CN101552677B - 一种地址检测报文的处理方法和交换设备 - Google Patents

Abstract

本发明提供了一种地址检测报文的处理方法和交换设备，其中，方法包括：交换设备接收到邻居发现(ND)地址检测报文后，不再将该ND地址检测报文转发给主机；获取所述ND地址检测报文的源媒体接入控制(MAC)地址、入端口信息和所请求的IP地址；判断该交换设备是否已经存储包含所述IP地址的安全表项，如果是向接收所述ND地址检测报文所使用的端口回复指示所述IP地址已被使用的报文；否则，将获取的源MAC地址、入端口信息和所请求的IP地址存储为安全表项。本发明能够更加简单地防止通过仿冒指示IP地址已被使用的报文进行的安全攻击。

Description

一种地址检测报文的处理方法和交换设备

技术领域

本发明涉及网络通信技术领域，特别涉及一种地址检测报文的处理方法和交换设备。

背景技术

IPv6是IPv4的下一代网络协议，解决了IPv4地址匮乏的问题，与IPv4相比，具有固定长度的简洁报文头和内置的安全性，提供更好的服务质量(QoS)支持和移动性支持。邻居发现(ND)协议作为IPv6的基础协议，提供了地址解析、路由器发现、邻居不可达检测、重复地址检测等功能。

但是ND协议报文容易称为攻击者伪造的对象，被用于进行网络攻击。如图1所示的网络架构中，交换机可以接收到与其直连的所有主机发送的ND协议报文，当主机需要使用一个IP地址时，将该IP地址携带在ND地址检测报文中发送给交换机，交换机将该ND地址检测报文进行转发，如果在设定时间内没有接收到指示该IP地址已被使用的报文，则认为该IP地址尚未被使用，是有效的，交换机存储包含ND地址检测报文携带的IP地址、源媒体接入控制(MAC)地址和入端口信息的表项用于后续对该主机的报文转发。如果攻击者在接收到交换机转发的ND地址检测报文后，仿冒发送指示该ND地址检测报文所请求的IP地址已被使用的报文，则会造成所请求使用的IP地址对应的表项无法生效，请求使用该IP地址的主机无法正常通信。例如，在主机A发送包含IP_A的ND地址检测报文后，如果主机B是攻击者，则主机B在接收到交换机转发的ND地址检测报文后，仿冒发送指示该IP_A已被使用的报文，则会导致主机A请求的IP地址无法生效，主机A无法进行正常的通信。

针对上述安全攻击，现有技术中提供了一种对ND协议报文进行加密的方式，需要通信的网络节点之间实现加密和解密的处理。这就需要在组网时对各网络节点进行加密解密的相关配置，使用复杂度较高。

发明内容

有鉴于此，本发明提供了一种地址检测报文的处理方法和交换设备，以便于更加简单地防止通过仿冒指示IP地址已被使用的报文进行的安全攻击。

一种地址检测报文的处理方法，该方法包括：

A、交换设备接收到邻居发现ND地址检测报文后，不将所述ND地址检测报文转发给主机；

B、获取所述ND地址检测报文的源媒体接入控制MAC地址、入端口信息和所请求的IP地址；

C、判断该交换设备是否已经存储包含所述IP地址的安全表项，如果是，执行步骤D；否则，执行步骤E；

D、向接收所述ND地址检测报文所使用的端口回复指示所述IP地址已被使用的报文，结束流程；

E、将步骤B获取的源MAC地址、入端口信息和所请求的IP地址存储为安全表项用于除ND地址检测报文之外的其它报文的转发。

一种交换设备，该交换设备包括：报文接收单元、报文处理单元、第一判断单元和表项存储单元；

所述报文接收单元，用于接收报文；

所述报文处理单元，用于在所述报文接收单元接收到ND地址检测报文时，不将所述ND地址检测报文转发给主机，获取所述ND地址检测报文的源MAC地址、入端口信息和所请求的IP地址；接收到回复通知后，向接收所述ND地址检测报文所使用的端口回复指示所述IP地址已被使用的报文；

所述第一判断单元，用于判断该交换设备是否已经存储包含所述IP地址的安全表项，如果是，向报文处理单元发送回复通知；否则，向所述表项存储单元发送存储通知；

所述表项存储单元，用于接收到存储通知后，将所述报文处理单元获取的源MAC地址、入端口信息和所请求的IP地址存储为安全表项用于除ND地址检测报文之外的其它报文的转发。

由以上技术方案可以看出，在本发明中，交换设备接收到ND地址检测报文后，不再将ND地址检测报文转发给主机，且不再依赖ND地址检测报文的回复结果来建立安全表项，而是通过判断交换设备是否已经存储包含所请求IP地址的安全表项来确定是否建立安全表项用于除ND地址检测报文之外的其它报文转发，即判断该交换设备是否已经存储包含该IP地址的安全表项，如果是，向接收该ND地址检测报文所使用的端口回复指示该IP地址已被使用的报文；否则将ND地址检测报文的源MAC地址、入端口信息和所请求的IP地址存储为安全表项。通过这种方式，交换设备将主机发送的ND地址检测报文进行阻截和处理，攻击者对于指示IP地址已被使用的报文进行的仿冒不能够干涉安全表项的生成，且相比较对ND协议报文进行加密和解密的处理方式，更加简单地防止了通过仿冒指示IP地址已被使用的报文进行的安全攻击。

附图说明

图1为攻击者进行网络攻击的示意图；

图2为本发明实施例提供的详细方法流程图；

图3为ND地址检测报文的格式图；

图4为NA报文的格式图；

图5为多个交换机相连的组网架构图；

图6为本发明实施例提供的交换设备组成示意图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面结合附图和具体实施例对本发明进行详细描述。

本发明所提供的方法可以主要包括：交换设备接收到主机发送的ND地址检测报文后，不将该ND地址检测报文转发给其它主机；获取ND地址检测报文的源MAC地址、入端口信息和所请求的IP地址；判断该交换设备是否已经存储包含该IP地址的安全表项，如果是，向接收该ND地址检测报文所使用的端口回复指示该IP地址已被使用的报文；否则，将获取的源MAC地址、入端口信息和所请求的IP地址存储为安全表项用于除ND地址检测报文之外的其它报文的转发。

其中，上述交换设备可以是交换机、路由器等二层接入设备或三层转发设备。

下面对本发明提供的上述方法进行详细描述。图2为本发明实施例提供的详细方法流程图，该实施例中以交换机和主机构成的局域网为例进行描述，如图2所示，该方法可以包括以下步骤：

步骤201：交换机接收到主机发送的ND地址检测报文后，不将该ND地址检测报文转发给其它主机。

在ND协议中，主机在使用任何单播地址之前均需要检测IP地址是否有效，该检测IP地址是否有效的报文为ND地址检测报文；通常，ND地址检测报文的源地址为未指定地址(即全0的地址)的ND协议报文，交换设备接收到源地址为未指定地址的ND协议报文时，确定该报文为ND地址检测报文。当主机需要使用一个IP地址时，需要将携带该IP地址的ND地址检测报文在网络中广播，并进行重复地址检测。

为了防止攻击者仿冒指示IP地址已被使用的报文，例如ND地址检测报文的回复(NA)报文，本发明中，交换机不再将接收到的主机发送的ND地址检测报文转发给其它主机，而是采用以下步骤中所描述的方式生成安全表项。

步骤202：获取ND地址检测报文的源MAC地址、入端口信息和所请求的IP地址。

ND地址检测报文的格式可以如图3所示，其中类型(Type)字段的内容为135，主机请求的IP地址携带在ND地址检测报文的目标地址(TargetAddress)字段中。

其中，入端口信息可以是虚拟局域网(VLAN)接口与二层物理端口的结合；也可以是三层以太网接口。

步骤203：交换机判断是否已经存储包含所请求IP地址的安全表项，如果是，执行步骤204；否则，执行步骤209。

步骤204：判断包含该IP地址的安全表项的内容是否与步骤202获取的源MAC地址、入端口信息和IP地址相同，如果是，执行步骤208；否则，执行步骤205。

如果交换机已经存储包含所请求IP地址的安全表项，则在本步骤中进一步确定存储的安全表项内容是否与ND地址检测报文的入端口和源MAC地址完全一致。如果完全一致，则说明该IP地址已被使用，不能再被发送该ND地址检测报文的主机使用。如果不完全一致，则有可能是原来使用该IP地址的主机更换了端口或MAC地址，则按照原有的表项构造ND地址检测报文进行发送检测原有主机是否仍再使用该IP地址，即执行步骤205。

步骤205：向包含该IP地址的安全表项所记录的端口发送携带该IP地址的ND地址检测报文。

步骤206：判断在设定时间内是否接收到指示该IP地址已被使用的报文，如果是，执行步骤208。否则，执行步骤207。

如果在设定时间内接收到指示该IP地址已被使用的报文，则说明该IP地址仍被原有主机使用，即包含该IP地址的安全表项仍有效，发送ND地址检测报文的主机不能使用该IP地址。如果在设定时间内没有接收到指示该IP地址已被使用的报文，则说明包含该IP地址的安全表项已经无效，则发送ND地址检测报文的主机可以使用该IP地址，交换机执行步骤207。

步骤207：将包含该IP地址的安全表项内容替换为步骤202获取的源MAC地址、入端口信息和所请求的IP地址，结束流程。

步骤208：向接收ND地址检测报文所使用的端口回复指示该IP地址已被使用的报文，结束流程。

本步骤中指示该IP地址已被使用的报文可以为NA报文，NA报文的格式可以如图4所示，类型字段为136，IP地址携带在目标地址(Target Address)字段中，发送ND地址检测报文的主机接收到该NA报文后，从目标地址字段中获取该IP地址，确定该IP地址不能使用。

步骤209：将步骤202获取的源MAC地址、入端口信息和所请求的IP地址存储为安全表项，结束流程。

另外，在如图5所示的组网环境中可能存在多个交换机相连，为了保证与交换机1相连的主机可以通过交换机2进行正常的报文转发，同时保证与交换机2相连的主机可以通过交换机1进行正常的报文转发，需要在交换机1和交换机2上都按照本发明提供的方法对ND地址检测报文进行处理，并建立表项。因此，更优地，交换机接收到ND检测报文后可以通过预设的信任端口转发给与其相连的其它交换机。如图5所示，将交换机1和交换机2之间的端口设置为信任端口，交换机1接收到ND地址检测报文后，仅通过信任端口进行转发，不通过其它端口转发。在交换机2通过信任端口接收到ND地址检测报文后，对该ND地址检测报文的处理方式如图2所示的流程相同。

更进一步地，为了防止有些主机已经不再使用某些IP地址，即交换机存储的安全表项中有些可能是失效的，交换机可以每隔固定时间对存储的各安全表项进行有效性检测。检测的具体方式可以为：向安全表项记录的端口发送携带该安全表项所记录IP地址的ND地址检测报文，判断在设定时间内是否接收到指示该IP地址已被使用的报文，如果是，则保留该安全表项，否则删除该安全表项。

在交换机对安全表项进行有效性检测时，如果有主机正在使用该安全表项所使用的IP地址，则会回复指示该IP地址已被使用的报文，交换机接收到该报文后，确定该安全表项仍有效，因此，保留该安全表项。如果在设定时间内没有接收到指示该IP地址已被使用的报文，说明该安全表项已经没有被使用，该安全表项无效，可以删除该安全表项。

通过上述方式建立放入安全表项用于指导交换机进行除ND地址检测报文之外的其它报文的转发，可以具体为：交换机接收到除ND地址检测报文之外的其它报文后，判断是否存储与接收到的该其它报文的源IP地址、入端口信息和源MAC地址一致的安全表项，如果是，转发该其它报文；否则丢弃该其它报文。

以上是对本发明提供的方法进行的详细描述，下面对本发明所提供的交换设备进行详细描述。图6为本发明实施例提供的交换设备组成示意图，如图6所示，该交换设备可以包括：报文接收单元601、报文处理单元602、第一判断单元603和表项存储单元604。

报文接收单元601，用于接收报文。

报文处理单元602，用于在报文接收单元601接收到ND地址检测报文时，不将该ND地址检测报文转发给主机，获取该ND地址检测报文的源MAC地址、入端口信息和所请求的IP地址；接收到回复通知后，向接收该ND地址检测报文所使用的端口回复指示该IP地址已被使用的报文。

第一判断单元603，用于判断该交换设备是否已经存储包含报文处理单元602获取的IP地址的安全表项，如果是，向报文处理单元602发送回复通知；否则，向表项存储单元604发送存储通知。

表项存储单元604，用于接收到存储通知后，将报文处理单元602获取的源MAC地址、入端口信息和所请求的IP地址存储为安全表项用于除ND地址检测报文之外的其它报文的转发。

上述的报文处理单元602、第一判断单元603和表项存储单元604均可以由交换设备的CPU实现，本发明中交换设备对于接收到的ND地址检测报文直接上送CPU进行处理，不进行针对主机的硬件转发。但是，报文处理单元602可以将ND地址检测报文通过预设的信任端口转发给其它交换设备。以使得其它交换设备也能够存储安全表项以完成各主机的报文转发工作。

更优地，该交换设备还可以包括：第一检测单元605，用于每隔预设时间对各存储表项分别进行有效性检测，可以具体为：向安全表项记录的端口发送携带该安全表项所记录IP地址的ND地址检测报文；判断报文接收单元601在设定时间内是否接收到指示该IP地址已被使用的报文，如果否，指示表项存储单元604删除该安全表项。

更优地，在第一判断单元603和报文处理单元602之间还可以包括：第二判断单元606和第二检测单元607。

第二判断单元，用于接收第一判断单元603发送的回复通知，判断包含上述所请求的IP地址的安全表项的内容是否与报文处理单元602获取的源MAC地址、入端口信息和所请求的IP地址相同，如果是，将回复通知转发给报文处理单元602；否则将回复通知转发给第二检测单元607。

第二检测单元607，用于接收到回复通知后，向包含该IP地址的安全表项所记录的端口发送携带该IP地址的ND地址检测报文，如果报文接收单元601在设定时间内接收到指示该IP地址已被使用的报文，则将回复通知转发给报文处理单元602；否则通知表项存储单元604将包含该IP地址的安全表项内容替换为报文处理单元602获取的源MAC地址、入端口信息和所请求的IP地址。

对于除ND地址检测报文之外的其它报文，交换设备可以根据存储的安全表项进行硬件转发处理，此时，交换设备还可以包括：第三判断单元608和硬件转发单元609。

第三判断单元608在报文接收单元601接收到除ND地址检测报文之外的其它报文时，判断该交换设备是否已经存储与其它报文的源IP地址、入端口信息和源MAC地址一致的安全表项，如果是，通知硬件转发单元609转发该其它报文；否则，通知硬件转发单元609丢弃该其它报文。

其中，除ND地址检测报文之外的其它报文可以是IPv6数据报文，也可以是除ND地址检测报文之外的其它ND协议报文等。

由以上描述可以看出，本发明提供的方法和交换设备具有以下优点：

1)在本发明中，交换设备接收到ND地址检测报文后，不再将ND地址检测报文转发给主机，且不再依赖ND地址检测报文的回复报文来建立安全表项，而是通过判断交换设备是否已经存储包含所请求IP地址的安全表项来确定是否建立安全表项用于除ND地址检测报文之外的其它报文转发，即判断该交换设备是否已经存储包含该IP地址的安全表项，如果是，向接收该ND地址检测报文所使用的端口回复指示该IP地址已被使用的报文；否则将ND地址检测报文的源MAC地址、入端口信息和所请求的IP地址存储为安全表项。通过这种方式，交换设备将主机发送的ND地址检测报文进行阻截和处理，攻击者对于指示IP地址已被使用的报文进行的仿冒不能够干涉安全表项的生成，且相比较对ND协议报文进行加密和解密的处理方式，更加简单地防止了通过仿冒指示IP地址已被使用的报文进行的安全攻击。

2)本发明在建立安全表项之前不会将接收到的ND地址检测报文转发给主机，从而避免了诸如MAC地址、入端口等用户信息的泄漏，更进一步保障了用户的安全。

3)本发明配置简单，仅需要在交换设备上进行简单的特性使能，具体为对接收到的ND地址检测报文的处理方式进行简单变更即可实现对安全攻击的防御。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (10)

1.一种地址检测报文的处理方法，其特征在于，该方法包括：

A、交换设备接收到邻居发现ND地址检测报文后，不将所述ND地址检测报文转发给主机；

B、获取所述ND地址检测报文的源媒体接入控制MAC地址、入端口信息和所请求的IP地址；

C、判断该交换设备是否已经存储包含所述IP地址的安全表项，如果是，执行步骤D；否则，执行步骤E；

D、向接收所述ND地址检测报文所使用的端口回复指示所述IP地址已被使用的报文，结束流程；

E、将步骤B获取的源MAC地址、入端口信息和所请求的IP地址存储为安全表项用于除ND地址检测报文之外的其它报文的转发。

2.根据权利要求1所述的方法，其特征在于，所述步骤A还包括：将接收到的所述ND地址检测报文通过预设的信任端口转发给其它交换设备。

3.根据权利要求1所述的方法，其特征在于，该方法还包括：所述交换设备每隔预设时间对存储的各安全表项分别进行以下有效性检测：

向安全表项记录的端口发送携带该安全表项所记录IP地址的ND地址检测报文；

判断在设定时间内是否接收到指示该IP地址已被使用的报文，如果是，保留该安全表项；否则，删除该安全表项。

4.根据权利要求1所述的方法，其特征在于，在所述步骤C和步骤D之间还包括：

C1、判断包含所述IP地址的安全表项的内容是否与步骤B获取的源MAC地址、入端口信息和所请求的IP地址相同，如果是，执行步骤D；否则执行步骤C2；

C2、向包含所述IP地址的安全表项所记录的端口发送携带所述IP地址的 ND地址检测报文，如果在设定时间内接收到指示所述IP地址已被使用的报文，则执行步骤D，否则执行步骤C3；

C3、将包含所述IP地址的安全表项内容替换为步骤B获取的源MAC地址、入端口信息和所请求的IP地址。

5.根据权利要求1至4任一权项所述的方法，其特征在于，该方法还包括：所述交换设备接收到除ND地址检测报文之外的其它报文时，判断是否存储与接收到的所述其它报文的源IP地址、入端口信息和源MAC地址一致的安全表项，如果是，则转发所述其它报文，否则丢弃所述其它报文。

6.一种交换设备，其特征在于，该交换设备包括：报文接收单元、报文处理单元、第一判断单元和表项存储单元；

所述报文接收单元，用于接收报文；

所述报文处理单元，用于在所述报文接收单元接收到邻居发现ND地址检测报文时，不将所述ND地址检测报文转发给主机，获取所述ND地址检测报文的源MAC地址、入端口信息和所请求的IP地址；接收到回复通知后，向接收所述ND地址检测报文所使用的端口回复指示所述IP地址已被使用的报文；

所述第一判断单元，用于判断该交换设备是否已经存储包含所述IP地址的安全表项，如果是，向报文处理单元发送回复通知；否则，向所述表项存储单元发送存储通知；

所述表项存储单元，用于接收到存储通知后，将所述报文处理单元获取的源MAC地址、入端口信息和所请求的IP地址存储为安全表项用于除ND地址检测报文之外的其它报文的转发。

7.根据权利要求6所述的交换设备，其特征在于，所述报文处理单元，还用于将所述ND地址检测报文通过预设的信任端口转发给其它交换设备。

8.根据权利要求6所述的交换设备，其特征在于，该交换设备还包括：第一检测单元，用于每隔预设时间对各安全表项分别进行有效性检测，具体为：向安全表项记录的端口发送携带该安全表项所记录IP地址的ND地址检测报文；判断所述报文接收单元在设定时间内是否接收到指示该IP地址已被使用的报文，如果否，指示所述表项存储单元删除该安全表项。

9.根据权利要求6所述的交换设备，其特征在于，该交换设备还包括：第二判断单元和第二检测单元；

所述第二判断单元，用于接收所述第一判断单元发送的回复通知，判断包含所述IP地址的安全表项的内容是否与所述报文处理单元获取的源MAC地址、入端口信息和所请求的IP地址相同，如果是，将所述回复通知转发给所述报文处理单元；否则将所述回复通知转发给所述第二检测单元；

所述第二检测单元，用于接收到回复通知后，向包含所述IP地址的安全表项所记录的端口发送携带所述IP地址的ND地址检测报文，如果所述报文接收单元在设定时间内接收到指示所述IP地址已被使用的报文，则将回复通知转发给所述报文处理单元；否则通知所述表项存储单元将包含所述IP地址的安全表项内容替换为所述报文处理单元获取的源MAC地址、入端口信息和所请求的IP地址。

10.根据权利要求6至9任一权项所述的交换设备，其特征在于，该交换设备还包括：第三判断单元和硬件转发单元；

所述第三判断单元，用于在所述报文接收单元接收到除ND地址检测报文之外的其它报文时，判断该交换设备是否已经存储与所述其它报文的源IP地址、入端口信息和源MAC地址一致的安全表项，如果是，通知所述硬件转发单元转发所述其它报文；否则，通知所述硬件转发单元丢弃所述其它报文。 

Images