如何迫使网络机器从DHCP服务器获取ip？

Question

如何强制所有网络机器从DHCP服务器获取IP，并阻止它们手动编辑网络配置。有Linux和Windows机器。DHCP服务器是Debian。目前，它的工作，但如果有人手动设置IP从他们的机器，我们有一个问题。

我的路由器不能通过安装像DDWRT这样的东西来强制DNS。我们使用IP电视，路由器嵌入了这些设置。不能改变它。没有路由器的帮助，我怎么能做到这一点？

Answer 1

你不能控制别人的电脑。如果其他人对机器拥有“管理员”或超级用户级别的访问权限，那么所有的赌注都取消了。

你最好在网络里这样做，在那里你可以控制一切。我看到你说的是“路由器的帮助”(...without the help of the路由器)，但使用网络设备执行网络策略会给你带来积极结果的最佳机会。

如果我要自己把这些放在一起，我会考虑使用像石柱这样的东西来警告MAC/IP对的更改。如果您愿意花时间编写脚本(显然还有托管交换机)，您甚至可以绑定脚本来定位和禁用托管交换机上的端口。

Answer 2

首先，您必须使用托管交换机。如果您没有使用托管交换机，那么没有什么可以阻止在单个计算机上拥有足够特权的人仅仅欺骗另一台计算机的MAC地址。一旦MAC地址被欺骗，就无法区分两者之间的区别。

使用托管交换机，您可以使用白名单或黑名单某些组合的交换机端口和MAC地址。您还可以在CAM中安装永久条目，这样交换机就不会根据网络上看到的数据包来学习它们。

这不能防止ARP欺骗，但ARP欺骗是您可以注意的事情。更高级的托管交换机可能具有防止ARP欺骗的功能(如果您正在沿着该路由运行，请确保交换机也可以防止ND欺骗，否则您将得到一些令人讨厌的惊喜)。

或者，您可以使用托管交换机上的VLAN功能。通过在不同的VLAN中放置两个开关端口，它们是完全分开的。这确实意味着您需要一个能够在标记的VLAN之间路由的路由器。

这种方法的一个缺点是，单个主机之间的所有内部通信都必须通过路由器。交换机和路由器之间的连接会很快成为瓶颈。

高端交换机实际上是混合路由器和交换机在同一个芯片上。它是作为交换机还是路由器，完全取决于配置。这可以解决瓶颈问题。您可以重新配置您的交换机作为路由器的行为代替。

如果你想要尽可能多的隔离，这确实是你的方向。忘记开关，只使用路由器。不要购买任何交换机，除非它可以重新配置为路由器。对于许多用例来说，这将是过度的。