CN100454901C - 一种arp报文处理方法 - Google Patents

Abstract

本发明公开了一种ARP报文处理方法，其特征在于，在路由器的转发平面增加ARP过滤线性表和ARP查找线性表；将转发平面接收到ARP请求报文在ARP过滤线性表中查找计算，过滤掉无效的ARP请求报文；把ARP请求报文在ARP查找线性表中查找计算，转发平面直接发送已存在表中的ARP回应报文。通过本发明的提供的方法，提高了路由器对ARP报文的处理能力。

Description

一种ARP报文处理方法

技术领域

本发明涉及数据通讯领域，具体地说，涉及一种ARP报文处理方法。

背景技术

数据链路如以太网或令牌环网都有自己的寻址机制(常常为48bit地址)，这是使用数据链路的任何网络层都必须遵从的。一个网络如以太网可以同时被不同的网络层使用。例如，一组使用TCP/IP协议的主机和另一组使用某种PC网络软件的主机可以共享相同的电缆。

当一台主机把以太网数据帧发送到位于同一局域网上的另一台主机时，是跟据48bit的以太网地址来确定目的接口的。设备驱动程序从不检查IP数据包中的目的IP地址。

地址解析为这两种不同的地址形式提供映射：32bit的IP地址和数据链路层使用的任何类型的地址。

ARP为IP地址到对应的硬件地址之间提供动态映射。之所以用动态这个词是因为这个过程是动态完成的，一般应用程序用户或系统管理员不必关心。

ARP高速运行的关键是由于每个主机上都有一个ARP高速缓存。这个高速缓存存放了最近IP地址到硬件地址之间的映射记录。高速缓存中每一项的生存时间一般为20分钟，起始时间从被创建是开始算起。高速缓存中表项的建立有两种方式：第一，当主机收到目的IP地址是本机的ARP请求报文时，根据ARP报文中源IP地址，源硬件地址建立ARP高速缓存表项；第二，主机发送ARP请求，并收到对端主机的ARP回应报文，建立对端主机对应的ARP高速缓存。

对于路由设备，特别是BAS设备，也存在ARP高速缓存表项，简称ARP表项。路由设备的ARP表项管理与主机ARP表项管理最大区别在于ARP表项生存周期到期时的处理方式，主机的处理方式是直接删除该ARP表项，而路由设备处理方式是ARP表项到期时会发送ARP请求报文去探测该ARP表项对应的设备是否还在线，如果该设备还在线，它会响应路由设备的ARP请求报文，当路由设备收到响应报文时会更新该ARP表项的生存周期；如果该设备不在线，就没有设备响应路由设备发送出来的ARP请求报文，路由设备将删除该ARP表项。那么路由设备这种处理方式的好处在于：如果对端设备一直在线，那么路由设备的ARP表项就一直不会删除，这样可以保持网络一直处于连接状态，避免出现路由设备因为解析不到ARP表项而发送ARP请求从新学习ARP表项。

现在的路由设备为了加快转发速度，一般分为控制平面和转发平面。控制平面由软件实现，负责用户管理，转发平面所需要的各种表项的生成；转发平面由硬件实现，转发平面根据控制平面下发各种表项，决定报文的处理方式，包括转发，丢弃，上交控制平面处理等。上述的ARP表项是由控制平面负责创建与维护的，转发平面在转发过程中会使用ARP表项将网络层地址映射到链路层地址来完成转发。

控制平面对ARP表项的创建有以下几种方式：第一，本设备控制平面收到对端设备的ARP请求报文；第二，本设备控制平面往外发送报文，当无法解析到ARP表项时，主动发送ARP请求报文学习对应的链路层信息，如果对端设备响应了ARP请求，本设备就创建对应的ARP表项；第三，本设备转发平面转发报文，当无法解析到ARP表项时，转发平面将报文上交给控制平面处理，控制平面采用上述第二种处理流程来建立ARP表项。

在第一种处理流程中，本设备对于对端设备的ARP请求报文处理流程是，因为只有转发平面与物理接口相连，所以ARP请求报文必须通过转发平面才能送给控制平面，ARP请求报文到达控制平面后，检查ARP请求的目的IP地址与报文接收接口的IP地址是否相同，如果不同说明该ARP请求报文不是发送给本设备的，丢弃报文；如果相同，使用ARP请求报文种的源IP地址查找本设备的ARP表，若查找到ARP表项，更新该ARP表项的生存周期，并发送ARP响应报文给对端设备，若没有找到ARP表项，创建新的ARP表项。

上述控制平面对于ARP请求报文处理流程，由于控制平面由软件实现，转发平面由硬件实现，硬件处理速度比软件处理速度快得多，因此软件处理速度必然是一个瓶颈，如果硬件收到很多无效的ARP请求报文，如：ARP请求报文的目的IP地址不是接收接口的IP地址，那么软件资源都消耗在这种无效的处理中，其他的业务都无法进行。而实际的网络情况是，这种无效的ARP请求报文比较多，而且有可能是恶意的ARP攻击报文，这样势必会影响路由器的处理能力。

现有技术中针对上述无效ARP请求报文会影响控制处理能力，现有一般处理方法是，对转发平面上交控制平面的报文分优先级处理，降低ARP请求报文的优先级，并且限制ARP请求报文从转发平面上交给控制平面的速度，这样就可以保证网络中大量的无效ARP请求报文不会影响路由设备的处理能力。

现有技术的缺点为，这种降低转发平面上交软件平面的ARP请求报文优先级和限制速度的方法，在一定程度上可以减小无效ARP请求报文对于软件的冲击，但是同时也牺牲了设备对ARP请求报文处理能力，ARP是路由设备最基本的功能之一，如果ARP的处理能力不行，势必会影响整个设备的性能。

发明内容

本发明目的在于提出一种ARP报文处理方法，解决了当存在大量无效ARP报文的时候，路由器处理能力变差的问题。

一种ARP报文处理方法，在路由器的转发平面增加ARP过滤线性表，转发平面根据接收到的ARP请求报文在ARP过滤线性表中查询计算，如果ARP报文是无效的，则丢弃该ARP请求报文。

ARP过滤线性表字段包括目的IP地址、源IP地址、接口标识、目的IP地址掩码、源IP地址掩码和接口标识掩码。

所述转发平面根据接收到的ARP请求报文在ARP过滤线性表中查询计算，具体步骤为：

a1.转发平面收到ARP请求报文后，从ARP请求报文中取出目的IP地址、源IP地址和接口标识构造成A；

a2.转发平面取出已存在于转发平面内部的线性表中的一个线性表项B，将B划分为由目的IP地址、源IP地址和接口标识组成的C和由目的IP地址掩码、源IP地址掩码和接口标识掩码组成的D；

a3.将D与A做按位与运算，将计算的结果与C比较，如果不相等，则取出下一个线性表项重复上面的比较操作，若到线性表结束都没有相等的表项，则丢弃该报文；如果比较相等，则上交控制平面处理。

本方案的更优化方案为，在路由器的转发平面增加ARP查找线性表，如果所述ARP报文是有效的，则根据接收到的ARP请求报文在ARP查找线性表中查找计算，如果ARP请求报文在ARP查找线性表中匹配成功，则由转发平面直接发送ARP回应报文；如果匹配不成功，则转发平面将该ARP请求报文转发给控制平面处理。

ARP查找线性表字段包括曾发送过ARP请求报文的设备的IP地址。

所述根据接收到的ARP请求报文在ARP查找线性表中查找计算的具体步骤为：

b1.转发平面根据这个ARP请求报文目的IP地址查找对应的ARP查找线性表；

b2.遍历所述线性表，比较这个ARP请求报文的源IP地址是否与该线性表中的某个表项相同，若遍历完线性表都没有找到相同的表项，则转发平面将这个ARP请求报文上交控制平面处理；若找到，则转发平面发送ARP回应报文。

回应报文可由APR请求报文修改得到，具体修改方法是将源硬件地址填本设备的硬件地址，目的硬件地址填ARP请求报文的源硬件地址，将ARP报文中的源IP地址与目的IP地址的数据交换，将ARP报文类型由请求报文修改成回应报文类型。

本发明通过使用转发平面预处理ARP报文，同时在转发平面设置ARP过滤线性表，过滤大量无效的ARP报文，减少软件平面需要处理的ARP报文的数量，从而提高路由器对ARP报文的处理能力；此外还设置ARP查找线性表，对于符合ARP查找线性表条件的ARP报文，直接由转发平面进行处理，缩短ARP报文的处理时间，提高路由器对ARP报文的处理能力。

附图说明

图1为本发明中硬件过滤ARP请求报文使用的表项结构；

图2为本发明中硬件查找ARP表项使用的表项结构；

图3为本发明中硬件对ARP报文处理流程示意图

具体实施方式

为使本发明的目的、技术方案、及优点更加清楚明白，以下参照附图并举实施例，对本发明进一步详细说明。

本发明的基本思路为，如图3所示，转发平面收到ARP请求报文，然后取出目的IP地址、源IP地址和接口标识，构造成ARP过滤线性表的前半部分；然后遍历整个ARP过滤线性表，查看该接收的ARP报文是否合法，如果不合法，则丢弃报文；如果合法，则根据报文接收接口找到该接收到的ARP报文对应的ARP查找线性表，遍历该ARP查找线性表，查询ARP查找线性表中是否存在该接收到的ARP报文对应的ARP表项，如果不存在，则把该接收到的ARP报文上交控制平面处理；如果存在，则发送ARP回应报文。

硬件转发平面过滤无效ARP请求报文的过程的具体描述如下，这里所谓无效ARP指的是ARP请求报文的目的IP地址与报文接收接口的IP地址不相同。如果硬件转发平面要过滤这种报文，转发平面必须知道每个接口的标识以及接口对应的IP地址。设计硬件过滤ARP请求报文所需要的ARP过滤线性表项如图1。转发平面内的ARP过滤线性表中存在一个或者多个图1所示的表项，使用线性表主要考虑到实现简单，硬件查找速度快，不会因为查找速度影响效率。如图1可以看出该表分为两个部分，前半部分(12个字节)存放目的IP地址、源IP地址和报文接收接口标识，这部分做为表项查找的关键字，后半部分(12个字节)存放的是前半部分的掩码，这样做可以增强表项查找的灵活性，可以对前半部分中的目的IP地址、源IP地址和接口标识做部分检查。

转发平面收到ARP请求报文后，从ARP请求报文中取出目的IP地址、源IP地址和接口标识构造成线性表项的前半部分A，接着用A与已存在于转发平面内部的ARP过滤线性表中的每一项进行比较，比较的方法是，取出已存在于转发平面内部的线性表中的一个线性表项B，则B是由线性表项的前半部分C和线性表项的后半部分D(掩码部分)构成的，使用D与A做按位与运算，计算的结果与C做是否相等比较，如果不相等，则取出下一个线性表项重复上面的比较操作，若到线性表结束都没有相等的表项，说明是无效的ARP报文，丢弃该报文；如果比较相等，说明是有效的ARP请求报文，可以上交控制平面处理。

上面讲到了转发平面如何过滤无效的ARP请求报文，转发平面能够做出正确地判断关键是有线性表的存在，那么线性表中的表项内容及其创建步骤如下：线性表项的内容包括目的IP地址、源IP地址、接口标识、目的IP地址掩码、源IP地址掩码和接口标识掩码。目的IP地址，实际应该理解成ARP报文接收接口的IP地址；源IP地址，因为ARP协议规定，对于ARP请求报文的接收接口来说，该接口接收到的ARP请求报文的源IP地址必须与该接口在相同网段，那么可以认为线性表中的源IP地址即为接口IP地址的子网网段地址；接口标识，即本设备用于标识该接口的编号。可以看出，线性表项的所以结构都与接口配置的IP地址相关，实际上该线性表中的各个表项就是在接口配置IP地址的时候创建，目的IP地址即为接口配置的IP地址，源IP地址即为接口的子网地址(接口IP地址与掩码做按位与运算的结果)，接口标识即为接口的编号。同样在删除接口IP地址时可以删除该表项。

这种IP地址加掩码的线性表结构还可以更灵活的使用，如：若接口需要做ARP代理，所谓ARP代理指的是通过该接口把两个网络相连，那么该接口就需要接收目的地址是该接口子网网段内的ARP请求报文，此时转发平面内的ARP过滤线性表里的一个表项的目的IP地址就为接口IP地址与接口子网掩码做按位与运算的结果，这样转发平面在做ARP请求报文检查时就可以把目的地址属于该接口子网的ARP报文都交由控制平面处理。

转发平面响应ARP表项中存在的ARP请求报文的过程的具体描述如下，首先转发平面必须知道该接口所有的ARP表项，所以设计如图2所示表项结构用于转发平面查找ARP表项。

每个接口保存一份由图2所示的表项构成的线性表，每个表项为一个4字节的IP地址。这个线性表中的IP地址指的是发送ARP请求报文的设备的IP地址。有了该线性表后，转发平面收到ARP请求报文后，先做无效ARP过滤检查，即检查ARP请求报文是否是发送给自己的，如果能通过检查，则说明ARP请求报文的目的IP地址是接收接口的IP地址，源IP地址是接收接口子网网段内的地址。然后，根据这个ARP请求报文目的IP地址在该接口中找到对应的ARP查找线性表，然后遍历线性表，比较这个ARP请求报文的源IP地址是否与ARP线性表中的某个表项相同，若遍历完线性表都没有找到与ARP请求报文的源IP地址相同的表项，则说明这是一个新的表项，即该ARP请求报文的源IP地址并没有登记在控制平面的地址解析表中，于是，转发平面把这个ARP请求报文上交控制平面处理；如果这个ARP报文的源IP地址在ARP线性表中找到与之相同的表项，此时转发平面需要发送ARP回应报文，回应报文的构造方法可以在请求报文的基础上修改，具体修改方法是把源硬件地址填本设备的硬件地址，目的硬件地址填ARP请求报文的源硬件地址，调换ARP报文中的源IP地址与目的IP地址，把ARP报文类型由请求报文修改成回应报文类型，然后发送该报文。

该线性表的创建的过程如下，控制平面收到ARP请求报文或者ARP回应报文后，建立控制平面内的软件ARP表项成功后，根据报文接收接口找到对应的转发平面的ARP线性表，然后新增加一个ARP线性表项；相反当控制平面删除本平面内一个ARP表项时，同样要删除相应的转发平面的ARP线性表项。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (6)

1、一种ARP报文处理方法，其特征在于，在路由器的转发平面增加ARP过滤线性表，转发平面根据接收到的ARP请求报文在ARP过滤线性表中查询计算，如果ARP报文是无效的，则丢弃该ARP请求报文；

如果所述ARP报文是有效的，则根据接收到的ARP请求报文在已预先建立的ARP查找线性表中查找计算，如果ARP请求报文在ARP查找线性表中匹配成功，则由转发平面直接发送ARP回应报文；如果匹配不成功，则转发平面将该ARP请求报文转发给控制平面处理。

2、根据权利要求1所述的一种ARP报文处理方法，其特征在于：ARP过滤线性表字段包括目的IP地址、源IP地址、接口标识、目的IP地址掩码、源IP地址掩码和接口标识掩码。

3、根据权利要求1或2所述的一种ARP报文处理方法，其特征在于：所述转发平面根据接收到的ARP请求报文在ARP过滤线性表中查询计算，具体步骤为：

a1.转发平面收到ARP请求报文后，从ARP请求报文中取出目的IP地址、源IP地址和接口标识构造成A；

a2.转发平面取出已存在于转发平面内部的过滤线性表中的一个线性表项B，将B划分为由目的IP地址、源IP地址和接口标识组成的C和由目的IP地址掩码、源IP地址掩码和接口标识掩码组成的D；

a3.将D与A做按位与运算，将计算的结果与C比较，如果不相等，则取出下一个线性表项重复上面的比较操作，若到线性表结束都没有相等的表项，则丢弃该报文；如果比较相等，则上交控制平面处理。

4、根据权利要求1所述的一种ARP报文处理方法，其特征在于：ARP查找线性表字段包括曾发送过ARP请求报文的设备的IP地址。

5、根据权利要求1所述的一种ARP报文处理方法，其特征在于：所述根据接收到的ARP请求报文在ARP查找线性表中查找计算的具体步骤为：

b1.转发平面根据这个ARP请求报文目的IP地址查找对应的ARP查找线性表；

b2.遍历所述查找线性表，比较这个ARP请求报文的源IP地址是否与该查找线性表中的某个表项相同，若遍历完所述查找线性表都没有找到相同的表项，则转发平面将这个ARP请求报文上交控制平面处理；若找到，则转发平面发送ARP回应报文。

6、根据权利要求5所述的一种ARP报文处理方法，其特征在于：回应报文可由APR请求报文修改得到，具体修改方法是将源硬件地址填本设备的硬件地址，目的硬件地址填ARP请求报文的源硬件地址，将ARP报文中的源IP地址与目的IP地址的数据交换，将ARP报文类型由请求报文修改成回应报文类型。

Images