透明的，增加了用戶操作的麻煩；另外，對于大數(shù)量的用戶群來說，用戶管理也是一個問題。