打造Linux系统安全 利用MAC原理对IP进行封杀
不久前,一位朋友想把他管理的局域网出口全部进行IP和MAC地址绑定,以防止非法用户上网。该局域网是用Linux实现Internet接入和管理。整个网络包括数栋楼房,分别通过交换机级联到总的Internet出口。网络使用了10.0.0.x到10.0.3.x/255.255.252.0这样的子网,总容量应该有1016(254×4)台主机。目前有大约400位合法上网用户,这些用户可能会随时增减。在Linux系统下,想利用MAC原理对IP进行封杀,从而达到对某个IP地址或IP地址段的管理和控制,可以通过Linux系统提供的ARP来实现。
构思
决定使用ARP绑定后,接下来就要考虑ARP的实现方法。ARP(Address Resolution Protocol)协议是用来向对方的计算机、网络设备通知自己IP对应的MAC地址的。如果所有非法用户都被赋予了错误的MAC地址,那么他们是无法通过这台服务器上网的。因此,ARP绑定要求必须将所有可能的IP地址全部与MAC地址绑定,才能够杜绝非法用户(当然,用户修改MAC地址除外)。
经过一番思索,确定了初步的构思。首先,用Linux Shell的循环方法生成一张包含从10.0.0.1到10.0.3.254的无效MAC地址匹配表,称之为全局表。然后根据DHCP服务器的数据得到一张合法用户的IP和MAC地址表,称之为合法表。接着,读取合法表中每个用户的IP,并在全局表中寻找匹配的IP,如果找到的话就用合法用户的MAC地址替换原来无效的MAC地址。最后,这张全局表中的合法用户匹配正确MAC地址,而非法用户匹配无效的MAC地址。只要用户把这张表写入系统ARP缓存,非法用户就不能通过简单的盗取IP方法来通过网关了。
实现
首先生成一张初始的全局表。它包含所有IP地址,每个IP地址与一个非法的MAC地址匹配。它的格式必须是arp命令能够识别的。初始化全局表的脚本为init,内容如下:
#!/bin/bash
ipprefix=10.0.
count1=0
while (( $count1
do
count2=1
while (( $count2
do
echo“$ipprefix$count1.$count2 00e000000001”
let $count2+=1
done
let $count1+=1
done