CN101471966B

CN101471966B - 一种防止ip地址泄露的系统和设备

Info

Publication number: CN101471966B
Application number: CN2008101896641A
Authority: CN
Inventors: 邓雄; 袁远
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2006-07-06
Filing date: 2006-07-06
Publication date: 2011-07-20
Anticipated expiration: 2026-07-06
Also published as: CN101471966A

Abstract

本发明公开了一种防止IP地址泄露的系统，所述系统包括动态主机配置协议中继设备，所述动态主机配置协议中继设备捕获动态主机配置协议客户端发送的动态主机配置协议报文后，记录发送该报文的用户端口地址；从该报文的客户硬件地址字段查找到所述动态主机配置协议客户端的介质访问控制地址，建立介质访问控制地址和用户端口地址的对应关系；还包括一种动态主机配置协议中继设备。本发明的技术方案有效防止了用户窃听，增加了DHCP协议应用的安全性；同时减少了二层网络的广播报文发送，节省了网络带宽资源。

Description

一种防止IP地址泄露的系统和设备

技术领域

本发明涉及国际互联网(Internet)技术领域和接入网技术领域，具体涉及一种防止IP地址泄露的系统和设备。

背景技术

动态主机配置协议(DHCP，Dynamic Host Configuration Protocol)是一种终端自动配置协议，RFC2131、2132、1542给出了其实现标准。DHCP协议采用client-server方式实现，DHCP协议是基于UDP层之上的应用，DHCP终端(也可称为DHCP客户端，DHCP client)采用知名端口号68进行标识，DHCP服务器(DHCP server)采用知名端口号67进行标识。DHCP协议能够支持多种终端设备，整个配置过程自动实现，终端无需配置，能够实现用户开机就能上网的目标；所有配置信息由DHCP服务器统一管理，不仅能够分配IP地址，还可以配置其他大量网络配置参数和系统配置信息；通过IP地址租期管理，实现IP地址分时复用，节省有限的IP地址资源；采用广播方式实现报文交互，报文一般不能跨网段，若要跨网段，需要DHCP Relay(动态主机配置协议中继设备)。

表1给出了DHCP报文的格式：

表1

DHCP报文作为整个IP报文的静荷进行封装。

op字段：表示当前报文是DHCP client的请求还是DHCP server的应答，该字段的值为1时表示是DHCP client的请求，为2时表示是DHCPserver的应答。

htype字段和hlen字段：hardware type、hardware length，分别表示DHCP

client的网络硬件地址类型、长度，如htype字段的值为1，表示DHCP

client的网络硬件是10MB的以太网类型，hlen字段的值为6，表示DHCP

client的网络硬件地址长度是6bytes(即以太网类型的6bytes的MAC地址)。

hops字段：表示当前的DHCP报文经过的DHCP Relay的数目，类似于IP头中的跳数字段，但含义完全不同，DHCP client或DHCP server发出DHCP报文时，此字段都初始化为0，每经过一个DHCP Relay，此字段就会加1，此字段的作用是限制DHCP报文不要经过太多的DHCP Relay，DHCP协议规定，当hops字段的值大于4(现在也有规定为16)时，这个 DHCP报文就不能再进行处理，而是丢弃。

ciaddr字段：client ip address，表示DHCP client自己的IP地址。可以是DHCP server分配给DHCP client的IP地址，也可以是DHCP client已有的IP地址。DHCP client能够使用此IP地址接收IP报文，DHCP server发现此字段不为0时，可以直接将响应报文单播给DHCP client。

yiaddr字段：your ip address，表示DHCP server分配给DHCP client的IP地址。当DHCP server响应DHCP client的DHCP请求时，将把分配给DHCP client的IP地址填入此字段。

giaddr字段：gateway ip address，记录第一个DHCP Relay的IP地址。

当DHCP client发出DHCP请求报文后，如果网络中存在DHCP Relay，则第一个DHCP Relay转发这个DHCP请求报文时，就会把自己的IP地址填入此字段(随后的DHCP Relay将不再改写此字段，只是把hops字段的值加1)。DHCP server将会根据此字段为用户分配IP地址，并把响应报文转发给此DHCP Relay，由DHCP Relay再转发给DHCP client。

chaddr字段：client hardware address，记录DHCP client的实际硬件地址内容。当DHCP client发出DHCP请求报文时，将把自己的网卡硬件地址填入此字段，DHCP server一般都会使用此字段来唯一标识一个DHCPclient。而且此字段与前面的htype、hlen字段必须一致，例如当htype、hlen字段的值分别为1和6时，此字段必须填入6bytes的以太网MAC地址。

DHCP共有8种报文类型，是通过option 53 DHCP Message Type字段来标识的。

1、DHCP DISCOVER：此报文是DHCP client开始DHCP过程的第一个报文；

2、DHCP OFFER：此报文是DHCP server对DHCPDISCOVER报文的响应；

3、DHCP REQUEST：此报文是DHCP client开始DHCP过程中对DHCPserver的DHCP OFFER报文的回应，或者是DHCP client续延IP地址租期时发出的报文；

4、DHCP DECLINE：当DHCP client发现DHCP server分配给它的IP地址无法使用，如IP地址冲突时，将发出此报文，通知DHCP server禁止使用IP地址；

5、DHCP ACK：DHCP server对DHCP client的DHCPREQUEST报文的确认响应报文，DHCP client收到此报文后，才真正获得了IP地址和相关的配置信息；

6、DHCP NAK：DHCP server对DHCP client的DHCPREQUEST报文的拒绝响应报文，DHCP client收到此报文后，一般会重新开始新的DHCP过程；

7、DHCP RELEASE：DHCP client主动释放server分配给它的IP地址的报文，当DHCP server收到此报文后，就可以回收这个IP地址，能够分配给其他的DHCP client；

8、DHCP INFORM：DHCP client已经获得了IP地址，发送此报文，只是为了从DHCP server处获取其他的一些网络配置信息，如route IP、DNS IP等，这种报文的应用非常少见。

DSLAM(Digital Subscriber Line Access Multiplexers，数字用户线路接入复用器)设备位于宽带网络边缘接入层，主要提供xDSL接入，支持VDSL、ADSL、G.SHDSL接入；在以xDSL接入为主的同时，也能够支持一定的Ethernet接入；同时还提供IP组播业务，具有丰富的宽带接入业务和良好的可运营、可管理功能。DSLAM的结构图如图1所示。

由于DHCP报文都大多采用广播方式，是无法穿越多个子网的，当DHCP报文要穿越多个子网时，就要有DHCP Relay的存在。DHCP Relay可以是路由器，也可以是一台主机，总之，DHCP Relay要监听UDP目的端口号为67的所有报文。当DHCP Relay收到一个这样的报文时，会首先判断是否是用户的请求报文，如果是，而且giaddr字段的值为0，则把自己的IP地址填入此字段，并把此报文单播给真正的DHCP server，以实现DHCP报文穿越多个子网的目的。当DHCP Relay发现这是DHCPserver的响应报文时，会根据flag字段中的广播标记来决定是广播或单播封装好的报文。DSLAM接入设备完全可以承担DHCP Relay的角色，目前很多厂商的DSLAM设备都提供DHCP Relay服务。

DHCP协议一个比较大的问题就是安全性比较差，其中比较突出的一点就是对于非法用户盗取合法用户的IP地址，或是非法用户仿冒合法用户的MAC地址无法进行防范，后果是合法用户无法正常上网。非法用户获取合法用户IP地址和MAC地址的方法有很多，比较常见的一种就是采用网络嗅探工具窃听DHCP client和DHCP server之间的DHCP广播报文，从DHCP报文中通过chaddr域获取用户的硬件地址，通过ciaddr域获取DHCP server向DHCP client分配的IP地址，然后进行仿冒和攻击。假如DHCP server或是DHCP Relay相应用户的报文都可以用单播报文的话，那么在很大程度上可以防止用户的IP地址以及硬件地址被IP层同子网或是链路层同广播域的仿冒攻击者窃听到。但是实际情况是，DHCP协议为了兼顾各种类型的DHCP client，在DHCP报文的flags字段的最左的bit位设置了报文广播标记，flags字段的编码格式如图2所示。如果客户端在未分配到IP地址的情况下无法接受单播报文，那么就在发送报文中设置广播标记为1，否则设置为0，DHCP server或者DHCP Relay根据此广播标记决定向用户发送单播相应报文或是广播相应报文。目前DHCP server或者启动了DHCP Relay服务的路由器，以及三层交换机或者具有三层功能的DSLAM设备对于用户(DHCPclient)的报文处理并不一样，最简化的处理就是在用户IP地址未完全分配到的情况下都用广播报文进行响应，忽略用户报文中的flags字段中的广播标记；比较规范的做法是对于广播标记设置为1的DHCP client用广播响应，设置为0的用单播响应；两种情况下都存在广播响应的问题，无法做到完全的单播响应，这就使得仿冒攻击者侦测报文有了可趁之机。

发明内容

本发明要解决的技术问题是提供一种防止IP地址泄露的系统和设备，克服现有技术单纯使用广播标记来确定DHCP Relay对DHCP报文的转发方式，从而造成DHCP服务器分配的IP地址容易泄露的缺点。

本发明采用如下的技术方案：

一种防止IP地址泄露的系统，包括步骤：所述系统包括动态主机配置协议中继设备，

所述动态主机配置协议中继设备捕获动态主机配置协议客户端发送的动态主机配置协议报文后，记录发送该报文的用户端口地址；从该报文的客户硬件地址字段查找到所述动态主机配置协议客户端的介质访问控制地址，建立介质访问控制地址和用户端口地址的对应关系；

在接收到动态主机配置协议服务器发送的响应报文后，所述动态主机配置协议中继设备根据该响应报文中的客户硬件地址字段，查找到介质访问控制地址；根据该介质访问控制地址和用户端口地址的对应关系查找到相应的用户端口地址；然后直接将该响应报文发送到用户端口地址确定的用户端口上。

一种动态主机配置协议中继设备，所述设备包括报文接收监控模块和对应关系表；

所述报文接收监控模块对每一个用户端口进行实时监控，当有DHCP报文来时，报文接收监控模块就将DHCP报文和发送报文的用户端口信息一起转发给主处理模块，主处理模块就会将用户端口地址和从DHCP报文中查到的相应的MAC地址一起存入所述对应关系表；

所述对应关系表，包括所述MAC地址和用户端口地址的对应关系；所述动态主机配置协议中继设备在接收到来自动态主机配置协议服务器的响应报文后，还用于根据该响应报文中的客户硬件地址字段，查找到介质访问控制地址；根据所述对应关系表中的该介质访问控制地址和用户端口地址的对应关系查找到相应的用户端口地址；然后直接将该响应报文发送到用户端口地址确定的用户端口上。

本发明的技术方案通过记录DHCP client的MAC地址和端口地址，建立MAC地址和端口地址的对应关系，保证所有经过DHCP Relay或者DSLAM设备的DHCP服务器响应报文都能只发送到发起请求的用户，不会造成报文广播，有效防止了用户窃听，增加了DHCP协议应用的安全性；同时减少了二层网络的广播报文发送，节省了网络带宽资源。

附图说明

本发明包括如下附图：

图1是现有技术DSLAM结构图；

图2是现有技术DHCP报文的flags字段编码格式；

图3是本发明对DHCP报文进行处理的流程图。

具体实施方式

下面结合附图和实施例对本发明作进一步详细说明：

本发明的要点是当DHCP client(动态主机配置协议客户端)和DHCPserver(动态主机配置协议服务器)不在一个IP子网内，DHCP Relay(动态主机配置协议中继设备)或者启动了DHCP Relay agent(动态主机配置协议中继代理)服务的DSLAM，根据DHCP client发送的DHCP DISCOVER/REQUEST报文记录DHCP client的MAC地址，并在接收到DISCOVER/REQUESTIP报文时记录发送报文的用户端口地址；然后建立MAC地址和用户端口地址的对应关系，在接收到DHCP server发送的响应报文后，DHCP Relay或者DSLAM设备根据DHCP报文中的chaddr字段，查找到MAC地址；根据MAC地址和用户端口地址的对应关系查找到响应的用户端口；然后直接将该DHCP报文发送到该用户端口上，不广播到其它用户端口；这样就保证了DHCP server分配给DHCP client的IP地址和DHCP client的MAC地址不会被三层同子网、二层同广播域的其它用户窃听到。

本发明对DHCP报文的处理过程包括如图3所示的步骤；下面通过对图3所示步骤的具体说明，阐述本发明的实现过程。

步骤1、DHCP client(DHCP客户端)发送DHCP DICORVER(动态主机配置协议发现报文)，寻找DHCP server(动态主机配置协议服务器)；

步骤2、DHCP Relay(动态主机配置协议中继设备)或者DSLAM设备捕获该DHCP DISCOVER报文，从DHCP DISCOVER报文的chaddr字段(客户硬件地址字段)查找到DHCP client的MAC(Media AccessControl，介质访问控制)地址，记录发送报文的用户端口地址，并将该MAC地址和用户端口地址填入对应关系表；

步骤3、根据在DHCP Relay或者DSLAM设备上配置的DHCP服务器(可能的方式是固定配置、或者根据用户入接口绑定服务器配置、根据用户的MAC地址段选择服务器，根据DHCP报文的OPTION60域选择服务器)，DHCP Relay或者DSLAM设备向DHCP server单播发送DHCP DISCOVER报文(封装DHCP DISCOVER报文的IP报文的目标IP地址设置为选定的DHCP服务器地址)；

步骤4、DHCP Relay或者DSLAM设备接收DHCP server响应的DHCP OFFER(动态主机配置协议响应发现报文)；

步骤5、DHCP Relay或者DSLAM设备根据DHCP OFFER报文的chaddr字段得到用户的MAC地址，根据该MAC地址查找对应关系表，得到用户端口地址；

步骤6、DHCP Relay或者DSLAM设备重新生成DHCP OFFER报文，不改变DHCP OFFER报文中的广播标记；只将DHCP OFFER报文发送到步骤5中得到的用户端口地址；

步骤7、DHCP客户端发送DHCP REQUEST报文(动态主机配置协议请求报文)；

步骤8、DHCP Relay或者DSLAM设备捕获该DHCP REQUEST报文，从DHCP REQUEST报文的chaddr字段查找到DHCP client的MAC地址，将该MAC地址与对应关系表中的MAC地址进行比较，若对应关系表中已有该MAC地址，则执行步骤9，否则将该MAC地址和相应的用户端口地址存入对应关系表；

步骤9、根据在DHCP Relay或者DSLAM设备上配置的DHCP服务器，DHCP Relay或者DSLAM设备向DHCP server单播发送DHCPREQUEST报文(封装DHCP REQUEST报文的IP报文的目标IP地址设置为选定的DHCP server地址)；

步骤10、DHCP Relay或者DSLAM设备接收DHCP server发送的DHCP ACK报文(动态主机配置协议响应请求报文)；

步骤11、DHCP Relay或者DSLAM设备根据DHCP ACK报文的chaddr字段得到用户的MAC地址，根据用户MAC地址查找对应关系表，得到相应的用户端口地址；

步骤12、DHCP Relay或者DSLAM设备重新生成DHCP ACK报文，不改变DHCP ACK报文中的广播标记；只将DHCP ACK报文发送到步骤11中得到的用户端口地址。

在上面的实施例中，DHCP Relay或者DSLAM设备上设置有报文接收监控模块，对每一个用户端口进行实时监控，当有DHCP报文来时，报文接收监控模块就将DHCP报文和发送报文的用户端口信息一起转发给主处理模块，主处理模块就会将用户端口地址和从DHCP报文中查到的相应的MAC地址一起存入对应关系表。

虽然通过参照本发明的优选实施例，已经对本发明进行了图示和描述，但本领域的普通技术人员应该明白，可以在形式上和细节上对其作各种各样的改变，而不偏离所附权利要求书所限定的本发明的精神和范围。

Claims

1.一种防止IP地址泄露的系统，其特征在于，所述系统包括动态主机配置协议中继设备，

2.根据权利要求1所述的防止IP地址泄露的系统，其特征在于，所述动态主机配置协议客户端发送动态主机配置协议发现报文，寻找动态主机配置协议服务器；

所述动态主机配置协议中继设备捕获该动态主机配置协议发现报文，从该报文的客户硬件地址字段查找到介质访问控制地址，记录发送报文的用户端口地址，并将该介质访问控制地址和用户端口地址填入对应关系表；

所述动态主机配置协议中继设备根据配置选择动态主机配置协议服务器，将封装动态主机配置协议发现报文的IP报文的目标IP地址设置为选定的动态主机配置协议服务器地址，然后发送该动态主机配置协议发现报文。

3.根据权利要求1所述的防止IP地址泄露的系统，其特征在于，所述动态主机配置协议客户端发送动态主机配置协议请求报文；

所述动态主机配置协议中继设备捕获该动态主机配置协议请求报文，从该报文的客户硬件地址字段查找到介质访问控制地址，记录发送报文的用户端口地址，并将该介质访问控制地址和用户端口地址填入对应关系表；

所述动态主机配置协议中继设备根据配置选择动态主机配置协议服务器，将封装动态主机配置协议请求报文的IP报文的目标IP地址设置为选定的动态主机配置协议服务器地址，然后发送该动态主机配置协议请求报文。

4.根据权利要求2所述的防止IP地址泄露的系统，其特征在于，所述动态主机配置协议中继设备接收动态主机配置协议服务器的动态主机配置协议响应发现报文；

所述动态主机配置协议中继设备根据动态主机配置协议响应发现报文的客户硬件地址字段查找到介质访问控制地址，根据该介质访问控制地址查找对应关系表，得到用户端口地址；

所述动态主机配置协议中继设备重新生成动态主机配置协议响应发现报文，不改变该报文中的广播标记；直接将该报文发送到用户端口地址确定的用户端口上。

5.根据权利要求3所述的防止IP地址泄露的系统，其特征在于，所述动态主机配置协议中继设备接收动态主机配置协议服务器发送的动态主机配置协议响应请求报文；

所述动态主机配置协议中继设备根据动态主机配置协议响应请求报文的客户硬件地址字段查找到介质访问控制地址，根据该介质访问控制地址查找对应关系表，得到用户端口地址；

所述动态主机配置协议中继设备重新生成动态主机配置协议响应请求报文，不改变该报文中的广播标记；直接将该报文发送到用户端口地址确定的用户端口上。

6.根据权利要求1至5任一所述的防止IP地址泄露的系统，其特征在于：所述动态主机配置协议中继设备为数字用户线路接入复用器。

7.一种动态主机配置协议中继设备，其特征在于，所述设备包括报文接收监控模块和对应关系表；

所述报文接收监控模块对每一个用户端口进行实时监控，当有动态主机配置协议报文来时，报文接收监控模块就将动态主机配置协议报文和发送报文的用户端口信息一起转发给主处理模块，主处理模块就会将用户端口地址和从动态主机配置协议报文中查到的相应的介质访问控制地址一起存入所述对应关系表；

所述对应关系表，包括所述介质访问控制地址和用户端口地址的对应关系；

所述动态主机配置协议中继设备在接收到来自动态主机配置协议服务器的响应报文后还用于根据该响应报文中的客户硬件地址字段，查找到介质访问控制地址；根据所述对应关系表中的该介质访问控制地址和用户端口地址的对应关系查找到相应的用户端口地址；然后直接将该响应报文发送到用户端口地址确定的用户端口上。

8.根据权利要求7所述的动态主机配置协议中继设备，其特征在于：所述动态主机配置协议中继设备为数字用户线路接入复用器。