教你巧设IP地址便于简化管理网络(1)(2)

我们可以看到备用配置还有一个“自动专有IP地址”的选项，使用该选项，在DHCP服务器不可用时，也可以自动配置计算机的IP地址信息，但是该地址有很大的局限性，只允许计算机与同在一个子网内并且所处状态相同的计算机进行通信，具体的原因在下文中将会详细介绍。因此在具有多个子网的企业网络中，不要使用这种备用配置方式。
对于一个没有任何外部网络连接并且只包含一个子网的小办公室网络，如果计算机全部基于Windows 2000或Windows XP系统，我们还可以利用操作系统提供的APIPA(Automatic Private IP Addressing，自动专有IP地址寻址)机制实现IP地址的零维护。在APIPA方式下，虽然网络中没有DHCP服务器，计算机启动后会自动在169.254.0.1 ~169.254.255.254的范围内为自己指定一个IP地址，子网掩码为255.255.0.0，不指定默认网关或DNS、WINS服务器的地址。通过IPCONFIG /ALL命令可以查看当前的寻址方式及相关的IP地址信息，如图3）所示。

图3 用IPCONFIG /ALL命令查看 寻址方式及IP地址信息

在计算机的TCP/IP协议的属性设置中，选择“自动获得IP地址”选项就可以自动地启用APIPA方式。对小型的办公网络来讲，APIPA既可以省去设置DHCP服务器的开销，同时不需要对IP地址进行任何维护。

隔离网络设备所在的子网

网络管理员为了便于对网络设备进行统一的管理和维护，通常需要为交换机设定管理IP地址，同时将所有的设备设定在一个指定的VLAN中。通过管理IP地址，管理员可以利用网管软件或是TELNET远程登录对设备进行调试和维护。

要实现位于不同VLAN之间的计算机互相通信，除了IP地址和子网掩码外，在设置IP地址处必须输入相应的默认网关地址，也就是VLAN的接口地址。在网络中每一台交换机都可以认为是专门的计算机，如果在设置交换机的管理IP地址时，设置了默认网关地址，那么网络中的任何一个用户如果知道了交换机的管理IP地址，都可以利用TELNET进行远程连接。

有些交换机提供了用户身份认证的机制来限制用户的登录，但是对于没有提供身份认证机制的交换机而言，这可能会带来一定的安全问题：一些对网络技术比较感兴趣的用户可能会远程登录到交换机中进行设置的实验或是有意无意的更改、删除已有的设置，这些操作可能会造成网络工作不正常或是中断。避免这些安全隐患最好的办法就是对网络设备所在的子网进行隔离。

由于将设备VLAN设置为一个单独的VLAN，因此在设置交换机管理IP地址的时候不设置默认网关地址，网络中其他VLAN中的计算机也就不能远程登录到交换机中，这样就可以实现对设备VLAN的隔离。

但是管理员需要对设备进行管理和维护，不可能每次都要物理接触到交换机才能操作。解决这个问题，我们可以采取两种办法：

一、 在网管中心的核心交换机中，将连接网管工作站的端口包含在与设备相同的VLAN中，这样管理员在网管工作站中远程登录设备时，和位于同一子网内的计算机进行通信一样，不需要默认网关进行数据包的转发。

二、 管理员可以首先TELNET远程登录到作为VLAN默认网关的核心交换机中，然后在核心交换机用户接口窗口，再TELNET远程登录到要进行管理的交换机中。例如：一台交换机的管理IP地址为192.168.2.21，所在子网的默认网关地址为192.168.2.1，管理员可以先在Windows的“命令提示符”窗口执行TELNET 192.168.2.1命令，成功连接到核心交换机后会出现命令行方式的设置界面，在此界面中，再执行TELNET 192.168.2.21命令就可以连接到交换机了。

如果出于应用的需要，必须为交换机设置默认网关地址，我们可以在设备VLAN和客户机VLAN之间设置一道“防火墙”，即通过在核心交换机中设置二层的包过滤策略和三层的IP过滤策略来限制客户机对指定VLAN和IP地址的访问，从而实现对设备VLAN的隔离。

启动策略后，只有符合策略规则的数据包才能进入设备VLAN中。当然这种方式的实现，要求核心交换机支持包过滤和IP过滤才可以。

相关文章】

• 防范私自修改IP地址的三种方法
  

• 如何避免网络IP地址被非法修改
  

• 资源紧缺 我国IP地址数量瓶颈状况亟待解决