在大多数局域网的运行治理工作中，网络治理员负责治理用户IP地址的分配，用户通过正确地注册后才被认为是合法用户 。在局域网上任何用户使用未经授权的IP地址都应视为IP非法使用 。但在Windows操作系统中，终端用户可以自由修改IP地址的设置，从而产生了IP地址非法使用的问题 。改动后的IP地址在局域网中运行时可能出现的情况如下 。??
a. 非法的IP地址即IP地址不在规划的局域网范围内 。
b.重复的IP地址与已经分配且正在局域网运行的合法的IP地址发生资源冲突，使合法用户无法上网 。
c.冒用合法用户的IP地址当合法用户不在线时，冒用其IP地址联网，使合法用户的权益受到侵害 。
1 IP地址非法使用的动机??
IP地址的非法使用问题，不是普通的技术问题，而是一个治理问题 。只有找到其存在的理由，根除其存在的基础，才可能从根本上杜绝其发生 。分析非法使用者的动机有以下几种情况：
a. 干扰、破坏网络服务器和网络设备的正常运行 。
b. 企图拥有被非法使用的IP地址所拥有的特权 。最典型的，就是因特网访问权限 。
c. 因机器重新安装、临时部署等原因，无意中造成的非法使用 。
2 非法使用方法
2.1 静态修改IP地址配置 用户在配置TCP/IP选项时，使用的不是治理员分配的IP地址，就形成了IP地址的非法使用 。
2.2 同时修改MAC地址和IP地址
非法用户还有可能将一台计算机的IP地址和MAC地址都改为另一台合法主机的IP地址和MAC地址 。他们可以使用答应自定义MAC地址的网卡或使用软件修改MAC地址 。
2.3 IP电子欺骗
IP电子欺骗是伪造某台主机IP地址的技术 。它通常需要编程来实现 。通过使用SOCKET编程，发送带有假冒的源IP地址的IP数据包
3 治理员的技术手段
3.1 静态ARP表的绑定
对于静态修改IP地址的问题，可以采用静态路由技术加以解决，即IP-MAC地址绑定 。因为在一个网段内的网络寻址不是依靠IP地址而是物理地址 。IP地址只是在网际之间寻址使用的 。因此作为网关的路由器上有IP-MAC的动态对应表，这是由ARP协议生成并维护的 。配置路由器时，可以指定静态的ARP表，路由器会根据静态的ARP表检查数据包，假如不能对应，则不进行数据转发 。
该方法可以阻止非法用户在不修改MAC地址的情况下，冒用IP地址进行跨网段的访问 。
3.2 交换机端口绑定
借助交换机的端口—MAC地址绑定功能可以解决非法用户修改MAC地址以适应静态ARP表的问题 。可治理的交换机中都有端口—MAC地址绑定功能 。使用交换机提供的端口地址过滤模式，即交换机的每一个端口只具有答应合法MAC地址的主机通过该端口访问网络，任何来自其它MAC地址的主机的访问将被拒绝 。
3.3 VLAN划分
严格来说，VLAN划分不属于技术手段，而是治理与技术结合的手段 。将具有相近权限的IP地址划分到同一个VLAN，设置路由策略，可以有效阻止非法用户冒用其他网段的IP地址的企图 。
3.4 与应用层的身份认证相结合
避免采用针对IP地址的直接授权的治理模式，综合运用用户名、口令、加密、VPN及其他应用层的身份认证机制，构成多层次的严密的安全体系，可以有效降低IP地址非法使用所带来的危害 。
4 治理建议
a.普通用户明白非法使用IP地址所产生的危害和处罚措施，制定并实施严格的IP地址治理制度，包括：IP地址申请和发放流程，IP地址变更流程，临时IP地址分配流程，机器MAC地址登记治理，IP地址非法使用的处罚制度 。
b.非法使用IP的行为，总是内部网络少数人的行为 。因此，对于已经建成的网络，治理员要根据当前存在的问题，有针对性的运用技术措施，重点阻止个别用户的非法行为 。
推荐阅读
- 【网管成长历程】如何合理规划局域网
- 【网管成长历程】详解局域网设计过程
- 以太网交换机端口被环引起整个局域网瘫痪一例
- 三层交换主宰局域网
- 局域网交换机维护
- 配置Cisco局域网交换机配置概述
- 局域网交换技术
- 局域网交换机的配置与选购扩展功能
- 局域网交换机的配置与选购基础知识
- 局域网交换机的配置与选购指南