Question

如何解决公司局域网内经常有IP地址盗用的问题？？

公司局域网使用静态IP地址，每台主机固定分配一个IP地址，IP地址和主机mac在防火墙上也做了绑定，但是最近经常出现IP地址盗用的现象。
被盗用者显示正在获取IP地址，无法上网，ping这个IP也是不通，arp解析到的mac是另外一台主机在盗用这个IP，然而解析mac显示盗用的主机实际上并没有盗用（仍然还是使用自己的IP）。我统计每次出现盗用IP的主机就是在固定的那么5--6台电脑中，只要拔掉mac解析显示盗用的主机网线（实际没盗用），被盗用的电脑就可以恢复上网。
请问这个问题的原因在哪，如果能解决，必追加赏金！！

Answer 1

典型arp攻击，在所有的电脑上加一个ARP防火墙，可以有效的拦截外部与内部的APR攻击，你既然找到只要拔掉mac解析显示盗用的主机网线（实际没盗用），被盗用的电脑就可以恢复上网。那么就从这台电脑上先入手，用ARP防火检测一下看看是不是中招了。如果是就杀一下。

追问

我给他们装过一个彩影arp单机防火墙，效果不是很明显，依然会出现被盗用的问题。而且对于mac解析显示盗用的主机（实际没盗用），我给他们重装系统后，同样也出现“盗用”

追答

最有效的方法就是排除法。挨的排查，找到后那不用说了，肯定是那几员工搞的鬼，只需要放行对外的ARP就会造成这样的影响。你只能通过行政手段来警告了。告诉他们不允许使用P2P，聚生网管之类网管软件
还有对经常受害的电脑给安装APR并经行双向绑定。

追问

哎，关键是找不到啊，找到就好了

追答

你不是在一根主线上找到的啊，那根线上有几台电脑，你总是知道的吧。而且你也说了MAC都是绑定的。你直接从路由或防火墙上断了那个MAC的地址，让他过来让你。你一个人去找不如让大家找你。

追问

你没看清我的问题描述，arp解析显示盗用的主机，其实他并没有盗用，我断他的网虽然能让被盗用的恢复上网，但没有解决根本问题，我怀疑是不是网络攻击啊

追答

我看清了，绝对的是有人在使用ARP这类的软件在进行限速或攻击，你既然断他的网不能正常上网的电脑能上网，说明还是有人在ARP攻击，不信你可以在出现问题的时候在被怀疑与不能上网的电脑上同时使用APR -A查看
如果不是被怀疑的电脑在ARP那么就说明在这一个网段中还有人使用代理主机来APR
你可以下载聚生网管，使用其中的攻击检查功能，在结合彩影防火墙就能找到对应的MAC 基本上就是那台有问题的电脑。如果出现较多有问题的电脑，那么就在那几台电脑上排除一定会找到的。

Answer 2

买个可以网管的交换机，把ip和mac都绑定了，就不会出现这种情况了。你说的在防火墙上绑定了，是什么意思

追问

用的华为防火墙，可以在上面绑定IP和mac

追答

你绑定了，还被盗用了？？静态的ip地址，怎么会被盗用，除非有人故意弄，将自己的电脑ip地址给更改成别的了，但是真的绑定了的话，ip地址就改不了的，亲。

Answer 3

你要确定你用的是哪种交换机，与该品牌的服务联系一下。各种牌子不同的

追问

我在说电脑主机，和交换机没关系吧，而且交换机也没换过，IP盗用是最近才出现的