注:  1.不喜请勿下
      2.未满十八岁青年请在家长的指导下观看

种子下载

攻击者为什么能够对网络进行攻击和入侵呢？原因在于，我们的计算机网络中存在着可以为攻击者所利用的安全弱点、漏洞以及不安全的配置，主要表现在操作系统、网络服务、TCP/IP协议、应用程序（如数据库、浏览器等）、网络设备等几个方面。正是这些弱点、漏洞和不安全设置给攻击者以可乘之机。另外，由于大部分网络缺少预警防护机制，即使攻击者已经侵入到内部网络，侵入到关键的主机，并从事非法的操作，我们的网管人员也很难察觉到。这样，攻击者就有足够的时间来做他们想做的任何事情。

那么，我们如何防止和避免遭受攻击和入侵呢？首先要找出网络中存在的安全弱点、漏洞和不安全的配置；然后采用相应措施堵塞这些弱点、漏洞，对不安全的配置进行修正，最大限度地避免遭受攻击和入侵；同时，对网络活动进行实时监测，一旦监测到攻击行为或违规操作，能够及时做出反应，包括记录日志、报警甚至阻断非法连接。

IDS的出现，解决了以上的问题。设置硬件防火墙，可以提高网络的通过能力并阻挡一般性的攻击行为；而采用IDS入侵防护系统，则可以对越过防火墙的攻击行为以及来自网络内部的违规操作进行监测和响应。

IDS日显重要

目前，随着IDS技术的逐渐成熟，在整个安全部署中的重要作用正在被广大用户所认可和接受。为了确保网络安全，必须建立一整套的安全防护体系，进行多层次、多手段的检测和防护。IDS就是安全防护体系中重要的一环，它能够及时识别网络中发生的入侵行为并实时报警。IDS是继“防火墙”、“信息加密”等传统安全保护方法之后的新一代安全保障技术。它监视计算机系统或网络中发生的事件，并对它们进行分析，以寻找危及机密性、完整性、可用性或绕过安全机制的入侵行为。IDS就是自动执行这种监视和分析过程的安全产品。

IDS的主要优势是监听网络流量，不会影响网络的性能。虽然在理论上，IDS对用户不是必需的，但它的存在确实减少了网络的威胁。有了IDS，就像在一个大楼里安装了监视器一样，可对整个大楼进行监视，用户感觉很踏实，用IDS对用户来说是很值得的。

入侵检测系统作为一种积极主动的安全防护工具，提供了对内部攻击、外部攻击和误操作的实时防护，在计算机网络和系统受到危害之前进行报警、拦截和响应。它具有以下主要作用：通过检测和记录网络中的安全违规行为，惩罚网络犯罪，防止网络入侵事件的发生；检测其他安全措施未能阻止的攻击或安全违规行为；检测黑客在攻击前的探测行为，预先给管理员发出警报；报告计算机系统或网络中存在的安全威胁；提供有关攻击的信息，帮助管理员诊断网络中存在的安全弱点，利于其进行修补；在大型、复杂的计算机网络中布置入侵检测系统，可以显著提高网络安全管理的质量。

随着用户对IDS认识的加深，IDS在整个安全体系架构中的地位也在不断提高，正成为一种必不可少的安全产品，在实际使用中，发挥着越来越大的作用，就像交通灯、摄像头一样，对攻击者起到了一种威慑的作用，能够对入侵行为，特别是常规的入侵行为做很好的监测，对网络安全有一定的保护作用。

IDS是什么

在本质上，入侵检测系统是一个典型的“窥探设备”。它不跨接多个物理网段（通常只有一个监听端口），无须转发任何流量，而只需要在网络上被动地、无声息地收集它所关心的报文即可。IDS处理过程分为数据采集阶段、数据处理及过滤阶段、入侵分析及检测阶段、报告以及响应阶段等四个阶段。数据采集阶段是数据审核阶段。入侵检测系统收集目标系统中引擎提供的主机通讯数据包和系统使用等情况。数据处理及过滤阶段是把采集到的数据转换为可以识别是否发生入侵的阶段。分析及检测入侵阶段通过分析上一阶段提供的数据来判断是否发生入侵。这一阶段是整个入侵检测系统的核心阶段'根据系统是以检测异常使用为目的还是以检测利用系统的脆弱点或应用程序的BUG来进行入侵为目的，可以区分为异常行为和错误使用检测。报告及响应阶段针对上一个阶段中进行的判断做出响应。如果被判断为发生入侵，系统将对其采取相应的响应措施，或者通知管理人员发生入侵，以便于采取措施。最近人们对入侵检测以及响应的要求日益增加，特别是对其跟踪功能的要求越来越强烈。

目前，IDS分析及检测入侵阶段一般通过以下几种技术手段进行分析：特征库匹配、基于统计分析和完整性分析。其中前两种方法用于实时的入侵检测，而完整性分析则用于事后分析。

特征库匹配就是将收集到的信息与已知的网络入侵和系统误用模式数据库进行比较，从而发现违背安全策略的行为。该过程可以很简单（如通过字符串匹配以寻找一个简单的条目或指令），也可以很复杂（如利用正规的数学表达式来表示安全状态的变化）。一般来讲，一种进攻模式可以用一个过程（如执行一条指令）或一个输出（如获得权限）来表示。

该方法的一大优点是只需收集相关的数据集合，显著减少系统负担，且技术已相当成熟。它与病毒防火墙采用的方法一样，检测准确率和效率都相当高。但是，该方法存在的弱点是需要不断升级以对付不断出现的黑客攻击手法，不能检测到从未出现过的黑客攻击手段。

统计分析方法首先给信息对象（如用户、连接、文件、目录和设备等）创建一个统计描述，统计正常使用时的一些测量属性（如访问次数、操作失败次数和延时等）。测量属性的平均值将被用来与网络、系统的行为进行比较，任何观察值在正常偏差之外时，就认为有入侵发生。例如，统计分析可能标识一个不正常行为，因为它发现一个在晚八点至早六点不登录的账户却在凌晨两点试图登录，或者针对某一特定站点的数据流量异常增大等。其优点是可检测到未知的入侵和更为复杂的入侵，缺点是误报、漏报率高，且不适应用户正常行为的突然改变。

完整性分析主要关注某个文件或对象是否被更改，包括文件和目录的内容及属性，它在发现被更改的、被特络伊化的应用程序方面特别有效。完整性分析利用强有力的加密机制，称为消息摘要函数（例如MD5），能识别极其微小的变化。其优点是不管模式匹配方法和统计分析方法能否发现入侵，只要是成功的攻击导致了文件或其他对象的任何改变，它都能够发现。缺点是一般以批处理方式实现，不用于实时响应。

　　本方案是针对集团企业进行电子交易管理的完整电子商务平台解决方案。网上电子商务系统，是以服务于集团企业的业务过程优化再造为目标，全面提升信息系统的技术内涵，实现“以产品为中心向以客户服务为中心”的战略转移，达到对外充分适应、快速反应，对内高效沟通、快速决策。

　　作为经营战略的重要部分，很多大型企业已经开始借助互联网的力量，建立部署自己的网络交易平台。基于INTERNET的交易管理和销售平台，将给企业带来了无限商机，同时对企业的管理和经营提出了更高的要求。信息是影响企业管理和经营决策的命脉，实现了对信息的有效控制，就可以建立更加合理的客户关系，建立完善的供应体系、分销体系，使企业对物流和资金流的运转具有更高质量的控制，对市场的预测更加科学准确，从而提高企业的市场竞争能力。实现集团企业信息流、物流与金流“三流合一”将是大型企业信息化发展的目标。

　　实现网络交易和业务

　　对于以网络交易为主的企业来说，通过INTERNET平台拓展、整合业务是加快发展的必由之路。通过更新管理思想、优化业务流程、降低管理成本，实现对销售体系更全面、更及时、更有效的监控、分析和利用。使企业能迅速掌握信息，并对市场需求的变化做出反应。从而增进了公司与下级经销商及客户间的联系，以最短的供应链、最快的反应速度、最低的成本、个性化的产品、方案与服务，提高客户满意度，改善市场销售状况，有效降低渠道成本，提高企业的盈利能力。

　　实现多点信息互动

　　建立在企业内部网络的基础上，充分利用了INTERNET的覆盖能力，连接了企业的各个分支机构，建立基于全国范围的企业内部信息交互、和资源共享的网络，紧密结合企业的业务流转过程和管理过程。

　　建立完整的交易体系

　　从与客户第一次接触开始，围绕商机、谈判、合同、产品、定货、运输、交付等各个业务环节，进行有效的管理，帮助企业控制销售业务的业务过程，改善市场销售状况，有效降低渠道成本，提高企业的盈利能力。

　　以完整的仓储、物流管理作为支撑

　　灵活、简单、易管理的仓储和物流系统，是企业分销体系管理的基本要求，合理的仓储管理能够帮助企业有效地组织货源，调节产品的进货与销售之间的时间差，保证市场的需求，降低库总量，减少了资金的占用。

　　加强客户关系的管理

　　通过业务过程，收集最终客户和中间商的基本信息和完整的业务流程信息，定期分析，为客户提供在其购买产品的生存周期内的，完整的全过程服务。

　　二、系统功能

　　网上销售B2B

　　现代市场营销观念是以营销者更好地满足目标顾客的需要和欲望为出发点的。但是，在技术和成本限制的“双刃剑”下，营销者只能将目标顾客作为一个群体去看待，提供的只能是类似的产品和服务，无法实现针对目标顾客个人的营销及服务。网络技术的飞速发展，使得有关数据库处理的硬件和软件成本大幅下降，这就为企业(甚至较小的营销者)采用网络营销，搜集、编辑、整理和分析其目标顾客的数据资料，进而能够以目标化的互动传输方式为客户提供个性化的产品和服务创造条件。这不仅有利于满足单个顾客的物质需要，而且更能使顾客感到个人价值的实现和心理上的愉悦。

　无忧网络根据自己多年的电子商务应用实践和Internet/Intranet应用开发经验，结合国际先进技术和国内企业的特点，开发了一套功能齐全的网上销售B2B电子商务解决方案。 该系统以其简易而功能强大的接口让使用者透过网络轻松的建立并管理自设的网络商店。企业可通过它建立自己独有的网上交易平台，为消费者提供安全、便捷的购物方式，为商家提供交易处理和丰富的管理统计功能，并且该系统支持多种商家接入方式和支付手段。并且具有用户界面友好、使用简洁、维护方便、稳定可靠、易于扩展等特点。

　　B2B电子商务则是企业谋生存、求发展的必由之路。通过一个由Internet支撑的网上平台，将提供企业提高效率、速度、改革并创造新价值的新的驱动途径。B2B电子商务是一个以信息交换为技术基础、以价值链的理论系统为理论基础的一个在供应商、生产商、销售商、用户、银行等之间建立起价值链转移、多方共赢的生态圈的综合电子商务平台。

　　网上销售B2B电子商务系统有以下功能模块：互动型营销网络业务平台、统一的用户认证系统、营销业务管理、网上业务流程、商品目录管理、实时信息交互、信用销售与风险控制、事务警示处理系统、市场信息管理、决策支持管理以及通用的销售管理、订单管理、退/换货处理、库存管理、信息中心、与分销商兼容和财税管理等。

　　网上销售B2C

　　网上销售B2C系统是企业为最终用户提供的网上销售企业产品的系统。具有先进完备的网上购物功能和强大的后台管理功能。企业可以利用本系统迅速建起具有网上销售、网上支付、运费计算和订单跟踪等先进功能的电子商务销售系统;同时可利用网上销售B2C的后台管理系统维护和运作网上商务。为企业提供操作简便、灵活维护的网上产品销售工具。

　　网上销售B2C系统是企业的零距离网上直销，实现基于web的产品定制与导购功能。网上销售B2C系统的功能模块包括面向客户的前台模块，如商品查询、购物管理、订单跟踪、售后服务、电子支付等，以及后台管理模块，如管理员账户管理、订单管理、用户管理、产品管理、折扣管理、定制管理等。电子商务平台不仅拥有强大的电子商务功能，而且具有了使电子商务向智能化、个性化、定制化发展的巨大潜力。

　　网上集市

　　网上集市将买卖双方联系在一起从而大大提高市场效率，并最大限度地消除由于信息的不透明甚至不可获得而产生的不合理采购流程。特别是对于相对分散的行业，电子集市为买卖双方所带来的方便和经济效益更为明显。这方面最好的例子莫过于波音飞机公司的PART系统，这一以中介服务功能为主的电子集市将波音公司在全球的客户(航空公司)和该公司300家主要的零部件供应商联系在一起，一旦客户需要某一维修部件，PART系统能自动将这一需求通知该部件的供应商，从而使客户很快获得报价和库存信息，并通过该系统订货和查询订单信息。

　　无忧网络认为：一个富有活力和广阔发展空间的电子商务解决方案，不应该是一个简单的功能叠加，而必须是一个集成了信息平台+服务平台+交易平台的全功能的场所，而且，这个方案还应该是开放与通用、立体与智能的网状商业贸易平台，能够使企业的内部资源管理系统与外部商业环境实现无缝的连接，使企业对内、外部资源进行整合的把握，我们称之为电子化网上集市。

　　为满足企业利用Internent实现对供应商、分销商及合作伙伴之间的在线交易、信息交流等各类电子商务需求。该电子化交易市场作为紧密连结着分散的买卖双方的枢纽，允许买卖双方实时协作，并不受时间地域行业的限制，在技术与标准的支撑下，它能够协助企业以最快的速度迎接外来的变化并迅速捕捉商机，所以是诸多电子商务模型中最为开放和活跃的，也必将成为未来成本、速度竞争的商业模式中最根本的环节和最主要的、最普遍的交易方式。

　　三、方案特点

　　构建完整的业务和交易体系

　　除了展现在客户端浏览器“可见”的业务以外，根据业务需要为客户提出了完整的前后台业务系统技术解决方案，包括对企业间交易、产品采购、销售管理、库存管理、业务过程监控等各方面。

　　实现业务过程可跟踪

　　销售人员和管理人员在整个业务过程中可以实时监控各种业务运转情况和事件，系统提供多种查询跟踪功能，帮助企业避免问题的发生。例如：订单是否需要加快执行，供应商是否有交货问题。物料在收货时是否有特别注意的事项，协议是否已近到期日，是否需要重新谈判等。

　　1. 为路由器间的协议交换增加认证功能，提高网络安全性。

　　路由器的一个重要功能是路由的管理和维护，目前具有一定规模的网络都采用动态的路由协议,常用的有：RIP、EIGRP、OSPF、IS-IS、BGP等。当一台设置了相同路由协议和相同区域标示符的路由器加入网络后，会学习网络上的路由信息表。但此种方法可能导致网络拓扑信息泄漏，也可能由于向网络发送自己的路由信息表，扰乱网络上正常工作的路由信息表，严重时可以使整个网络瘫痪。这个问题的解决办法是对网络内的路由器之间相互交流的路由信息进行认证。当路由器配置了认证方式，就会鉴别路由信息的收发方。有两种鉴别方式，其中“纯文本方式”安全性低，建议使用“MD5方式”。

　　2. 路由器的物理安全防范。

　　路由器控制端口是具有特殊权限的端口，如果攻击者物理接触路由器后，断电重启，实施“密码修复流程”，进而登录路由器，就可以完全控制路由器。

　　3. 保护路由器口令。

　　在备份的路由器配置文件中，密码即使是用加密的形式存放，密码明文仍存在被破解的可能。一旦密码泄漏，网络也就毫无安全可言。

　　4. 阻止察看路由器诊断信息。

　　关闭命令如下： no service tcp-small-servers no service udp-small-servers

　　5. 阻止查看到路由器当前的用户列表。

　　关闭命令为：no service finger。

　　6. 关闭CDP服务。

　　在OSI二层协议即链路层的基础上可发现对端路由器的部分配置信息: 设备平台、操作系统版本、端口、IP地址等重要信息。可以用命令: no cdp running或no cdp enable关闭这个服务。

　　7. 阻止路由器接收带源路由标记的包，将带有源路由选项的数据流丢弃。

　　“IP source-route”是一个全局配置命令，允许路由器处理带源路由选项标记的数据流。启用源路由选项后，源路由信息指定的路由使数据流能够越过默认的路由，这种包就可能绕过防火墙。关闭命令如下： no ip source-route。

　　8. 关闭路由器广播包的转发。

　　Sumrf D.o.S攻击以有广播转发配置的路由器作为反射板，占用网络资源，甚至造成网络的瘫痪。应在每个端口应用“no ip directed-broadcast”关闭路由器广播包。

　　9. 管理HTTP服务。

　　HTTP服务提供Web管理接口。“no ip http server”可以停止HTTP服务。如果必须使用HTTP，一定要使用访问列表“ip http access-class”命令，严格过滤允许的IP地址，同时用“ip http authentication ”命令设定授权限制。

　　10. 抵御spoofing(欺骗) 类攻击。

　　使用访问控制列表，过滤掉所有目标地址为网络广播地址和宣称来自内部网络，实际却来自外部的包。 在路由器端口配置： ip access-group list in number 访问控制列表如下： access-list number deny icmp any any redirect access-list number deny ip 127.0.0.0 0.255.255.255 any access-list number deny ip 224.0.0.0 31.255.255.255 any access-list number deny ip host 0.0.0.0 any 注: 上述四行命令将过滤BOOTP/DHCP 应用中的部分数据包，在类似环境中使用时要有充分的认识。
　　11. 防止包嗅探。

　　黑客经常将嗅探软件安装在已经侵入的网络上的计算机内，监视网络数据流，从而盗窃密码,包括SNMP 通信密码，也包括路由器的登录和特权密码，这样网络管理员难以保证网络的安全性。在不可信任的网络上不要用非加密协议登录路由器。如果路由器支持加密协议，请使用SSH 或 Kerberized Telnet，或使用IPSec加密路由器所有的管理流。

　　12.校验数据流路径的合法性。

　　使用RPF (reverse path forwarding)反相路径转发，由于攻击者地址是违法的，所以攻击包被丢弃，从而达到抵御spoofing 攻击的目的。RPF反相路径转发的配置命令为: ip verify unicast rpf。 注意: 首先要支持 CEF(Cisco Express Forwarding) 快速转发。

　　13. 防止SYN 攻击。

　　目前，一些路由器的软件平台可以开启TCP 拦截功能，防止SYN 攻击，工作模式分拦截和监视两种，默认情况是拦截模式。（拦截模式: 路由器响应到达的SYN请求，并且代替服务器发送一个SYN-ACK报文，然后等待客户机ACK。如果收到ACK，再将原来的SYN报文发送到服务器; 监视模式：路由器允许SYN请求直接到达服务器，如果这个会话在30秒内没有建立起来，路由器就会发送一个RST,以清除这个连接。） 首先，配置访问列表，以备开启需要保护的IP地址: access list [1-199] [deny|permit] tcp any destination destination-wildcard 然后，开启TCP拦截： Ip tcp intercept mode intercept Ip tcp intercept list access list-number Ip tcp intercept mode watch

　　14. 使用安全的SNMP管理方案。

　　SNMP广泛应用在路由器的监控、配置方面。SNMP Version 1在穿越公网的管理应用方面，安全性低，不适合使用。利用访问列表仅仅允许来自特定工作站的SNMP访问通过这一功能可以来提升SNMP服务的安全性能。配置命令： snmp-server community xxxxx RW xx ；xx是访问控制列表号 SNMP Version 2使用MD5数字身份鉴别方式。不同的路由器设备配置不同的数字签名密码，这是提高整体安全性能的有效手段。

　　总之，路由器的安全防范是网络安全的一个重要组成部分，还必须配合其他的安全防范措施，这样才能共同构筑起安全防范的整体工程。

注：IP地址与MAC地址的关系： IP地址是根据现在的IPv4标准指定的，不受硬件限制比较容易记忆的地址，长度4个字节。而 MAC地址却是用网卡的物理地址，保存在网卡的EPROM里面，与硬件有关系，比较难于记忆，长度为6个字节。

    虽然在TCP／IP网络中，计算机往往需要设置IP地址后才能通讯，然而，实际上计算机之间的通讯并不是通过IP地址，而是借助于网卡的MAC地址。IP地址只是被用于查询欲通讯的目的计算机的MAC地址。

    ARP协议是用来向对方的计算机、网络设备通知自己IP对应的MAC地址的。在计算机的  ARJ缓存中包含一个或多个表，用于存储IP地址及其经过解析的以太网MAC地址。一台计算机与另一台IP地址的计算机通讯后，在ARP缓存中会保留相应的MAC地址。所以，下次和同一个IP地址的计算机通讯，将不再查询MAC地址，而是直接引用缓存中的MAC地址。

    在交换式网络中，交换机也维护一张MAC地址表，并根据MAC地址，将数据发送至目的计算机。    （转载注明出处n et130）

为什么要绑定MAC与IP 地址：IP地址的修改非常容易，而MAC地址存储在网卡的EEPROM中，而且网卡的MAC地址是唯一确定的。因此，为了防止内部人员进行非法IP盗用(例如盗用权限更高人员的IP地址，以获得权限外的信息)，可以将内部网络的IP地址与MAC地址绑定，盗用者即使修改了IP地址，也因MAC地址不匹配而盗用失败:而且由于网卡MAC地址的唯一确定性，可以根据MAC地址查出使用该MAC地址的网卡，进而查出非法盗用者。

　　目前，很多单位的内部网络，都采用了MAC地址与IP地址的绑定技术。下面我们就针对Cisco的交换机介绍一下IP和MAC绑定的设置方案。

在Cisco中有以下三种方案可供选择，方案1和方案2实现的功能是一样的，即在具体的交换机端口上绑定特定的主机的MAC地址（网卡硬件地址），方案3是在具体的交换机端口上同时绑定特定的主机的MAC地址（网卡硬件地址）和IP地址。

1.方案1——基于端口的MAC地址绑定

思科2950交换机为例，登录进入交换机，输入管理口令进入配置模式，敲入命令：
Switch＃c onfig terminal
＃进入配置模式
Switch(config)# Interface fastethernet 0/1
＃进入具体端口配置模式
Switch(config-if)#Switchport port-secruity
＃配置端口安全模式
Switch(config-if )switchport port-security mac-address MAC(主机的MAC地址)
＃配置该端口要绑定的主机的MAC地址
Switch(config-if )no switchport port-security mac-address MAC(主机的MAC地址)
＃删除绑定主机的MAC地址

注意：
以上命令设置交换机上某个端口绑定一个具体的MAC地址，这样只有这个主机可以使用网络，如果对该主机的网卡进行了更换或者其他PC机想通过这个端口使用网络都不可用，除非删除或修改该端口上绑定的MAC地址，才能正常使用。

2.方案2——基于MAC地址的扩展访问列表

Switch(config)Mac access-list extended MAC10
＃定义一个MAC地址访问控制列表并且命名该列表名为MAC10    （转载注明出处n et130）
Switch(config)permit host 0009.6bc4.d4bf any
＃定义MAC地址为0009.6bc4.d4bf的主机可以访问任意主机
Switch(config)permit any host 0009.6bc4.d4bf
＃定义所有主机可以访问MAC地址为0009.6bc4.d4bf的主机
Switch(config-if )interface Fa0/20
#进入配置具体端口的模式
Switch(config-if )mac access-group MAC10 in
＃在该端口上应用名为MAC10的访问列表（即前面我们定义的访问策略）
Switch(config)no mac access-list extended MAC10
＃清除名为MAC10的访问列表

此功能与应用一大体相同，但它是基于端口做的MAC地址访问控制列表限制，可以限定特定源MAC地址与目的地址范围。

3.方案3——IP地址的MAC地址绑定

只能将应用1或2与基于IP的访问控制列表组合来使用才能达到IP-MAC 绑定功能。    
Switch(config)Mac access-list extended MAC10
＃定义一个MAC地址访问控制列表并且命名该列表名为MAC10
Switch(config)permit host 0009.6bc4.d4bf any
＃定义MAC地址为0009.6bc4.d4bf的主机可以访问任意主机
Switch(config)permit any host 0009.6bc4.d4bf
＃定义所有主机可以访问MAC地址为0009.6bc4.d4bf的主机
Switch(config)Ip access-list extended IP10
＃定义一个IP地址访问控制列表并且命名该列表名为IP10
Switch(config)Permit 192.168.0.1 0.0.0.0 any
＃定义IP地址为192.168.0.1的主机可以访问任意主机
Permit any 192.168.0.1 0.0.0.0
＃定义所有主机可以访问IP地址为192.168.0.1的主机
Switch(config-if )interface Fa0/20
#进入配置具体端口的模式
Switch(config-if )mac access-group MAC10 in
＃在该端口上应用名为MAC10的访问列表（即前面我们定义的访问策略）
Switch(config-if )Ip access-group IP10 in
＃在该端口上应用名为IP10的访问列表（即前面我们定义的访问策略）
Switch(config)no mac access-list extended MAC10
＃清除名为MAC10的访问列表
Switch(config)no Ip access-group IP10 in
＃清除名为IP10的访问列表

上述所提到的应用1是基于主机MAC地址与交换机端口的绑定，方案2是基于MAC地址的访问控制列表，前两种方案所能实现的功能大体一样。如果要做到IP与MAC地址的绑定只能按照方案3来实现，可根据需求将方案1或方案2与IP访问控制列表结合起来使用以达到自己想要的效果。
注意：以上功能在思科2950、3550、4500、6500系列交换机上可以实现，但是需要注意的是2950、3550需要交换机运行增强的软件镜像（Enhanced Image）。

后注：从表面上看来，绑定MAC地址和IP地址可以防止内部IP地址被盗用，但实际上由于各层协议以及网卡驱动等实现技术，MAC地址与IP地址的绑定存在很大的缺陷，并不能真正防止内部IP地址被盗用。

注意：
以上功能在思科2950、3550、4500、6500系列交换机上可以实现，但是需要注意的是2950、3550需要交换机运行增强的软件镜像（Enhanced Image）。