改个IP地址，看着是件小事，可真出问题的时候一点都不小。
有人把地址改成和网关冲突的，整个网段都能瘫；有人改地址，就是为了绕开管控、换个身份上网。
想真正管住，光在系统里点一下禁用网络设置，远远不够。
一、为什么要管私自改IP
先想清楚风险在哪，才知道这事值不值得花力气。
1. 地址冲突，整段断网
内网地址是统一规划的，谁改了，可能就和别人撞车。
一撞车，轻则一两台掉线，重则整个网段都上不去。
2. 绕过管控与行为审计
上网行为管控、流量审计往往是按地址和身份来对应人的。
地址一改，原本指向他的策略和记录就全乱套了，管控形同虚设。
3. 出事难溯源
日志里记的是地址，人换过地址，这两者对不上，追责就断了线。
查不到人，制度也就没什么威慑力。
二、三道闸：权限收紧、地址绑定、准入校验
管住改地址这件事，本质上要三道闸一起上。
1. 第一道：权限收紧
把终端上的网络设置入口锁住，普通账号改不了地址。
这一步能挡住大部分顺手一改的人，但挡不住有心绕开的人。
2. 第二道：地址绑定
让地址和设备一一对应，谁该用哪个地址是固定的，改了就不匹配。
地址和设备的对应关系放在管理端，终端说了不算。
3. 第三道：准入校验
设备接入前先校验，地址对不上、配置不合规的，直接不放行。
就算前两道被人绕过去了，这一道还能兜住。
链路里每一步都留痕，出问题时倒着查一遍，就能定位到是哪一环没兜住。
三、具体怎么落地
三道闸拆开看，各有各的做法。
1. 系统层：锁住网络设置入口
把网络配置项设为只读，普通账号看不到、也改不动。
同时把相关操作记下来，谁动过配置一眼就能看到。
2. 网络层：按设备下发地址
地址由管理端按设备统一下发，终端不再自己填。
配合地址与设备的绑定关系，改了也连不上。
3. 管控层：异常变更即告警
一旦发现地址被改动、或者出现异常地址，立刻告警并可按策略限制接入。
告警要带上设备、时间、原地址和新地址，方便快速判断。
四、上线前要注意的三件事
这几步没做好，很容易好心办坏事。
1. 预留例外
笔记本外出、临时调试这类场景，确实需要临时改地址，要留出申请通道。
一刀切禁死，最后往往被上有政策下有对策绕开。
2. 保留回退
策略上线前先小范围试，确认不影响业务再铺开，并留好回退办法。
真出了大面积连不上的情况，能马上退回去才是稳妥。
3. 先告知后执行
提前把规则和原因讲清楚，让员工知道这不是为了卡人，是为了网络稳定。
事先说清楚，比事后解释省事得多。
五、小结
管住私自改IP，靠的不是某一个开关，而是改不动、改了没用、改了就告警这三层叠加。
权限收紧、地址绑定、准入校验三道闸一起上，才能既保住网络的稳定，又不至于把正常办公给管死。
责编：安企神-小赵
