CN101674309A

CN101674309A - 一种以太网接入的方法及装置

Info

Publication number: CN101674309A
Application number: CN200910190222A
Authority: CN
Inventors: 洪创业; 郭金辉
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2009-09-23
Filing date: 2009-09-23
Publication date: 2010-03-17
Anticipated expiration: 2029-09-23
Also published as: CN101674309B

Abstract

本发明公开以太网接入的方法及装置，该方法包括：记录完成接入交互认证的用户的MAC地址；当受到接入攻击时，启动MAC检测功能；接收用户接入请求报文，获取所述用户接入请求报文的源MAC地址；检测所述获取的源MAC地址是否已记录；如果所述获取的源MAC地址已记录，则对应的用户为合法用户，允许接入；如果所述获取的源MAC地址未记录，则对应的用户为非法用户，丢弃所述用户接入请求报文。在以太网未受到接入攻击时，预先记录合法用户的源MAC地址；当受到接入攻击时，启动MAC检测功能，通过对用户接入请求进行鉴权从中识别出合法用户，按正常处理流程保障合法用户正常接入，最大限度保障用户和运营商双方的利益。

Description

一种以太网接入的方法及装置

技术领域

本发明涉及以太网通讯技术，特别涉及一种以太网接入的方法及装置。

背景技术

随着网络技术的高速发展，以太网成为人们日常工作和生活中必不可少的工具，越来越多的终端用户通过运营商提供的接入服务连接到以太网，享受便捷的网络生活。目前的接入技术中，如图1所示，是一个简单的接入网络示意图，运营商提供以太网上的点对点协议(Point-to-Point ProtocolOver Ethernet，PPPOE)和动态主机配置协议(Dynamic Host ConfigurationProtocol，DHCP)两种接入方式供用户接入网络。面对未知的用户群，随之而来的网络安全问题，也让运营商的宽带接入设备在提供接入服务的同时，承受被非法用户利用接入服务请求进行攻击的风险。为保证设备自身和业务转发功能的正常运行，接入设备往往会采取相应的保护措施来降低这种风险，现有方法通常采用以下两种方式来保护设备安全：1、通过设置单位时间内上送接入请求报文的限速来防范攻击，超过限速值的报文将不区分合法或非法的接入请求被全部丢弃。2、在受到持续大量接入请求攻击时关闭接入电路，不接收任何接入请求报文。

而以上两种方法仅关注设备自身安全，在实际应用中存在一定的局限性：采取第一种防范方式，比如，设备配置一秒钟内允许接入30个上送请求，在合法用户发起正常的接入请求情况下，系统可以及时处理此类接入请求；而在非法用户在一秒钟内发起大量的接入请求报文攻击，例如发起大量的PPPOE方式的PPPOE有效发现初始(PPPOE Active DiscoveryInitiation，PADI)报文或DHCP方式的发现(Discover)探测报文，单位时间内超过运营商接入设备允许的30个上送请求时，为保证设备安全，系统将丢弃超过限速的所有请求报文。此时，如果有合法用户发起正常的接入请求，需要连接到网络，将同样因为运营商接入设备电路请求报文超限，此类合法用户的正常接入请求也会被设备丢弃，不做处理。更进一步的，当接入设备电路持续受到攻击，采取第二种防范方式，设备关闭电路，此时，设备将不接收和处理任何此类接入请求报文，包括正常用户的合法请求报文；而在电路疑似受到攻击时，关闭电路的次数可能是重复的。可以看出，在设备电路受到攻击时，上述两种防护方法中任何一种，都不能保证合法用户的正常接入，影响了运营商的收益，甚至遭到合法用户的投诉。

发明内容

本发明的目的在于提供以太网接入的方法及装置，在非法用户对接入设备攻击后保障合法用户正常接入，最大限度保障用户和运营商双方的利益，具有良好的实际应用价值。

本发明提供一种以太网接入的方法，接收用户的接入交互认证，该方法包括：

记录完成接入交互认证的用户的源媒体访问控制MAC地址；

当受到接入攻击时，启动MAC检测功能；

接收用户接入请求报文，获取所述用户接入请求报文的源MAC地址；

检测所述获取的源MAC地址是否已记录；

如果所述获取的源MAC地址已记录，则对应的用户为合法用户，允许接入；如果所述获取的源MAC地址未记录，则对应的用户为非法用户，丢弃所述用户接入请求报文。

进一步的，本发明还提供一种以太网接入的的装置，该装置包括：

记录单元，用于记录完成接入交互认证的用户的源媒体访问控制MAC地址；

启动单元，用于当受到接入攻击时，启动MAC检测功能；

数据接收单元，用于接收用户接入请求报文，获取所述用户接入请求报文的源MAC地址；

检测单元，用于当所述启动单元启动MAC检测功能后，检测所述数据接收单元获取的源MAC地址是否已记录；

防护单元，用于如果所述检测单元检测到获取的源MAC地址已记录，则对应的用户为合法用户，允许接入；如果所述检测单元检测到获取的源MAC地址未记录，则对应的用户为非法用户，丢弃所述用户接入请求报文。

采用本发明提供的以太网接入的方法及装置，在以太网未受到接入攻击时，预先记录合法用户的源MAC地址；当受到接入攻击时，启动MAC检测功能，通过对用户接入请求进行鉴权从中识别出合法用户，按正常处理流程保障合法用户正常接入，能够在底层就根据链路层内容进行鉴权，在非法用户对接入设备攻击后保障合法用户正常接入，最大限度保障用户和运营商双方的利益。并可以普遍适用于企业局域网、运营商接入网、校园接入网等网络环境，具有良好的实际应用价值。

附图说明

图1示出现有PPPOE和DHCP方式接入组网示意图；

图2示出PPPOE接入请求会话消息流程示意图；

图3示出DHCP接入请求会话消息流程示意图；

图4示出PPPOE报文封装格式示意图；

图5示出DHCP报文封装格式示意图；

图6示出受到接入攻击时实现保障合法用户正常接入方法的流程图；

图7示出受到接入攻击时实现保障合法用户正常接入方法的示意图；

图8示出本发明以太网接入的的装置的结构示意图。

具体实施方式

下面结合附图对本发明的具体实施方式做详细阐述。通常动态的接入网络中，对非法用户的鉴别目前技术并不完善，本发明通过获得合法用户的用户特征来识别出非法用户，从而在接入设备电路受到非法用户攻击时，通过识别用户特征，优先保证合法用户的接入。

一种以太网接入的方法，该方法包括未受到接入攻击时预先记录合法用户的源媒体访问控制(Media Access Control，MAC)地址以及受到接入攻击时对接入请求报文进行鉴权。

其中，未受到接入攻击时预先记录合法用户的源MAC地址包括：

接入设备电路接收用户的接入交互认证，并记录完成接入交互认证的用户的源媒体访问控制(MediaAccess Control，MAC)地址。由于MAC地址可以唯一标识合法用户，因此，在本发明中采用源MAC地址作为用户特征。

图2示出PPPOE接入请求会话消息流程示意图；图3示出DHCP接入请求会话消息流程示意图；图4示出PPPOE报文封装格式示意图；图5示出DHCP报文封装格式示意图。

请参阅图2至图5，在未受到接入攻击时，用户运用合法的用户名和密码，通过PPPOE或DHCP方式完成正常的接入交互认证，用户采用PPPOE方式或DHCP方式请求接入时，请求报文中均会携带接入用户的源MAC信息；因此在完成接入交互认证后，接入设备电路记录此类用户的源MAC地址，即合法用户的MAC地址，形成一个记录列表。该列表可以分散存在于各接收处理单元上，由系统进行同步。该列表可以以采取老化机制的缓存形式存在，也可以以固定列表形式存在。列表可以由管理员手动或系统自动将缓存形式列表写成固定列表，并可以对记录条目做增加和/或清除等操作。将列表分散存在于各接收处理单元上，可以提高MAC地址记录的效率；对分散存在的记录进行同步可以保证接入的正常进行。

图6示出受到接入攻击时实现保障合法用户正常接入方法的流程图；图7示出受到接入攻击时实现保障合法用户正常接入方法的示意图。

请参阅图6，受到接入攻击时对接入请求报文进行鉴权包括：

步骤601、接入设备电路受到接入攻击，包括但不限于收到大量的接入请求报文，需要丢弃超过限速的请求报文；或设备持续收到大量的请求报文需要关闭电路，电路异常，执行步骤602。其中，请求报文包括但不限于PPPOE方式的PADI报文和DHCP方式的Discover探测报文；例如遭受地址解析协议(Address Resolution Protocol，ARP)报文的攻击引起电路异常。

步骤602、设备接收处理单元开启MAC检测功能。

步骤603、设备接收处理单元提取接收到的用户接入请求报文中的源MAC信息。用户接入请求报文可以包括但不限于PPPOE方式的PADI报文和DHCP方式的Discover探测报文。

步骤604、设备接收处理单元将提取的用户源MAC信息与合法用户MAC记录表中条目进行比较，如果匹配记录表中条目，不丢弃该请求报文，执行步骤605，如果查询不到该MAC信息，执行步骤609，本流程结束。

步骤605、设备按正常处理流程处理合法的用户接入请求报文。

步骤606、判断该上送的用户接入请求报文是否通过接入交互认证，如果通过认证，正常上线执行步骤607，如果认证未通过，执行步骤609，本流程结束。对于步骤604通过的用户接入请求报文进行二次认证，可以进一步提高接入的安全性。

步骤607、再次确认MAC记录表中是否存在该记录，如果存在，则本流程结束，如果该原记录刚好老化或被清除，查到不到该条记录，则执行步骤608。

步骤608、将该请求用户源MAC写入合法用户MAC记录表，本流程结束。对于步骤606二次认证通过的用户接入请求报文再次确认是否存在记录，并将原纪录老化或被清除的的用户源MAC重新记录，保证记录的完整性和准确性。

步骤609、设备将非法用户或者认证不通过的的请求报文丢弃。

如此当电路异常时，重复执行上述步骤，通过上述检测机制，保障了合法用户的正常接入；当电路正常时，对于完成认证的接入用户也可以执行步骤608；运用本方法后的接入示意图如附图7所示。

采用本发明的技术方案，通过已有的技术对接入设备自身安全防范的改进优化，简单的实现了设备电路异常时，避免在进行自身安全防范的同时影响合法用户的利益，保障了合法用户正常接入，保护了运营商的利益；运用此方法不需要硬件设备支持其它的特殊控制策略，无需增加其他设备、实现简单可行，没有增加任何成本，没有影响设备的正常运行。对当前解决网络攻击的机制优化非常有实用价值。

图8示出本发明以太网接入的的装置的结构示意图。一种以太网接入的装置，该装置可以独立设置，也可以集成在以太网接入设备(电路)中，请参与图8，该装置包括：

记录单元801，用于记录完成接入交互认证的用户的源媒体访问控制MAC地址；

启动单元802，用于当受到接入攻击时，启动MAC检测功能；

数据接收单元803，用于接收用户接入请求报文，获取用户接入请求报文的源MAC地址；

检测单元804，用于当启动单元启动MAC检测功能后，检测数据接收单元获取的源MAC地址是否已记录；

防护单元805，用于如果检测单元检测到获取的源MAC地址已记录，则对应的用户为合法用户，允许接入；如果检测单元检测到获取的源MAC地址未记录，则对应的用户为非法用户，丢弃用户接入请求报文。

进一步的，该装置还可以包括：

判断单元，用于对于防护单元允许接入的用户接入请求报文，判断是否通过接入交互认证；

写入单元，用于如果判断单元判断未通过接入交互认证，则丢弃该用户接入请求报文；如果通过接入交互认证，则再次确认该用户接入请求报文的源MAC地址在记录单元中是否存在；如果存在，则流程结束；如果原记录老化或者被清除，则将该用户接入请求报文的源MAC地址重新写入记录单元。

进一步的，记录单元包括若干记录子单元，各记录子单元分别用于分散记录源MAC地址，各记录子单元中的记录进行同步。

进一步的，记录单元中的记录以采用老化机制的缓存形式或者固定列表形式存在。

进一步的，记录单元包括：

存储子单元，用于存储记录的源MAC地址；

管理子单元，用于将存储子单元中存储的采用老化机制的缓存形式的记录写成固定列表形式的记录；和/或，对存储子单元中记录的条目进行增加和/或清除操作。

以上所述仅是本发明的具体实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims

1、一种以太网接入的方法，其特征在于，接收用户的接入交互认证，该方法包括：

记录完成接入交互认证的用户的源媒体访问控制MAC地址；

当受到接入攻击时，启动MAC检测功能；

检测所述获取的源MAC地址是否已记录；

2、根据权利要求1所述的方法，其特征在于，该方法还包括：

对于允许接入的用户接入请求报文，判断是否通过接入交互认证；

如果未通过接入交互认证，则丢弃该用户接入请求报文；如果通过接入交互认证，则再次确认该用户接入请求报文的源MAC地址在记录中是否存在；

如果存在，则流程结束；如果原记录老化或者被清除，则将该用户接入请求报文的源MAC地址重新写入。

3、根据权利要求1所述的方法，其特征在于，所述记录完成接入交互认证的用户的源MAC地址包括：

分散记录所述源MAC地址；

同步各分散的记录。

4、根据权利要求1所述的方法，其特征在于，所述记录完成接入交互认证的用户的源MAC地址包括：

将所述源MAC地址采用老化机制的缓存形式记录或者采用固定列表形式记录。

5、根据权利要求4所述的方法，其特征在于，该方法还包括：

将采用老化机制的缓存形式的记录写成固定列表形式的记录。

6、根据权利要求1至6任一项所述的方法，其特征在于，该方法还包括：

对记录的条目进行增加和/或清除操作。

7、根据权利要求1所述的方法，其特征在于，所述接入攻击包括：以太网上的点对点协议方式的有效发现初始报文和/或动态主机配置协议方式的发现探测报文引发的接入攻击。

8、根据权利要求1所述的方法，其特征在于，所述用户接入请求报文包括：以太网上的点对点协议方式的有效发现初始报文和/或动态主机配置协议方式的发现探测报文。

9、一种以太网接入的的装置，其特征在于，该装置包括：

启动单元，用于当受到接入攻击时，启动MAC检测功能；

10、根据权利要求9所述的装置，其特征在于，该装置还包括：

判断单元，用于对于所述防护单元允许接入的用户接入请求报文，判断是否通过接入交互认证；

写入单元，用于如果所述判断单元判断未通过接入交互认证，则丢弃该用户接入请求报文；如果通过接入交互认证，则再次确认该用户接入请求报文的源MAC地址在所述记录单元中是否存在；如果存在，则流程结束；如果原记录老化或者被清除，则将该用户接入请求报文的源MAC地址重新写入所述记录单元。

11、根据权利要求9所述的装置，其特征在于，所述记录单元包括若干记录子单元，所述各记录子单元分别用于分散记录所述源MAC地址，各记录子单元中的记录进行同步。

12、根据权利要求9所述的装置，其特征在于，所述记录单元中的记录以采用老化机制的缓存形式或者固定列表形式存在。

13、根据权利要求12所述的装置，其特征在于，所述记录单元包括：

存储子单元，用于存储记录的所述源MAC地址；

管理子单元，用于将所述存储子单元中存储的采用老化机制的缓存形式的记录写成固定列表形式的记录；和/或，对所述存储子单元中记录的条目进行增加和/或清除操作。