CN101098290A

CN101098290A - 一种在an上实现ip地址防欺骗的装置及其方法

Info

Publication number: CN101098290A
Application number: CNA2006100613839A
Authority: CN
Inventors: 张鹏
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2006-06-29
Filing date: 2006-06-29
Publication date: 2008-01-02
Anticipated expiration: 2026-06-29
Also published as: CN101098290B

Abstract

本发明公开了一种在AN上实现IP地址防欺骗的装置及其方法。该方法包括：由AN根据DHCP协议报文的特征，从接收到的报文中提取出DHCP协议报文，并确定其对应的用户端口信息；由AN侦听DHCP协议报文，从中获取分配给用户主机的配置信息，包括IP地址及其租用期，将该IP地址与所述对应的用户端口信息进行绑定，并结合所述租用期信息以及后续接收的报文，对获取的用户配置信息进行维护；由AN根据所述用户配置信息对接收到的上行报文进行过滤，如果发现该报文中的用户IP地址和端口信息没有绑定在一起，则判定其为非法报文。本发明能够解决在IPoE接入模式下，如果使用DHCP动态主机自动配置协议的话，就存在恶意用户的IP地址欺骗的安全威胁问题。

Description

一种在AN上实现IP地址防欺骗的装置及其方法

技术领域

本发明涉及多媒体业务运营，提供了一种在AN(Access Node，访问节点)上实现IP地址防欺骗的装置及其方法。

背景技术

随着IPTV等越来越多的多媒体新业务的应用，IPoE(IP over Ethernet)逐渐成为一种重要的用户接入方式。不同于数据业务，多媒体业务面向的人群很多对计算机并不了解。他们需要的是‘傻’终端，并需要或者尽量少需要配置就可以使用。因此，很在IPoE模式下，为了减少用户的配置工作量，DHCP(dynamic host configuration protocol，动态主机配置协议)就成为一种最普遍的用户终端自动配置工具。

DHCP最初设计在IP网络上，并没有考虑多少安全性。在接入网络中，如果不考虑安全性，一个恶意用户完全可以使用另外一个用户已经申请的IP地址上网。这样就会影响正常用户的合法上网业务。因此，如果能够在接入网络边缘，也就是接入节点上对非法的IP地址盗用进行检测，并且丢弃检测到的非法业务报文，那么对于可靠、安全的多媒体业务运营，就显得非常的必要和重要了。

发明内容

本发明所要解决的技术问题在于提供一种在AN上实现IP地址防欺骗的装置及其方法，以解决在IPoE接入模式下，如果使用DHCP动态主机自动配置协议的话，就存在恶意欺骗用户的IP地址的安全威胁问题。

为了解决上述问题，本发明提供了一种在AN上实现IP地址防欺骗的装置，应用于IPoE模式下由DHCP自动配置主机的接入网络中，其包括：报文入口模块、DHCP侦听模块、报文过滤模块，其中，

报文入口模块，用于根据DHCP协议报文的特征，从接收到的报文中提取出DHCP协议报文，并将该提取出的报文及其对应的用户端口信息传递至所述DHCP侦听模块，同时将其余的报文发送给所述报文过滤模块；

DHCP侦听模块，用于接收由所述报文入口模块传递来的DHCP协议报文及其对应的用户端口信息，获取分配给用户主机的配置信息，包括IP地址及其租用期，将该IP地址与接收到的对应的用户端口信息进行绑定，并结合所述租用期信息以及后续接收的报文，对获取的用户配置信息进行维护；

报文过滤模块，用于根据所述DHCP侦听模块维护的所述用户配置信息对接收到的上行报文进行过滤，如果发现该报文中的用户IP地址和端口信息没有绑定在一起，则判定其为非法报文。

本发明所述的装置，其中，所述DHCP侦听模块包括：

DHCP协议报文分析模块，用于对各种协议报文进行分析，获取用户配置信息，并对其进行维护；

DHCP信息表记录模块，用于在所述DHCP协议报文分析模块的维护下，记录一个五元组信息表，包括：话路身份，IP地址，租用期，用户端口，MAC地址；

定时器，与所述信息表绑定，每个信息表项都绑定一个定时器，其触发时限由对应表项的租用期字段决定，每当定时器触发时，其对应的信息表表项被删除。

本发明所述的装置，其中，所述DHCP协议报文分析模块，如果其侦听到上行方向的DHCP REQUEST报文，从该报文中提取相关的信息，使用MAC(media access control，媒体访问控制)地址和lport(用户端口，可以是物理端口，也可以是逻辑端口)查看DHCP信息表，如果不存在相应的表项，那么创建一个DHCP信息表表项，否则如果存在相应的表项，那么更新DHCP信息表中的SessionID(话路身份)；

如果其侦听到下行方向的DHCP ACK报文，从该报文中提取相关的信息，使用MAC地址和lport(用户端口，可以是物理端口，也可以是逻辑端口)查看DHCP信息表，如果不存在相应的表项，直接丢弃该报文，否则如果存在相应的表项，那么利用该报文信息更改对应的DHCP信息表表项，填入新的IP地址信息和租用期信息，基于租用期信息创建对应的定时器；

如果其侦听到下行方向的DHCP NAK报文，使用MAC地址和用户端口查看DHCP信息表，删除DHCP NAK报文对应DHCP信息表表项；

如果其侦听到上行方向的DHCP RELEASE报文，使用MAC地址和用户端口查看DHCP信息表，删除DHCP RELEASE报文对应的DHCP信息表表项；

如果其侦听到上行方向的DHCP DECLINE报文，使用MAC地址和用户端口查看DHCP信息表，删除DHCP DECLINE报文对应的DHCP信息表表项。

本发明所述的装置，其中，所述用户端口信息为物理端口信息或逻辑端口信息。

本发明所述的装置，其中，所述逻辑端口信息为PVC(Permanent virtualcircuit，永久虚拟电路)信息。

为了解决上述问题，本发明还提供了一种在AN上实现IP地址防欺骗的方法，应用于IPoE模式下由DHCP自动配置主机的接入网络中，其步骤包括：

由AN根据DHCP协议报文的特征，从接收到的报文中提取出DHCP协议报文，并确定其对应的用户端口信息；

由AN侦听DHCP协议报文，从中获取分配给用户主机的配置信息，包括IP地址及其租用期，将该IP地址与所述对应的用户端口信息进行绑定，并结合所述租用期信息以及后续接收的报文，对获取的用户配置信息进行维护；

由AN根据所述用户配置信息对接收到的上行报文进行过滤，如果发现该报文中的用户IP地址和端口信息没有绑定在一起，则判定其为非法报文。

本发明所述的方法，其中，所述对获取的用户配置信息进行维护的步骤，包括：

由AN对接收到的各种协议报文进行分析，获取用户配置信息；

根据所述用户配置信息，记录一个五元组信息表，包括：话路身份，IP地址，租用期，用户端口，MAC地址；

为每个信息表项绑定一个定时器，其触发时限由对应表项的租用期字段决定，每当定时器触发时，其对应的信息表表项被删除。

本发明所述的方法，其中，所述根据所述用户配置信息，记录一个五元组信息表的步骤，包括：

如果AN侦听到上行方向的DHCP REQUEST报文，从该报文中提取相关的信息，使用MAC地址和用户端口查看DHCP信息表，如果不存在相应的表项，那么创建一个DHCP信息表表项，否则如果存在相应的表项，那么更新DHCP信息表中的话路身份；

如果AN侦听到下行方向的DHCP ACK报文，从该报文中提取相关的信息，使用MAC地址和用户端口查看DHCP信息表，如果不存在相应的表项，直接丢弃该报文，否则如果存在相应的表项，那么利用该报文信息更改对应的DHCP信息表表项，填入新的IP地址信息和租用期信息，基于租用期信息创建对应的定时器；

如果AN侦听到下行方向的DHCP NAK报文，使用MAC地址和用户端口查看DHCP信息表，删除DHCP NAK报文对应DHCP信息表表项；

如果AN侦听到上行方向的DHCP RELEASE报文，使用MAC地址和用户端口查看DHCP信息表，删除DHCP RELEASE报文对应的DHCP信息表表项；

如果AN侦听到上行方向的DHCP DECLINE报文，使用MAC地址和用户端口查看DHCP信息表，删除DHCP DECLINE报文对应的DHCP信息表表项。

本发明所述的方法，其中，所述用户端口信息为物理端口信息或逻辑端口信息。

本发明所述的方法，其中，所述逻辑端口信息为PVC(Permanent virtualcircuit，永久虚拟电路)信息。

本发明上述的技术方案，采用了一种在AN上实现IP地址防欺骗的装置及其方法，解决在IPoE接入模式下，如果使用DHCP动态主机自动配置协议的话，存在恶意欺骗用户的IP地址的安全威胁问题，达到可靠、安全的多媒体业务运营。

附图说明

图1为本发明实施例中所述IPoE接入模式下接入网络的基本结构图；

图2为本发明实施例中所述在AN上实现IP地址防欺骗的装置图。

具体实施方式

下面结合附图和具体实施例对本发明作进一步的介绍，但不作为对本发明的限定。

如图1所示，展示了IPoE模式下接入网络的基本结构，包括：

用户驻地网络family network101。用户驻地网络包括一个CPE(Customer Premise Equipment，用户宅内设备)和若干的终端，如PC或者STB(set-top box，数字视频解码器/接收器)。用户驻地网络101存在一个或者多个DHCP Client(dynamic host configuration protocol Client，动态主机配置协议客户端)。如果CPE是路由模式，那么CPE作为DHCP Client申请各种网络配置。如果CPE是桥模式，那么PC或者STB等终端独立作为DHCP Client申请自己的配置。

接入节点AN(Access Node，一般是DSLAM(Digital Subsriber LineAccess Multiplexer，数字用户线路接入复用器))102。AN102完成用户的接入和汇集，作为网络高级用户的边缘节点，AN102还能实现很多安全方面的功能。

DHCP中继(DHCP Relay)103，为了使得DHCP Server(dynamic hostconfiguration protocol Server，动态主机配置协议服务器)可以被多个子网使用，DHCP Relay 103可以起到对报文在不同网络间中继的作用。对于本发明所提供的来说，DHCP Relay103的存在无关紧要，可以存在也可以不存在。本发明的装置AN102本身也可以作为DHCP Relay103。为了讨论方便，我们把DHCP Relay103单独画出来，作为一个独立的逻辑实体。

DHCP服务器(DHCP Server)104，处理对DHCP客户端的DHCP的请求，给不同的用户分配各种网络配置，包括IP地址，默认网关地址等。

如图2所示，本发明所述实施例的装置及其方法在AN上实现，之所以选择AN，是因为AN是运营商网络的边缘。本发明的核心装置是一个称为DHCP侦听模块(DHCP Snooping Module)，其他的功能模块还有报文入口模块和报文过滤模块。各个模块具体功能如下：

报文入口模块(Ingress Module)201。对应本发明，报文入口模块的主要功能是对接收到的报文进行分析，复制所有的DHCP协议报文，传递给DHCP Snooping模块，同时还把报文传递给报文过滤模块；注意，因为本发明只关注对DHCP协议报文的处理，其它入口模块包括的功能不在本发明的讨论之列。

DHCP侦听模块(DHCP Snooping Module)202。DHCP侦听模块主要工作是侦听所有的DHCP协议报文的内容，从中提取出用户获取的配置信息，然后对这些配置信息进行维护。

报文过滤模块(Egress Module)203。对应本发明，报文过滤模块的主要功能是对输出的报文进行过滤。过滤的依据就是DHCP侦听模块维护的用户配置信息；注意，因为本发明只关注对DHCP协议报文的处理，其它过滤模块包括的功能不在本发明的讨论之列。

下面结合附图2，对本发明的装置及其方法做进一步的说明。

报文入口模块201根据DHCP协议报文的特征，提取DHCP协议报文。DHCP协议报文的特征是：UDP报文，并且目的端口等于67或者68的报文。报文入口模块201在把DHCP协议报文传递给DHCP侦听模块202时，也需要把报文的端口信息报告给侦听模块，这里包括物理端口lport信息和PVC(Permanent virtual circuit，永久虚拟电路)信息。

报文入口模块201只是简单的复制这些报文，发送给DHCP侦听模块202。同时，在进行完正常的报文入口处理(比如MAC地址学习等)后，报文入口模块201把其余的报文发送给报文过滤模块203。

DHCP侦听模块202包括以下三个部分：

DHCP协议报文分析模块211，完成对各种协议报文的分析和相关的处理，是侦听模块的核心流程装置。主要需要处理的报文包括：DHCPREQUEST、DHCP ACK、DHCP NAK、DHCP DECLINE、DHCP RELEASE。

DHCP信息表212，是一个五元组，包括：SessionID，IP地址，租用期，lport，MAC地址。DHCP信息表212的内容主要由DHCP协议报文分析模块211来维护。

定时器213，和DHCP信息表212绑定，每个DHCP信息表212的表项都绑定了一个定时器213，此定时器213的触发时限被表项的租用期字段决定。每当定时器213被触发时，AN中将删除定时器213对应的DHCP信息表212的表项。

DHCP协议报文处理分析模块211完成对以下报文的处理：

1.DHCP REQUEST报文。报文入口模块201把DHCP协议报文连同报文，如端口的信息一起发送给DHCP协议报文分析模块。当DHCP协议分析模块211收到DHCP REQUEST报文后，

a)首先提取出相关的信息：用户的MAC地址、SessionID等；

b)然后使用MAC地址+lport信息检索DHCP信息表；

i.如果已经存在相应的表项，那么更新SessionID。

ii.如果不存在相应的表项，那么创建一个DHCP信息表212的表项，填入SessionID、MAC地址，lport，租用期设为无效，IP地址设置为0.0.0.0。

2.当模块211收到下行方向的DHCP ACK报文，进行如下的处理：

a)从ACK报文中提取SessionID、lport、MAC地址、用户申请的IP地址、租用期信息；

b)利用MAC地址表，获取MAC地址对应的lport；

c)利用MAC地址+lport查询在DHCP信息表212中是否存在相应表项；

i.如果存在，那么更改对应的表项，填入IP地址信息，填入租用期信息，基于租用期创建对应的定时器。

ii.如果不存在，直接丢弃该报文。

3.当模块211收到上行方向的DHCP DECLINE报文时，

a)从DECLINE报文中提取MAC地址，结合lport，查询到对应的DHCP信息表212中表项；

b)删除表项中租用期对应的定时器；

c)删除对应表项。

4.当模块211收到下行方向的DHCP NAK报文时，

a)从NAK报文中提取MAC地址，结合lport，查询到对应的DHCP信息表212中表项；

b)删除表项中租用期对应的定时器；

c)删除对应表项。

5.当模块211收到上行方向的DHCP RELEASE报文时，

a)从RELEASE报文中提取MAC地址，结合lport，查询到对应的DHCP信息表212中表项；

b)删除表项中租用期对应的定时器；

c)删除对应表项。

报文过滤模块203，用于在AN上依据DHCP侦听模块202维护的用户配置信息，对输出的报文进行过滤。进一步检查用户的上行报文，如果接受到一个上行的非DHCP协议报文，并且该报文IP地址和lport信息结合后，搜索DHCP信息表212时如果没有找到相应的表项，那么判定为非法报文，直接丢弃。

上述具体实施方式以较佳实施例对本发明进行了说明，不应被视为对本发明范围的限制。同样，根据本发明的技术方案及其较佳实施例的描述，可以做出各种可能的等同改变或替换，而所有这些改变或替换都应属于本发明权利要求的保护范围。

Claims

1、一种在AN上实现IP地址防欺骗的装置，应用于IPoE模式下由DHCP自动配置主机的接入网络中，其特征在于，包括：报文入口模块、DHCP侦听模块、报文过滤模块，其中，

2、如权利要求1所述的装置，其特征在于，所述DHCP侦听模块包括：

3、如权利要求2所述的装置，其特征在于，所述DHCP协议报文分析模块，如果其侦听到上行方向的DHCP REQUEST报文，从该报文中提取相关的信息，使用MAC地址和用户端口查看DHCP信息表，如果不存在相应的表项，那么创建一个DHCP信息表表项，否则如果存在相应的表项，那么更新DHCP信息表中的话路身份；

如果其侦听到下行方向的DHCP ACK报文，从该报文中提取相关的信息，使用MAC地址和用户端口查看DHCP信息表，如果不存在相应的表项，直接丢弃该报文，否则如果存在相应的表项，那么利用该报文信息更改对应的DHCP信息表表项，填入新的IP地址信息和租用期信息，基于租用期信息创建对应的定时器；

4、如权利要求1所述的装置，其特征在于，所述用户端口信息为物理端口信息或逻辑端口信息。

5、如权利要求4所述的装置，其特征在于，所述逻辑端口信息为永久虚拟电路信息。

6、一种在AN上实现IP地址防欺骗的方法，应用于IPoE模式下由DHCP自动配置主机的接入网络中，其特征在于，步骤包括：

7、如权利要求6所述的方法，其特征在于，所述对获取的用户配置信息进行维护的步骤，包括：

8、如权利要求7所述的方法，其特征在于，所述根据所述用户配置信息，记录一个五元组信息表的步骤，包括：

9、如权利要求6所述的方法，其特征在于，所述用户端口信息为物理端口信息或逻辑端口信息。

10、如权利要求9所述的方法，其特征在于，所述逻辑端口信息为永久虚拟电路信息。