CN101325554B - 一种路由创建方法、转发芯片及三层交换机 - Google Patents

Abstract

本发明涉及一种路由创建方法、转发芯片及三层交换机，其中方法包括：为三层交换机的直连网络创建网络接口；为直连网络创建直连网络路由，为网络接口创建网关主机路由，并分别为所述路由设定第一标识和第二标识；转发芯片接收到IP报文时，进行路由表匹配；获取匹配中的路由的标识，携带于接收到的IP报文中；对携带有不同标识的IP报文分别进行限速后，发送给CPU。通过本发明，既可以防止IP扫描攻击对三层交换机CPU资源的大量占用，又可以防止限速后对三层交换机的管理功能的影响，完善了现有CPU保护功能在防止IP扫描攻击时还会影响正常管理功能的缺陷。

Description

一种路由创建方法、转发芯片及三层交换机 

技术领域

本发明涉及一种数据网络通信技术，尤其涉及一种路由创建方法、转发芯片及三层交换机。 

背景技术

三层交换机是一种带有路由功能的交换机，既具有三层路由功能，又具有二层交换功能。三层交换机的主要结构如图1所示包括：CPU和交换芯片。交换芯片接收到IP报文后，会依据IP报文中的关键字段，查询内建的各种表，如：媒体访问控制(Media Access Control，简称：MAC)地址表、路由表、策略表等等，从而得知应该如何处理该IP报文，如：是从某个或某几个端口输出该IP报文，还是将其送到CPU；CPU则根据协议和管理的需要，配置交换芯片，维护交换芯片内建的各种表。 

三层交换机执行路由功能时，交换芯片需要对路由表进行查询，以获得三层转发决策。现有路由表的一条路由表项所描述的信息可以称为一条路由，如图2所示，一条路由表项主要包括如下字段： 

前缀字段，是路由表项的索引，用于确定IP报文是对应于哪条路由表项，通常由IP地址和掩码表示，也可以称为路由前缀； 

行为字段，用于确定对IP报文的处理策略，如：送CPU、丢弃或者转发等，只有当行为为转发时，输出端口号和下一跳MAC地址才有效； 

输出端口号字段，用于确定对应匹配的输出端口； 

下一跳MAC地址字段，用于修改输出IP报文的目的MAC地址字段。 

以下举例说明现有三层交换机对IP报文的路由过程。 

假设有如图3所示的一张路由表，其中显示了三条路由信息。路由1中“192.168.100.100/32”表示：IP地址为“192.168.100.100”，掩码中的所有位均为1，即掩码为“255.255.255.255”；路由2中“192.168.100.100/24”表示：IP地址为“192.168.100.100”，掩码中的前24位为1，即掩码为“255.255.255.0”；路由3中的掩码中的所有位均为0。 

当转发芯片接收到一个IP报文时，将IP报文的目的IP地址与前缀字段中的掩码相与，然后再与前缀字段中的IP地址相比较，若相等，则该IP报文匹配中该条路由。一个IP报文可能匹配中掩码长度(掩码长度指掩码为1的前若干位的长度)不同的多条路由，此时，按照“最长匹配原则”，选择掩码长度最长的那条路由。假设接收到的IP报文的目的IP地址为192.168.200.100，则只能匹配中路由3，根据路由3的行为字段，该IP报文被丢弃；假设接收到的IP报文的目的IP地址为192.168.100.200，则能匹配中路由2和路由3，由于路由2的掩码长度更长，所以根据路由2的行为字段，该IP报文被送CPU；若接收到的IP报文的目的IP地址为192.168.100.100，则能匹配中路由1、路由2及路由3，由于路由1的掩码长度最长，所以根据路由1的行为字段，该IP报文被转发。 

假设图3所示的路由表中尚未创造路由2和路由3时，则可以根据现有技术执行对三层交换机直连路由的添加过程，主要包括以下步骤： 

(1)三层交换机的路由表中有前缀为全0的缺省路由，即图3中的路由3； 

(2)三层交换机创建一个网络接口，该网络接口具有IP地址，用于进行三层转发；例如，将该网络接口标识为R口，其IP地址及掩码表示为192.168.100.1/24，其中，掩码为24表示IP地址的前24位为网络地址，标识所在网络，后面8位为主机地址，标识主机在网络中的位置。 

此时会在路由表中添加一条直连网络路由，其中的前缀字段所表示的网 络是三层交换机的直连网络，行为字段为送CPU，即图3中的路由2； 

(3)当转发芯片从非R口的网络接口收到目的IP地址为192.168.100.100的IP报文时，匹配中路由2，被送到CPU；CPU通过R口往直连网络192.168.100.0/24发送目的IP为192.168.100.100的地址解析协议(Address Resolution Protocol，简称：ARP)请求报文以获取网络节点192.168.100.100的MAC地址；若直连网络中存在IP地址为192.168.100.100的网络节点，那么三层交换机会收到相应的ARP应答报文，并往路由表中添加一条直连主机路由，其前缀字段所表示的网络节点与上述直连网络属于同一个网段，行为字段为转发，输出端口号为R口，下一跳MAC地址从ARP应答报文中获得，即路由1。 

上述建立路由1的过程即可称为路由打通过程。在路由打通后，再收到目的IP地址为192.168.100.100的IP报文，将会直接选择路由1进行转发，而不再送CPU。在路由打通之前，被送到CPU的IP报文的目的是为了进行路由打通，因此称为路由打通报文。 

IP扫描攻击是较常见的网络攻击方式，主要是通过发送目的IP地址不断变化的攻击报文对三层交换机的端口进行扫描，利用三层交换机会将匹配中路由表直连网络路由的IP报文作为路由打通报文送CPU的特点，将大量的攻击报文送CPU，致使CPU忙于处理这些攻击报文，占用了大量的CPU资源。尤其是对于一些目的IP地址根本就不存在的攻击报文，如目的地址为192.168.200.255的IP报文，由于一般的网络不会存在255台主机，所以192.168.200.255一般情况下是不会存在的，这样一来，这种攻击报文必然会导致路由打通失败，从而会一直送往CPU，占用大量的CPU资源。 

现有三层交换机为了保护CPU不受到攻击，一般会提供有CPU保护功能，其主要原理是基于报文分类，对送往CPU的IP单播报文以及其他类型报文分别进行限速。如将IP单播报文限速为500pps(每秒报文数)，在一秒内，送往CPU的路由打通报文超过500个，超过的部分将会被丢弃；将属于其 他类型报文的桥协议数据单元(Bridge Protocol Data Unit，简称：BPDU)报文限速为1000pps。由于路由打通报文与BPDU报文分别属于不同的报文类型，因此在进行限速时彼此不会相互影响。 

然而，现有技术的缺陷在于：IP单播报文除了上面所描述的路由打通报文以外，还通常包括管理报文。管理报文的特点是目的IP地址为三层交换机某个网络接口的IP地址，用于向CPU发送管理信息。在开启CPU保护功能后，路由打通报文和管理报文在CPU保护功能中被作为同一种报文，即IP单播报文进行限速。由于在限速时，不能将作为路由打通报文的攻击报文与正常的管理报文进行区分，从而会对管理报文的正常传输产生影响，进而导致三层交换机的管理功能失效。 

假设管理报文具体为远程登录报文(telnet报文)，用于跨越网络远程登录到一个非本地的三层交换机，以实现对该三层交换机的控制管理功能。此时，所有远程登录报文的目的IP地址均为三层交换机某个网络接口的主机地址。假设此时的网络中还存在由于IP扫描攻击而产生的路由打通报文，由于远程登录报文与路由打通报文均属于IP单播报文，因此，交换芯片会将这些报文均送到CPU，并利用CPU保护功能将这些IP单播报文限速到500pps。 

如图4所示，假设交换芯片每秒收到攻击报文1000000个，每秒收到远程登录报文为200个。三层交换机收到的IP单播报文速率大大高于限速，而且其中每收到5000个攻击报文才有可能收到1个远程登录报文。因此，根据限速，在交换芯片每秒送往CPU的500个报文中，很有可能一个远程登录报文都没有，即相当于远程登录报文基本上都被丢弃了，从而造成远程登录功能无法正常运行。 

发明内容

本发明的目的是：提供一种路由创建方法及装置，使得转发芯片可以 根据所创建的路由将接收到的IP报文区分成路由打通报文和管理报文，通过对路由打通报文和管理报文分别进行限速，可以消除IP扫描攻击对管理功能的影响。 

为了实现上述目的，本发明的一个实施例提供了一种路由创建方法，其中包括： 

为三层交换机的直连网络创建网络接口； 

为所述直连网络创建直连网络路由，并为所述直连网络路由设定第一标识； 

为所述网络接口创建网关主机路由，并为所述网关主机路由设定第二标识；所述网关主机路由是指以所述网络接口的IP地址和掩码长度为32位的掩码所形成的路由； 

当所述三层交换机的转发芯片接收到IP报文时，根据该IP报文的目的IP地址与路由表进行匹配； 

获取匹配中的路由的标识，携带于接收到的所述IP报文中； 

对携带有不同标识的IP报文分别进行限速； 

将限速后携带有所述标识的IP报文发送给所述三层交换机的CPU。 

为了实现上述目的，本发明的另一个实施例提供了一种转发芯片，其中包括： 

存储模块，用于保存路由表，该路由表中具有为三层交换机直连网络创建的具有第一标识的直连网络路由，和具有第二标识的网关主机路由；所述网关主机路由是指以所述直连网络的网络接口的IP地址和掩码长度为32位的掩码所形成的路由； 

匹配模块，用于当接收到IP报文时，根据该IP报文的目的IP地址与存储模块中保存的路由表进行匹配； 

获取模块，用于获取由匹配模块匹配中的路由的标识，并将该标识携带于接收到的所述IP报文中； 

限速模块，用于对携带有不同标识的IP报文分别进行限速。 

为了实现上述目的，本发明的又一个实施例提供了一种三层交换机，包括本发明所述的转发芯片，并且还包括CPU，其中所述CPU包括： 

接收模块，用于接收经所述转发芯片限速后的IP报文； 

管理模块，用于在所述转发芯片中创建和维护路由表。 

通过本发明，由于针对新创建的直连网络路由又创建了相应的网关主机路由，使得转发芯片可以在后续的报文匹配过程中，根据所创建的路由将接收到的IP报文区分成对路由打通报文和管理报文，通过对路由打通报文和管理报文分别进行限速，从而既可以防止IP扫描攻击对三层交换机CPU资源的大量占用，又可以防止限速后对三层交换机的管理功能的影响，完善了现有CPU保护功能在防止IP扫描攻击时还会影响正常管理功能的缺陷。 

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。 

附图说明

图1为现有三层交换机的主要结构示意图； 

图2为现有路由表中一个路由表项的结构示意图； 

图3为现有路由表举例示意图； 

图4为现有三层交换机受到IP扫描攻击时的CPU保护功能实现示意图； 

图5为本发明方法实施例所述路由创建方法的流程图； 

图6为采用本发明所述路由创建方法后的IP报文传输示意图； 

图7为采用本发明所述路由创建方法后的CPU保护功能实现示意图； 

图8为本发明装置实施例所述三层交换机的结构示意图。 

具体实施方式

首先需要说明的是，以下各实施例仅以普通的32位IP地址及掩码进行说明，对于其他长度的如128位的IP地址及掩码，本发明的技术方案也同样适用，此处不再赘述。 

方法实施例 

本实施例提供了一种路由创建方法，如图5所示，包括如下步骤： 

步骤101，为三层交换机的直连网络创建直连网络路由，并为该直连网络路由设定第一标识。 

具体地，首先为该直连网络创建网络接口并配置IP地址和掩码；然后创建对应于该网络接口的直连网络路由，并为该直连网络路由设定第一标 识。 

其中，网络接口是指可触发路由的符合网络层协议的接口。创建所述直连网络路由时，可以在路由表中生成对应于所述直连网络路由的第一路由表项。在第一路由表项中，路由前缀的IP地址为该网络接口所在网络的IP地址；掩码为该网络接口的掩码。第一标识用于在CPU保护功能中为匹配中该路由的报文设定报文类型。该第一标识也可以记录在第一路由表项中，只有当行为字段为送CPU时才生效，上述创建过程可以由管理员通过三层交换机的CPU完成。 

例如，所配置的网络接口的I P地址为192.168.100.1，掩码为255.255.255.0，其对应的直连网络路由的前缀可以表示为192.168.100.0/24；行为字段为送CPU；输出端口号字段和下一跳MAC地址字段无效。 

步骤102，根据为所述网络接口配置的IP地址，为所述网络接口创建网关主机路由，并为该网关主机路由设定第二标识。 

具体地，创建所述网关主机路由时，可以在路由表中生成对应于所述网关主机路由的第二路由表项，将所述配置的IP地址作为路由表中路由前缀的IP地址，掩码的各个码位均改为1，即掩码长度为32，相应的路由前缀可以表示为192.168.100.1/32，从而生成网关主机路由。行为字段仍然为送CPU；输出端口号字段和下一跳MAC地址字段无效。 

与第一标识类似，第二标识也用于在CPU保护功能中为匹配中该路由的报文设定报文类型。该第二标识也可以记录在第一路由表项中，只有当行为字段为送CPU时才生效，上述创建过程可以由管理员通过三层交换机的CPU完成。 

步骤103，当转发芯片接收到IP报文时，根据该IP报文的目的IP地址与路由表进行匹配。 

具体地，可以根据路由表项中的前缀字段进行匹配，每个路由表项表 示一条路由，若匹配中多条路由，则根据“最长匹配原则”选择掩码长度最长的路由表项作为匹配中的路由。若该匹配中的路由所对应的路由表项的行为字段为送CPU，则执行步骤104；否则，与本发明所要解决的技术问题无关，可以采用现有技术进行处理，此处不再赘述。 

此处需要说明的是，转发芯片接收到一个报文后，在进行路由表匹配之前还可以首先判断该IP报文是否触发路由。若要触发路由，则需要满足两个条件：条件一，接收到的报文的端口属于三层交换机的网络接口，即是可触发路由的接口；条件二，接收到的该报文是IP报文，并且其目的MAC地址为接收到报文的网络接口的MAC地址。若接收到的报文触发路由，则执行本步骤104；否则，对该报文进行的处理与本发明无关，可以采用现有技术进行处理，此处不再赘述。 

步骤104，转发芯片获取匹配中的路由的标识，并将该标识携带于接收到的IP报文中。 

具体地，如果匹配中的路由为直连网络路由，则该IP报文携带第一标识；如果匹配中的路由为网关主机路由，则该IP报文携带第二标识。此后，转发芯片继续通过步骤104及105所述方法，使接收到的其他IP报文携带相应的标识。 

步骤105，对携带有不同标识的IP报文分别进行限速后，发送给所述三层交换机的CPU。 

具体地，携带有第一标识的IP报文被转发芯片识别为路由打通报文；携带有第二标识的IP报文被转发芯片识别为管理报文；报文被分类为管理报文。完成管理报文和路由打通报文这两种IP单播报文的类型区分后，分别为这两类报文进行限速。 

以下举例说明： 

如图6所示，路由表中的路由1具有第二标识，表明该路由为网关主机路由；路由2具有第一标识，表明该路由为直连网络路由；路由3为缺 省路由。如果转发芯片接收到的IP报文为目的IP地址为192.168.100.1的IP单播报文，则会匹配中路由1，并携带第二标识，被指定类型为管理报文；如果转发芯片接收到的IP报文为目的IP地址为192.168.100.255的IP单播报文，则会匹配中路由2，并携带第一标识，被设定类型为路由打通报文。 

如图7所示，开启CPU保护功能后，管理报文和路由打通报文作为不同类型的IP单播报文被分别进行限速。以远程登录报文为例，其作为管理报文被限速为500pps。假设此时存在IP扫描攻击，攻击报文作为路由打通报文被限速为200pps。若正常的远程登录报文每秒会收到500个，根据其限速，全部的500个远程登录报文均会被送到CPU。而攻击报文不管接收速度有多大，经过CPU保护功能的限速后，每秒送往CPU的只能有200个，因此，CPU将有充分的资源可以处理所有送到的报文，从而保证了三层交换机的管理功能运行正常。 

本实施例所述方法，通过对路由打通报文和管理报文进行类型区分，并分别进行限速，从而既可以防止IP扫描攻击对三层交换机CPU资源的大量占用，又可以防止限速后对三层交换机的管理功能的影响，完善了现有CPU保护功能在防止IP扫描攻击时还会影响正常管理功能的缺陷。 

另外，与现有技术相比，现有的三层交换机在创建网络接口时，只会创建一条直连网络路由而不会创建网关主机路由，因此，匹配中直连网络路由的IP报文，包括管理报文和路由打通报文均会被送往CPU。而本实施例所创建的网关主机路由，匹配中的行为也是送CPU，仅从结果上说，这条网关主机路由是多余的，因此会额外占用一定的路由表资源。但是，由于通常的三层交换机的网络接口一般都不会太多，通常为十几个甚至更少，这相对于三层交换机一般的几千条路由表项相比，这种额外占用的影响微乎其微。因此，用额外的十几条路由表项换来CPU管理的稳定性仍然是非常值得的。 

装置实施例 

本实施例提供了一种三层交换机，如图8所示，该三层交换机100包括转发芯片10和CPU20，其工作原理如下： 

转发芯片10中设置有存储模块11，用于保存路由表，该路由表中具有为三层交换机100直连网络创建的具有第一标识的直连网络路由和具有第二标识的网关主机路由。其中，直连网络路由和网关主机路由都是根据为网络接口配置的IP地址创建的。路由表可以由管理员通过CPU20的管理模块22进行创建和维护。路由表中的一个路由表项表示一条路由，其具体结构如图2所示，此处不再赘述。 

当转发芯片10接收到IP报文时，匹配模块12根据该IP报文的目的IP地址与存储模块中保存的路由表进行匹配。若匹配中多条路由，则根据“最长匹配原则”选择掩码长度最长的路由表作为匹配中的路由。然后，转发芯片10的获取模块13获取由匹配模块12匹配中的路由的标识，并将该标识携带于接收到的所述IP报文中。此处需要说明的是，该转发芯片10中还可以设置判断模块15，在匹配模块12匹配中路由表项之后，判断该匹配模块12匹配中的路由表项的行为字段是否为送CPU，当该行为字段为送CPU时，获取模块13才开始获取匹配中的路由表项的标识。若匹配模块12匹配中的路由所对应的路由表项的行为字段不是送CPU，则与本发明要解决的问题无关，可以采用现有技术进行处理，此处不再赘述。 

然后，转发芯片10的限速模块14对携带有不同标识的IP报文分别进行限速。具体地，是将携带有第一标识的IP报文识别为路由打通报文；将携带有第二标识的IP报文识别为管理报文；对所述路由打通报文和管理报文分别进行限速。 

CPU20中的接收模块21用于接收经转发芯片10限速后的发送过来的IP报文。然后由CPU20根据其中的管理报文实现相关的管理功能；根据路由打通报文执行相关的路由打通操作等。 

本实施例所述装置，通过对路由打通报文和管理报文进行类型区分，并分别进行限速，从而既可以防止IP扫描攻击对三层交换机CPU资源的大量占用，又可以防止限速后对三层交换机的管理功能的影响，完善了现有CPU保护功能在防止IP扫描攻击时还会影响正常管理功能的缺陷。 

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。 

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。 

Claims (8)

1.一种路由创建方法，其特征在于包括：

为三层交换机的直连网络创建网络接口；

为所述直连网络创建直连网络路由，并为所述直连网络路由设定第一标识；

为所述网络接口创建网关主机路由，并为所述网关主机路由设定第二标识；所述网关主机路由是指以所述网络接口的IP地址和掩码长度为32位的掩码所形成的路由；

当所述三层交换机的转发芯片接收到IP报文时，根据该IP报文的目的IP地址与路由表进行匹配；

获取匹配中的路由的标识，携带于接收到的所述IP报文中；

对携带有不同标识的IP报文分别进行限速；

将限速后携带有所述标识的IP报文发送给所述三层交换机的CPU。

2.根据权利要求1所述的路由创建方法，其特征在于为所述直连网络创建直连网络路由包括：

为所述网络接口配置IP地址和掩码；

根据配置的IP地址和掩码，创建对应于该网络接口的直连网络路由；

将所述直连网络路由对应的路由表项的行为字段设置为送CPU；

所述网络接口创建网关主机路由包括：

将为所述网络接口配置的IP地址设置为该网关主机路由的IP地址；

将各个码位均为1的掩码设置为该网关主机路由的掩码；

将所述网关主机路由对应的路由表项的行为字段设置为送CPU。

3.根据权利要求1所述的路由创建方法，其特征在于根据所述IP报文的目的IP地址与路由表进行匹配包括：当匹配到多条路由时，选择掩码长度最长的路由作为匹配中的路由。

4.根据权利要求1所述的路由创建方法，其特征在于获取匹配中的路由表项的标识包括：

判断匹配中的路由表项的行为字段是否为送CPU；

当所述行为字段为送CPU时，获取匹配中的路由表项的标识。

5.根据权利要求1所述的路由创建方法，其特征在于对携带有不同标识的IP报文分别进行限速包括：

将携带有第一标识的IP报文识别为路由打通报文；

将携带有第二标识的IP报文识别为管理报文；

对所述路由打通报文和管理报文分别进行限速。

6.一种转发芯片，其特征在于包括：

存储模块，用于保存路由表，该路由表中具有为三层交换机直连网络创建的具有第一标识的直连网络路由，和具有第二标识的网关主机路由；所述网关主机路由是指以所述直连网络的网络接口的IP地址和掩码长度为32位的掩码所形成的路由；

匹配模块，用于当接收到IP报文时，根据该IP报文的目的IP地址与存储模块中保存的路由表进行匹配；

获取模块，用于获取由匹配模块匹配中的路由的标识，并将该标识携带于接收到的所述IP报文中；

限速模块，用于对携带有不同标识的IP报文分别进行限速。

7.根据权利要求6所述的转发芯片，其特征在于还包括：

判断模块，用于判断所述匹配模块匹配中的路由表项的行为字段是否为送CPU；当所述行为字段为送CPU时，所述获取模块才开始获取匹配中的路由表项的标识。

8.一种三层交换机，包括权利要求6或7所述的转发芯片，其特征在于还包括CPU，所述CPU包括：

接收模块，用于接收经所述转发芯片限速后的IP报文；

管理模块，用于在所述转发芯片中创建和维护路由表。

Images