CN101115063A - 宽带接入设备中防止mac地址/ip地址欺骗的方法 - Google Patents

Abstract

本发明公开了一种宽带接入设备中防止媒体接入控制(MAC)地址/IP地址欺骗的方法，该方法包括：侦听DHCP客户端与DHCP服务器之间交互的DHCP报文；相应于当前侦听到的所述报文，以更新记录的方式建立DHCP绑定表；将所述DHCP绑定表中更新的记录设置到底层转发芯片中，由所述芯片根据所述记录对DHCP客户端的业务报文进行转发或丢弃处理。采用本发明，使DHCP用户的MAC地址/IP地址无法被盗用，从而，能有效地防止针对DHCP用户的MAC地址/IP地址欺骗。

Description

宽带接入设备中防止MAC地址/IP地址欺骗的方法

技术领域

本发明涉及一种防止媒体接入控制(MAC)地址/IP地址欺骗的技术，尤其涉及一种宽带接入设备中防止MAC地址/IP地址欺骗的方法。

背景技术

宽带接入网络的快速发展有利有弊，有利的方面是使宽带用户的数量随之成倍增加，不利的方面是同时也使宽带接入网络遭受安全攻击的可能性大大增加。通常，宽带接入网络遭受安全攻击是由MAC地址/IP地址的盗用所造成的，MAC地址/IP地址被盗用是一种常见的网络安全问题。目前，针对静态IP地址的用户，可以通过静态配置MAC地址/IP地址的绑定来解决这个问题。也就是说，通过预先设置MAC地址与IP地址一一对应的绑定关系，并形成保存在宽带接入设备中的MAC地址表，来达到静态绑定MAC地址/IP地址的目的，从而，防止静态IP地址用户MAC地址/IP地址的盗用。但是，目前，针对采用动态主机配置协议(DHCP)的用户，由于DHCP用户获得的IP地址不是固定的，因此，无法通过预先建立MAC地址与IP地址的绑定关系，来达到绑定MAC地址/IP地址的目的，使DHCP用户的MAC地址/IP地址常常被盗用。从而，不能有效地防止针对DHCP用户的MAC地址/IP地址欺骗。

发明内容

有鉴于此，本发明所要解决的技术问题在于提供一种宽带接入设备中防止MAC地址/IP地址欺骗的方法，能有效地防止针对DHCP用户的MAC地址/IP地址欺骗。

为达到上述目的，本发明的技术方案是这样实现的：

一种宽带接入设备中防止媒体接入控制MAC地址/IP地址欺骗的方法，该方法包括步骤：

A、侦听DHCP客户端与DHCP服务器之间交互的DHCP报文；

B、对应于当前侦听到的所述DHCP报文的类型，以更新记录的方式动态构建DHCP绑定表；将所述DHCP绑定表中更新的记录设置到底层转发芯片中，由所述芯片根据所述记录对DHCP客户端的业务报文进行转发或丢弃处理。

其中，所述步骤A还包括：

在通过所述DHCP报文获得IP地址之前，将所述底层转发芯片的IP地址绑定为全零，从而仅发送和接收DHCP报文而丢弃其它报文。

其中，所述更新记录的方式包括：增加、修改或删除记录。

其中，所述DHCP绑定表中的记录以所述DHCP客户端的MAC地址信息为索引。

其中，所述步骤B进一步包括：

设置定时器，并根据所述定时器中设置的老化时间，将所述DHCP绑定表中的记录老化。

其中，所述步骤B进一步为：

如果当前侦听到的所述DHCP报文的类型为DHCP Request或者DHCPInform报文，则包括以下步骤：

B1、在所述DHCP绑定表中增加记录，并将所述DHCP客户端的用户端口信息、MAC地址信息、DHCP会话事务标识Transaction ID信息写入记录中；

B2、调用底层转发芯片，将所述DHCP Request报文或者DHCP Inform报文转发给所述DHCP服务器；转入执行步骤A。

其中，所述步骤B进一步为：

如果当前侦听到的所述DHCP报文的类型为DHCP ACK报文，则包括以下步骤：

B3、相应于所述DHCP服务器从所述DHCP客户端获取的当前MAC地址信息，查找、修改所述DHCP绑定表中的相应记录，将所述DHCP客户端的IP地址信息、IP地址租用期信息、以及获得IP地址时间戳信息写入所述相应记录中；

B4、根据与所述当前MAC地址信息相应的记录中所包含的信息，调用底层转发芯片的接口设置所述DHCP客户端的用户端口和MAC地址或/和IP地址的绑定关系；

B5、调用所述底层转发芯片，将所述DHCP ACK报文转发给所述DHCP客户端；转入执行步骤A。

其中，所述步骤B进一步为：

如果当前侦听到的所述DHCP报文的类型为DHCP NAK报文、DHCPDecline报文或DHCP Release报文，则包括以下步骤：

B6、相应于所述DHCP服务器从所述DHCP客户端获取的当前MAC地址信息，删除所述DHCP绑定表中的相应记录；

B7、清除底层转发芯片中所述DHCP客户端的用户端口和MAC地址或/和IP地址的绑定关系，取消所述用户端口和MAC地址或/和IP地址的绑定；

B8、调用所述底层转发芯片，将所述DHCP NAK报文、所述DHCP Decline报文、或所述DHCP Release报文转发出去；转入执行步骤A。

其中，所述步骤B4还包括：

B41、获得IP地址租用期信息后，启用所述定时器，根据设置的所述老化时间，所述定时器扫描所述DHCP绑定表中的记录，并将有效记录中所述IP地址租用期信息所对应的时间减去所述老化时间，直至减为0，则删除所述有效记录；

以及步骤B5还包括：

B51、如果所述有效记录被删除，则清除底层转发芯片中所述DHCP客户端的用户端口和MAC地址或/和IP地址的绑定关系，取消所述用户端口和MAC地址或/和IP地址的绑定；转入执行步骤A。

本发明基于DHCP侦听技术，通过宽带接入设备侦听从DHCP客户端的用户端口发送给DHCP服务器的DHCP请求包，以及DHCP服务器返回给DHCP客户端的DHCP应答包，将动态侦听后构建的DHCP绑定表保存在宽带接入设备中。之后，通过在底层转发芯片中设置用户端口和MAC地址或/和IP地址的绑定关系，将用户端口和MAC地址或/和IP地址绑定。采用本发明，由于只能使用与用户端口相对应的MAC地址/IP地址访问宽带接入网络，对于该用户端口上其它MAC地址/IP地址的报文将被丢弃，因此，使DHCP用户的MAC地址/IP地址无法被盗用。从而能有效地防止针对DHCP用户的MAC地址/IP地址欺骗，进而提高宽带接入网络的安全性。

附图说明

图1为本发明原理的实现流程示意图。

具体实施方式

本发明的核心思想是：基于DHCP侦听技术，宽带接入设备侦听从DHCP客户端的用户端口发送给DHCP服务器的DHCP请求包，以及DHCP服务器返回给DHCP客户端的DHCP应答包，将动态侦听后构建的DHCP绑定表保存在宽带接入设备中。之后，通过在底层转发芯片中设置用户端口和MAC地址或/和IP地址的绑定关系，将用户端口和MAC地址或/和IP地址绑定。

下面结合附图对技术方案的实施作进一步的详细描述。

一种宽带接入设备中防止MAC地址/IP地址欺骗的方法，该方法包括：

步骤101、宽带接入设备、比如交换机侦听DHCP客户端与DHCP服务器之间交互的报文。

步骤102、相应于当前侦听到的报文，以更新记录的方式建立DHCP绑定表并执行相应的处理。

这里，所述更新记录的方式包括：增加、修改或删除记录。建立的DHCP绑定表保存在宽带接入设备中，并且，DHCP绑定表中的记录以DHCP客户端的MAC地址信息为索引。

步骤103、根据定时器中设置的老化时间，将DHCP绑定表中的记录老化。

其中，步骤102的处理过程具体为：

宽带接入设备侦听到DHCP客户端的报文后，

步骤1021、宽带接入设备判断所述报文的类型是否为DHCP请求(Request)或者DHCP通知(Inform)报文，如果是，则执行步骤1022；否则转入执行步骤1024。

步骤1022、宽带接入设备在DHCP绑定表中增加记录并保存，并将DHCP客户端的端口信息、MAC地址信息、DHCP会话事务标识(Transaction ID)信息写入记录中。

步骤1023、宽带接入设备调用底层转发芯片，将DHCP Request或者DHCPInform报文转发给DHCP服务器；转入步骤101继续侦听。

步骤1024、宽带接入设备判断所述报文的类型是否为DHCP未确认(NAK)、DHCP拒绝(Decline)或者DHCP释放(Release)报文，如果是，则执行步骤1025；否则转入执行步骤1028。

步骤1025、相应于DHCP服务器从DHCP客户端获取的当前MAC地址信息，删除DHCP绑定表中的相应记录；

步骤1026、清除底层转发芯片中DHCP客户端的用户端口和MAC地址或/和IP地址的绑定关系，取消用户端口和MAC地址或/和IP地址的绑定；

步骤1027、调用底层转发芯片，将DHCP NAK报文、DHCP Decline报文、或DHCP Release报文转发出去；转入步骤101继续侦听。

步骤1028、宽带接入设备判断所述报文的类型是否为DHCP确认(ACK)报文，如果是，则执行步骤1029；否则丢包返回，转入步骤101继续侦听。

步骤1029、相应于DHCP服务器从DHCP客户端获取的当前MAC地址信息，宽带接入设备查找、修改保存的DHCP绑定表中的相应记录，并将DHCP客户端的IP地址信息、IP地址租用期信息、以及获得IP地址时间戳信息写入该相应记录中。

这里，步骤1029之前进一步包括：在获取DHCP客户端的IP地址信息、IP地址租用期信息、以及获得IP地址时间戳信息之前，宽带接入设备将底层转发芯片IP地址中各字节段的信息全部绑定为0。

并且，在IP地址中各字节段的信息全部绑定为0的情况下，DHCP客户端的端口只能发送和接收DHCP报文，其它报文将被丢弃。在获取IP地址信息、IP地址租用期信息、以及获得IP地址时间戳信息后，启用定时器，同时在保存的DHCP绑定表中记录完整的情况下，底层转发芯片只处理以记录中MAC地址信息为源地址的上行DHCP报文，和以记录中MAC地址信息为目的地址的下行DHCP报文。从而，能防止其它MAC地址的DHCP报文通过DHCP客户端的端口。

步骤10210、根据与所述当前MAC地址信息相应记录中所包含的信息，调用底层转发芯片的接口设置DHCP客户端的端口和MAC地址或/和IP地址的绑定关系，并绑定端口和MAC地址或/和IP地址。

步骤10211、调用底层转发芯片，将DHCPACK报文转发给DHCP客户端；转入步骤101继续侦听。

在上述步骤1029中启用定时器后，步骤103具体为：

根据设置的老化时间，定时器扫描DHCP绑定表中的记录，并将有效记录中IP地址租用期信息所对应的时间减去老化时间，直至减为0，则删除有效记录；相应于有效记录，清除底层转发芯片中DHCP客户端的端口和MAC地址或/和IP地址的绑定关系，并取消端口和MAC地址或/和IP地址的绑定；执行步骤101，也就是说，重新恢复为初始状态。重新开始DHCP客户端与DHCP服务器会话协商的过程。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。

Claims (9)

1.一种宽带接入设备中防止媒体接入控制MAC地址/IP地址欺骗的方法，其特征在于，该方法包括步骤：

A、侦听DHCP客户端与DHCP服务器之间交互的DHCP报文；

B、对应于当前侦听到的所述DHCP报文的类型，以更新记录的方式动态构建DHCP绑定表；将所述DHCP绑定表中更新的记录设置到底层转发芯片中，由所述芯片根据所述记录对DHCP客户端的业务报文进行转发或丢弃处理。

2.根据权利要求1所述的方法，其特征在于，所述步骤A还包括：

在通过所述DHCP报文获得IP地址之前，将所述底层转发芯片的IP地址绑定为全零，从而仅发送和接收DHCP报文而丢弃其它报文。

3.根据权利要求1所述的方法，其特征在于，所述更新记录的方式包括：增加、修改或删除记录。

4.根据权利要求1所述的方法，其特征在于，所述DHCP绑定表中的记录以所述DHCP客户端的MAC地址信息为索引。

5.根据权利要求1所述的方法，其特征在于，所述步骤B进一步包括：

设置定时器，并根据所述定时器中设置的老化时间，将所述DHCP绑定表中的记录老化。

6.根据权利要求2所述的方法，其特征在于，所述步骤B进一步为：

如果当前侦听到的所述DHCP报文的类型为DHCP Request或者DHCPInform报文，则包括以下步骤：

B1、在所述DHCP绑定表中增加记录，并将所述DHCP客户端的用户端口信息、MAC地址信息、DHCP会话事务标识Transaction ID信息写入记录中；

B2、调用底层转发芯片，将所述DHCP Request报文或者DHCP Inform报文转发给所述DHCP服务器；转入执行步骤A。

7.根据权利要求2或5或6所述的方法，其特征在于，所述步骤B进一步为：

如果当前侦听到的所述DHCP报文的类型为DHCP ACK报文，则包括以下步骤：

B3、相应于所述DHCP服务器从所述DHCP客户端获取的当前MAC地址信息，查找、修改所述DHCP绑定表中的相应记录，将所述DHCP客户端的IP地址信息、IP地址租用期信息、以及获得IP地址时间戳信息写入所述相应记录中；

B4、根据与所述当前MAC地址信息相应的记录中所包含的信息，调用底层转发芯片的接口设置所述DHCP客户端的用户端口和MAC地址或/和IP地址的绑定关系；

B5、调用所述底层转发芯片，将所述DHCP ACK报文转发给所述DHCP客户端；转入执行步骤A。

8.根据权利要求7所述的方法，其特征在于，所述步骤B进一步为：

如果当前侦听到的所述DHCP报文的类型为DHCP NAK报文、DHCPDecline报文或DHCP Release报文，则包括以下步骤：

B6、相应于所述DHCP服务器从所述DHCP客户端获取的当前MAC地址信息，删除所述DHCP绑定表中的相应记录；

B7、清除底层转发芯片中所述DHCP客户端的用户端口和MAC地址或/和IP地址的绑定关系，取消所述用户端口和MAC地址或/和IP地址的绑定；

B8、调用所述底层转发芯片，将所述DHCP NAK报文、所述DHCP Decline报文、或所述DHCP Release报文转发出去；转入执行步骤A。

9.根据权利要求7所述的方法，其特征在于，所述步骤B4还包括：

B41、获得IP地址租用期信息后，启用所述定时器，根据设置的所述老化时间，所述定时器扫描所述DHCP绑定表中的记录，并将有效记录中所述IP地址租用期信息所对应的时间减去所述老化时间，直至减为0，则删除所述有效记录；

以及步骤B5还包括：

B51、如果所述有效记录被删除，则清除底层转发芯片中所述DHCP客户端的用户端口和MAC地址或/和IP地址的绑定关系，取消所述用户端口和MAC地址或/和IP地址的绑定；转入执行步骤A。

Images