局域網(wǎng)中的機(jī)器要進(jìn)行網(wǎng)絡(luò)通訊或資源存取前,必須進(jìn)行基本的網(wǎng)絡(luò)參數(shù)配置(如IP、DNS、網(wǎng)關(guān)等)

1、局域網(wǎng)參數(shù)設(shè)置對(duì)于一定規(guī)模的局域網(wǎng),我們一般使用DHCP服務(wù)來(lái)動(dòng)態(tài)處理客戶端的IP地址配置?？墒钱?dāng)某一客戶通過(guò)DHCP聯(lián)入本地局域網(wǎng),就可以訪問(wèn)本地共享資源或帶來(lái)病毒,給我們的本地網(wǎng)絡(luò)帶來(lái)安全隱患。如何才能防止未經(jīng)授權(quán)的機(jī)器得到公司網(wǎng)絡(luò)中機(jī)器的DHCP地址信息呢?局域網(wǎng)中的機(jī)器要進(jìn)行網(wǎng)絡(luò)通訊或資源存取前,必須進(jìn)行基本的網(wǎng)絡(luò)參數(shù)配置(如IP、DNS、網(wǎng)關(guān)等,這種參數(shù)可以靜態(tài)分配或動(dòng)態(tài)獲得。手工配置地址雖然可靠,但對(duì)于一定規(guī)模的局域網(wǎng)相當(dāng)費(fèi)時(shí)并容易出錯(cuò)。這時(shí)我們需要用到DHCP服務(wù)(動(dòng)態(tài)主機(jī)配置協(xié)議,來(lái)動(dòng)態(tài)處理客戶端的IP地址配置。DHCP可以通過(guò)租約和預(yù)置IP相聯(lián)系,提供為本地TCP/IP 網(wǎng)絡(luò)

2、上自動(dòng)并安全地分配和租用IP地址信息,從而實(shí)現(xiàn)IP 的集中式管理,基本上不需要管理員的人為干預(yù)。但事情總會(huì)有其兩面性,雖然DHCP服務(wù)可以自動(dòng)地為客戶端分配IP 信息,可是當(dāng)某一客戶通過(guò)DHCP聯(lián)入本地局域網(wǎng),就可以訪問(wèn)本地共享資源或一些敏感資料。即使對(duì)方?jīng)]有惡意,但客戶機(jī)上可能有一些病毒或木馬會(huì)危害本地網(wǎng)絡(luò)的安全。所以,不僅是服務(wù)器端需要安全配置,對(duì)客戶端也應(yīng)該有些針對(duì)性的管理。其實(shí)我們可以為客戶端的機(jī)器創(chuàng)建一個(gè)DHCP類(lèi),在DHCP服務(wù)器上為該類(lèi)指定一個(gè)網(wǎng)關(guān)、DNS信息,如果沒(méi)有此DHCP類(lèi)的機(jī)器將無(wú)法得到此網(wǎng)關(guān)或DNS信息,當(dāng)然也就無(wú)法取得相關(guān)配置或權(quán)限,如因特網(wǎng)的訪問(wèn)權(quán)。這里我們來(lái)探討

3、如何設(shè)置DHCP類(lèi),來(lái)防止未經(jīng)授權(quán)的機(jī)器得到公司網(wǎng)絡(luò)中機(jī)器的DHCP地址信息(以下操作皆在同一網(wǎng)段內(nèi)實(shí)現(xiàn)。創(chuàng)建DHCP用戶類(lèi)或供應(yīng)商類(lèi)1.創(chuàng)建一個(gè)新用戶或者提供商選項(xiàng)類(lèi)(1啟動(dòng)DHCP管理器,在控制臺(tái)樹(shù)結(jié)構(gòu)中,點(diǎn)擊“可使用的DHCP服務(wù)器”。這里我們右擊“winsrv服務(wù)器”,然后點(diǎn)擊“定義用戶類(lèi)”來(lái)創(chuàng)建一個(gè)新的用戶類(lèi),或者點(diǎn)擊“定義提供商類(lèi)”來(lái)創(chuàng)建一個(gè)新的提供商類(lèi)。點(diǎn)擊“添加”。(2在“新建類(lèi)別”對(duì)話框中,在“顯示名字”編輯框中為新的選項(xiàng)輸入一個(gè)描述性的標(biāo)識(shí)名字,在這里我們輸入“l(fā)ong”,在“說(shuō)明”框中您也可以隨意添加附加信息,這里為了方便我們省略了。在ID或者ASCII下輸入由DHCP客

4、戶端提供的數(shù)據(jù),DHCP服務(wù)器服務(wù)中要用這些數(shù)據(jù)來(lái)匹配類(lèi)ID。點(diǎn)擊“文本輸入框”的左側(cè),以十六進(jìn)制字節(jié)數(shù)值輸入數(shù)據(jù)。點(diǎn)擊文本輸入框的右側(cè),以ASCII文本字符值輸入數(shù)據(jù)。這里我們還是輸入“l(fā)ong”,點(diǎn)擊“確定”,然后點(diǎn)擊“關(guān)閉”。至此我們已經(jīng)定義好了一個(gè)ID為L(zhǎng)ong的DHCP用戶類(lèi),下面需要對(duì)此用戶類(lèi)進(jìn)行配置。2. 配置用戶類(lèi)右擊“作用域選項(xiàng)”,選擇“高級(jí)”,在下面的“用戶類(lèi)別”中選擇剛才創(chuàng)建的用戶類(lèi)別“Long”,然后在下面的可用選項(xiàng)中選擇需要配置的選項(xiàng),一般我們選擇“003路由器”和“006 DNS服務(wù)器”,以及“051租約”等選項(xiàng)。DNS的設(shè)置選擇“006 DNS服務(wù)器”,在下面的I

5、P地址輸入本地DNS服務(wù)器地址,按“添加”就可以了(如圖1。路由器的設(shè)置基本一樣。對(duì)于租約的填寫(xiě),需要注意的是在下面的長(zhǎng)類(lèi)型中要輸入的是16進(jìn)制的數(shù)字,比如我們假設(shè)租約為10天(即864000秒,直接輸入十進(jìn)制864000,按“確定”,系統(tǒng)會(huì)自動(dòng)顯示為16進(jìn)制數(shù)。為客戶機(jī)設(shè)置指定的DHCP類(lèi)ID串連接到基于Windows 2000的DHCP服務(wù)器的客戶端計(jì)算機(jī),可以使用下面的命令來(lái)設(shè)置指定的DHCP類(lèi)ID串: ipconfig /setclassid adapter_name class_id例如,要對(duì)一個(gè)稱之為“局域網(wǎng)連接”的網(wǎng)卡配置用戶類(lèi)ID為“myuserclass”的DHCP類(lèi),只需要

6、在命令行中輸入ipconfig /setclassid “Local Area Connection” myuserclass,然后按下回車(chē)即可。在客戶端只有一塊網(wǎng)卡,所以這里也可以這樣寫(xiě)“ipconfig /setclassid * long”,星號(hào)代表本地所有連接,這樣客戶端就會(huì)使用ID為L(zhǎng)ong的DHCP用戶類(lèi)。圖2為已配置好的Windows 2000系統(tǒng)客戶端的本地網(wǎng)絡(luò)參數(shù)。從圖2中我們可以看到,租約為10天,就是我們剛才配置的租期。DHCP Class ID 為long,DNS Servers和DHCP Servers還有網(wǎng)關(guān)皆為先前所設(shè)定值。大功告成啦!目的基本達(dá)到了,可是總是會(huì)有

7、新的問(wèn)題出現(xiàn)。顯然這種手動(dòng)為客戶端設(shè)置的方法工作量是很大的,為了解決這個(gè)問(wèn)題,我們可以通過(guò)域給客戶端設(shè)置登錄腳本,讓用戶登錄域的同時(shí)自動(dòng)執(zhí)行此腳本。設(shè)置登錄腳本首先編寫(xiě)一個(gè)批處理文件DHCP.BAT。EchoIpconfig/setclassid * long (*代表所有本地連接,這里針對(duì)的是客戶端只有一塊網(wǎng)卡將此腳本放在DC的NETLOGON目錄下,并在域中為相應(yīng)的OU或用戶設(shè)置登錄腳本,這樣當(dāng)用戶登錄到域時(shí),會(huì)自動(dòng)執(zhí)行這個(gè)腳本命令,客戶端也會(huì)得到相應(yīng)的IP配置信息,這樣未被授權(quán)的用戶就沒(méi)辦法登錄網(wǎng)絡(luò)。當(dāng)然我們還可以對(duì)DHCP服務(wù)器進(jìn)行授權(quán)管理,這需要通過(guò)DC上的DHCP服務(wù)對(duì)域內(nèi)的其他服務(wù)器進(jìn)行