|
|
楼主 |
发表于 2010-8-9 10:51:19
|
显示全部楼层
高级DHCP隔离内网电脑互访(VLAN) 我行！我可以！！
本帖最后由 zengcf 于 2010-8-9 11:44 编辑 . \" H- x9 Q8 C9 X- K; V) w
K c; J+ ^% C3 V! e. N) B3 ?
高级DHCP隔离内网电脑互访(VLAN) 我行！我可以！！
Y1 W4 L% S. X$ I( }. R先借用友商的一篇软文抛砖引玉：. ?% q4 r# J* N. ~. A
4 [0 S# a q$ e. Y2 T( C
什么是DHCP？
! ]4 S% W0 o& } 两台连接到互联网上的电脑相互之间通信，必须有各自的IP地址，但由于现在的IP地址资源有限，宽带接入运营商不能做到给每个报装宽带的用户都能分配一个固定的IP地址（所谓固定IP就是即使在你不上网的时候，别人也不能用这个IP地址，这个资源一直被你所独占），所以要采用DHCP方式对上网的用户进行临时的地址分配。也就是你的电脑连上网，DHCP服务器才从地址池里临时分配一个IP地址给你，每次上网分配的IP地址可能会不一样，这跟当时IP地址资源有关。当你下线的时候，DHCP服务器可能就会把这个地址分配给之后上线的其他电脑。这样就可以有效节约IP地址，既保证了你的通信，又提高IP地址的使用率.
( C* `3 i1 {* g) R. f+ Z 在一个使用TCP/IP协议的网络中，每一台计算机都必须至少有一个IP地址，才能与其他计算机连接通信。为了便于统一规划和管理网络中的IP地址，DHCP（Dynamic Host Configure Protocol，动态主机配置协议）应运而生了。这种网络服务有利于对校园网络中的客户机IP地址进行有效管理，而不需要一个一个手动指定IP地址。 . y; W& c) S8 L" j
) C9 @* R* ?+ d2 D, |7 {什么是子网掩码？
: n+ Y# K& [: j/ v0 x 要想理解什么是子网掩码，就不能不了解IP地址的构成。互联网是由许多小型网络构成的，每个网络上都有许多主机，这样便构成了一个有层次的结构。IP地址在设计时就考虑到地址分配的层次特点，将每个IP地址都分割成网络号和主机号两部分，以便于IP地址的寻址操作。
6 j6 _5 g( C4 c' R2 F IP地址的网络号和主机号各是多少位呢？如果不指定，就不知道哪些位是网络号、哪些是主机号，这就需要通过子网掩码来实现。% m; B* [& R' {9 O4 @5 J/ G; z
子网掩码不能单独存在，它必须结合IP地址一起使用。子网掩码只有一个作用，就是将某个IP地址划分成网络地址和主机地址两部分。
8 k* L7 k* n7 ]% a4 L' c 子网掩码的设定必须遵循一定的规则。与IP地址相同，子网掩码的长度也是32位，左边是网络位，用二进制数字“1”表示；右边是主机位，用二进制数字“0”表示。只有通过子网掩码，才能表明一台主机所在的子网与其他子网的关系，使网络正常工作。
; R$ S" q4 l. L" V' p8 l" i- u 子网掩码的术语是扩展的网络前缀码不是一个地址，但是可以确定一个网络层地址哪一部分是网络号，哪一部分是主机号，1 的部分代表网络号，掩码为 0的部分代表主机号。子网掩码的作用就是获取主机 IP的网络地址信息，用于区别主机通信不同情况，由此选择不同路。其中 A类地址的默认子网掩码为 255.0.0.0；B类地址的默认子网掩码为 255.255.0.0；C类地址的默认子网掩码为：255.255.255.0；最后1种就是我们要讲解的，单独IP地址的默认子网掩码为：255.255.255.255. j) V8 M! T, f
* {& X) W. n: h. T/ V
XXXXX牌与众不同的DHCP高级设置- W P0 c+ z$ H6 _2 T
XXXXX牌的DHCP设置不同地方就是让每个用户获取到的子网掩码是255.255.255.255，这样2个IP之间如果需要互相访问，就要通过路由器去中转。因为要通过路由器中转，那么我们设置1条防火墙规则即可以防止2个IP之间互相访问了。如下图：
6 `; N4 w" Z5 ^7 w4 H1 Z2 ?. P. n: _6 J6 Y. e9 N( L
0 X9 {2 g, {2 F& T3 W. J, Z$ h9 }这样电脑自动获取的IP就是172.16.0.X,子网掩码就是255.255.255.255了，再看防火墙设置- \' M% E( e( S; F
! z$ {$ W3 j+ f4 c# D* X9 Q, _& \+ U! C
如上图，就可以禁止172.16.0.X网段的机器与机器之间互访了。这样无论是网络剪刀手还是P2P终结者等管理软件将彻底无效。0 F' d4 Q* k6 j1 M
" \2 ]7 n, n! w0 G8 a
7 d7 N7 t3 k3 o回到主题，如何在D-LINK的固件上实现呢，如下：
# {" H& F3 k' _+ t/ X" e# v# @, D) f2 b
6 N5 X/ ^' C; H) e
（1）不是说LAN IP一定要为192.168.81.1，我只不过是拿公司的实际环境来举例说明* Z) L" P; u5 }. Y2 h& ^
（2）DHCP的掩码设置为255.255.255.2556 j5 F; n$ v* E {
（3）将需要做权限控制的IP和MAC进行静态绑定，如果不需要做权限控制，只是禁止内网所有电脑互访问，此步可省略
5 {& R$ Y) S/ n# [/ n3 E2 J, M% o2 E' t8 u9 i
. ^ I- V7 q! ~* V0 M- t O1 X（4）请注意，网卡获取到的IP地址，其掩码为255.255.255.255
6 m, c1 C& o8 @7 j
6 Z7 J9 p( y l. S( w) @! X d0 L. u' v
（5）开始做规则，禁止192.168.81.100访问192.168.81.111的任何TCP/UDP端口
/ x1 u4 w: Z# N+ x7 E（6）如果Protocol:选择ANY，那么ICMP也包将含在内8 W0 _) I% d8 v3 T2 g
" }5 q+ v. u5 Q, u( W# p* Z% N7 a* V
（7）这么做的结果就是，192.168.81.100不能访问192.168.81.111，但能ping通192.168.81.1119 X4 u$ n: F E
& {* |( b7 o0 J( i( ?7 T: \
用途1：隔离内网所有电脑互访' I2 O) i4 e2 E' H3 _ o
用途2：内网电脑互访权限控制( a6 q# o6 v- p2 r
用途3：无论是网络剪刀手还是P2P终结者等管理软件将彻底无效。 |
本帖子中包含更多资源
您需要 登录 才可以下载或查看，没有账号？立即注册
×
|
粤公网安备44152102000001号 
发表于 2010-8-9 01:29:05
