背景：校園/企業網常見管控手段
管理員在閘道/伺服器 (Win2K) 綁定 IP-MAC 對應，並設定上網時段控制。使用者若修改 IP 即可嘗試繞過限制。
繞過原理：綁定僅在「閘道側」生效
- IP-MAC 綁定通常在核心交換機/防火牆/Proxy 伺服器強制執行。
- 客戶端修改本機 IP 設定，封包送達閘道時，來源 IP 已變更，若新 IP 未被綁定或未在限制名單中，閘道將允許通行。
- MAC 地址僅在二層網路 (同一廣播域) 傳遞，跨越路由器/閘道後不再攜帶原始 MAC。
實操步驟 (理論驗證)
- 探測 IP 池範圍：如
172.16.0.0/16，掃描找出未使用 IP。
- 掃描存活主機：
172.16.0.1 - 172.16.255.255 全段掃描，避開衝突 IP (引起管理員注意)。
- 優選高位 IP：管理員通常從低位分配，
172.16.255.x 閒置機率高。
- 修改本機 TCP/IP 設定：指定閒置 IP、正確子網遮罩、閘道、DNS。
- 生效方式：
- Win2K/XP/2003：即時生效，無需重啟。
- Win95/98/ME：提示重啟；若有還原卡無法重啟，可「停用/啟用」網卡介面強制生效。
- 驗證：瀏覽器訪問外網，若成功即繞過限制。
管理員防禦對策：從源頭杜絕
方案 1：部署強制 Proxy (ISA Server / Squid + 認證)
- 所有對外流量強制經過 Proxy，Proxy 層面做使用者身分驗證 (帳號/密碼/單點登入)。
- IP-MAC 綁定失效，因 Proxy 只認帳號不認 IP。
方案 2：VLAN 劃分 + 存取控制 (最佳實踐)
- 核心交換機支援 VLAN 時，將每部電腦/教室劃入獨立 VLAN。
- 三層交換機/防火牆配合 ACL，針對 VLAN 做精細時間/流量/內容控制。
- 杜絕二層 ARP 欺騙、IP 衝突、MAC 偽造等繞過手段。
方案 3：802.1X 埠認證
- 交換機開啟 802.1X，使用者必須通過 RADIUS 認證才能獲得網路存取權。
- 未認證埠處於隔離 VLAN，完全無法通訊。
法律與道德提醒
⚠ 警告： 未經授權繞過網路管控措施，可能違反《電腦犯罪條例》、學校/公司網路使用政策、服務條款。本文僅供網管理解繞過原理以部署有效防禦，嚴禁用於非法用途。
結語
IP-MAC 綁定屬「二層管控」，天生無法跨越三層閘道。真正有效的管控必須結合 身分認證 (AAA) + 三層 ACL/VLAN + 應用層 Proxy 多層次防禦。網管者應從「管 IP」轉向「管人、管行為」，才能根治繞過問題。
