CN101834864A - 一种三层虚拟专用网中攻击防范的方法及装置 - Google Patents

Abstract

本发明公开了一种三层虚拟专用网中攻击防范的方法及装置，所述方法包括：服务端设备将允许接入的客户端设备的MAC地址范围配置到地址表中，并配置协议类型表；服务端设备接收到客户端设备发送的用于请求IP地址的信息时，检查到客户端设备的MAC地址在地址表中则分配IP地址，并记录所述IP地址和MAC地址对应关系到地址表中；服务端设备接收到客户端设备发送的报文，通过检查以太网头MAC地址判断报文的合法性，当报文为合法报文，继续检查数据链路层协议号，当报文为非法报文，将报文丢弃。本发明服务端设备通过配置地址表和协议类型表以实现客户端设备的授权访问，并可以通过检查客户端设备发送报文的内容进一步确定报文的合法性，处理效率以及攻击防范的准确性大大提高。

Description

一种三层虚拟专用网中攻击防范的方法及装置

技术领域

本发明涉及网络通信技术领域，尤其涉及一种三层虚拟专用网中的攻击防范方法及装置。

背景技术

虚拟专用网(Virtual Private Network，VPN)是一种运营商通过其公网向用户提供的虚拟专有网络，即在用户的角度来看，VPN是用户的一个专有网络。地理上彼此分离的VPN成员站点通过客户端设备(Customer Edge，CE设备)设备连接到对应的服务端设备(Provider Edge，PE设备)，通过运营商的的公网组成客户的VPN网络。

实现VPN的方法有很多，从网络层次的角度，可以划分为L2VPN(Layer 2VPN，二层虚拟专用网)和L3VPN(Layer3VPN，三层虚拟专用网)。在L3VPN中，CE设备需要与PE设备进行路由学习之后，PE设备才能通过信令为客户在分组传送网络(Package Transport Network，PTN)中创建承载客户业务的通道LSP(Label Switching Path，标记交换路径)，LSP创建之后PE设备通过PTN承载用户业务并将之传送到目的设备。

然而在L3VPN中，为了保证PE设备的安全性，使其不受或者尽可能少受第三方攻击的可能，可以通过网络流量监控网络攻击行为，但是这种检测攻击行为的方法只能通过流量粗略地进行判断，且无法深入到报文内部来识别客户报文的合法性，精确度不高；也可以通过解析源地址域名的方法来检查客户报文的合法性，但是这个检测方法效率较低，尤其在承载网络设备中，客户的业务流量巨大，此时更需要精确高效的攻击防范办法来保证PE设备的安全性。

发明内容

本发明的目的在于，提供一种三层虚拟专用网中攻击防范的方法及装置，克服当前的三层虚拟专用网中攻击防范方法的效率低以及准确性不高的问题。

本发明采用以下技术方案，一种三层虚拟专用网中攻击防范的方法，所述方法包括以下步骤：

服务端设备将允许接入的客户端设备的MAC地址范围配置到地址表中，并配置协议类型表；

服务端设备接收到客户端设备发送的用于请求IP地址的信息时，检查到客户端设备的MAC地址在所述地址表中时，服务端设备分配IP地址给所述客户端设备，并记录所述客户端设备的IP地址和MAC地址对应关系到地址表中；

服务端设备接收到客户端设备发送的报文时，通过检查以太网头MAC地址判断所述报文的合法性，当所述报文为合法报文时，则继续检查数据链路层协议号，当所述报文为非法报文时，则将所述报文丢弃。

与现有技术相比较，本发明的有益效果：服务端设备通过配置地址表和协议类型表以实现客户端设备的授权访问，并可以通过检查客户端设备发送报文的内容，如客户端设备的MAC地址等信息进一步确定报文的合法性，处理效率以及攻击防范的准确性大大提高，更好地保证了PE设备的安全性。

附图说明

图1是本发明实施例提供的三层虚拟专用网中攻击防范方法的流程图；

图2是本发明实施例应用上述三层虚拟专用网中攻击防范方法的系统架构图；

图3是本发明实施例提供的三层虚拟专用网中攻击防范装置的结构示意图；

图4是本发明实施例提供的三层虚拟专用网中攻击防范方法中地址表结构示意图。

具体实施方式

下面结合附图对本发明提供的三层虚拟专用网中攻击防范的方法及装置进行详细说明。

图1示出了本发明实施例提供的三层虚拟专用网中攻击防范方法的流程。如图1所示，所述方法包括下述步骤：

步骤S101，PE设备上电，将允许接入的客户端设备的MAC地址范围配置到地址表中，同时配置协议类型表。

例如，允许接入的客户端设备的MAC地址范围可以为1:2:3:4:5:6～1:2:3:4:5:7等，其中所述地址表的结构示意参见图4，包括IP地址、子网前缀、合法MAC地址指针、合法协议类型指针、及密钥等。

步骤S102，CE设备上电，向PE设备发送用于申请IP地址的信息。

本发明实施例中，CE设备通过DHCP协议向PE设备发送用于申请IP地址的信息。

步骤S103，当PE设备接收到CE设备的发送的报文后，通过检查所述CE设备的MAC地址确定是否为CE设备分配IP地址。

本步骤中，PE设备通过检查所述CE设备的MAC地址是否在所述地址表中来确定是否为所述CE设备分配IP地址，当所述MAC地址在所述地址表中时，则执行步骤S104，当所述MAC地址不在所述地址表中时，则结束。

步骤S104，PE设备为CE设备分配IP地址，并将所述CE设备的IP地址和MAC地址的对应关系记录到地址表中。

本步骤中，PE设备为CE设备分配IP地址后，将所述CE设备的IP地址和MAC地址的对应关系记录到地址表中，同时根据CE设备的IP地址和MAC地址配置CE设备的路由协议类型，并且当用户设置有密钥认证时，可以根据CE设备的IP地址和MAC地址对生成密钥。

步骤S105，PE设备接收到CE设备发送的报文。

步骤S106，PE设备通过检查所述报文的以太网头MAC地址判断所述报文的合法性，当所述报文为合法报文时，执行步骤S107，否则执行步骤S111。

本步骤中，当PE设备接收到的报文为非IP广播报文时，检查所述报文中的源MAC地址是否在所述地址表中，若是，则所述报文为合法报文，否则所述报文为非法报文；当PE设备接收到的报文为IP广播报文时，硬件(本发明实施例中所述硬件可以为网络处理器NP)检查所述报文中的源MAC地址和源IP地址是否与所述地址表中所记录的MAC地址和IP地址对应关系相匹配，若匹配，则所述报文为合法报文，否则所述报文为非法报文。

步骤S107，PE设备可以通过继续检查所述报文的数据链路层协议号确定所述报文的合法性，当所述报文为合法报文时，执行步骤S108，否则执行步骤S111。

本步骤中，PE设备检查所述报文中的数据链路层协议号是否在所述协议类型表中，若是，则所述报文为合法报文，否则，所述报文为非法报文。

步骤S108，PE设备可以通过继续检查所述报文中的IP头中的协议字段进一步确定所述报文的合法性，当所述报文为合法报文时，执行步骤S109，否则执行步骤S111。

本步骤中，PE设备检查所述报文中的IP头中的协议字段是否与所述地址表中的协议字段相一致，若一致，则所述报文为合法报文，否则所述报文为非法报文，本步骤中的检查可以由PE设备的硬件如网络处理器NP来完成。

步骤109，当所述报文存在密文验证字段时，PE设备检查所述密文验证字段进一步确定所述报文的合法性，当所述报文为合法报文时，执行步骤S110，否则执行步骤S111。

本步骤中，PE设备检查所述报文中的密文验证字段是否与所述地址表中的密钥相一致，若一致，则所述报文为合法报文，否则所述报文为非法报文，本步骤中的检查可以由PE设备的硬件如网络处理器NP来完成。

步骤S110，PE设备将最终得到的合法报文送交CPU进行处理。

步骤S111，PE设备将所述非法报文进行丢弃。

图2示出了应用上述三层虚拟专用网中攻击防范方法的系统架构，如图2所示，CE设备和PE设备之间通过以太网口互通，PE设备包括与CE设备相连的网络处理器(Network Processor，NP)和与NP相连的CPU。

下面以一个具体的实施例进行说明：

首先，PE设备上电，配置允许接入的客户端设备的MAC地址范围为1:2:3:4:5:6～1:2:3:4:5:7和协议字段89到地址表中，同时配置到协议类型表，这里假设所述PE设备与之相连的以太网口IP地址为188.1.1.6。

CE设备上电，通过DHCP协议向PE设备申请IP地址，假设CE设备的以太网口地址为1:2:3:4:5:6。

PE设备接收到用于申请IP地址的信息后，检查所述CE设备的MAC地址即源MAC地址是否在所述地址表中，若是，为MAC地址1:2:3:4:5:6分配IP地址为188.1.1.5/24，并将所述MAC地址1:2:3:4:5:6和IP地址188.1.1.5/24的对应关系记录到地址表中，并为其配置的路由协议类型为OSPF协议，其协议号为89，生成密钥为123456。

CE设备接收到分配的IP地址后，使用所述IP地址和PE设备进行通讯，先启动OSPF协议学习路由。

PE设备的NP接收到CE设备发出的机遇以太网的IP广播报文后，检查所述报文中的源MAC地址和源IP地址是否与所述地址表中所记录的MAC地址和IP地址对应关系相匹配，若匹配，则执行下一步，否则直接丢弃所述报文。

PE设备的NP继续检查所述报文的数据链路层协议号，当所述数据链路层协议号即0800IP报文协议号在所述协议类型表中时，执行下一步，否则直接丢弃所述报文。

PE设备的NP检查所述报文的IP头中的协议字段是否与地址表中的协议字段一致，若一致，执行下一步，否则直接丢弃所述报文。

PE设备的NP根据地址表中的密钥检查所述报文中的密文验证字段，若一致，则将所述报文送交CPU处理，否则丢弃所述报文。

图3示出了本发明实施例提供的三层虚拟专用网中攻击防范装置的结构。如图3所示，所述装置包括地址表和协议类型表配置单元10、地址分配单元20及报文检查单元30。其中所述地址分配单元20进一步包括MAC地址检查单元21及地址记录单元22，所述报文检查单元30进一步包括以太网头MAC地址检查单元31、数据链路层协议号检查单元32、IP头协议字段检查单元33以及密文验证字段检查单元34。

当所述攻击防范的装置上电，地址表和协议类型表配置单元10将允许接入的客户端设备的MAC地址范围配置到地址表中，同时配置协议类型表，比如允许接入的客户端设备的MAC地址范围可以为1:2:3:4:5:6～1:2:3:4:5:7等，其中所述地址表的结构示意参见图4，包括IP地址、子网前缀、合法MAC地址指针、合法协议类型指针、及密钥等。

当所述地址分配单元20接收到所述CE设备发送的用于申请IP地址的信息时，MAC地址检查单元21检查所述CE设备的MAC地址是否在所述地址表和协议类型表配置单元10所配置的地址表中，当所述MAC地址在所述地址表中时，地址分配单元20按照一定的规则或者随机为所述CE设备分配IP地址，同时根据CE设备的IP地址和MAC地址配置CE设备的路由协议类型，并且当用户设置有密钥认证时，可以根据CE设备的IP地址和MAC地址对生成密钥，地址记录单元22将所述CE设备的IP地址和MAC地址的对应关系记录到地址表中。

当所述报文检查单元30接收到所述CE设备发送的报文后，以太网头MAC地址检查单元31通过检查所述报文的以太网头MAC地址判断所述报文的合法性，当所述报文为合法报文时，则发送触发信息给所述数据链路层协议号检查单元32，否则将所述报文丢弃。具体地，当所述报文为非IP广播报文时，以太网头MAC地址单元31检查所述报文中的源MAC地址是否在所述地址表中，若是，则所述报文为合法报文，否则所述报文为非法报文；当PE设备接收到的报文为IP广播报文时，检查所述报文中的源MAC地址和源IP地址是否与所述地址表中所记录的MAC地址和IP地址对应关系相匹配，若匹配，则所述报文为合法报文，否则所述报文为非法报文。

当所述数据链路层协议号检查单元32接收到触发信息时，检查检查所述报文的数据链路层协议号是否在所述协议类型表中，若是，则发送触发信息给所述IP头协议字段检查单元33，否则，将所述报文丢弃。

当所述IP头协议字段检查单元33接收到触发信息时，进一步检查所述报文中IP头中的协议字段是否与所述地址表中的协议字段相一致，若不一致，则将所述报文丢弃，若一致，当所述报文未含有密文验证字段时，则直接将所述报文送交处理，当所述报文含有密文验证字段时，发送触发信息给所述密文验证字段检查单元34。

当所述密文验证字段检查单元34接收到所述触发信息时，检查所述报文中密文验证字段是否与所述地址表中的密钥相一致，若一致，则将所述报文可以送交CPU处理，否则将所述报文丢弃。

以上所述仅为本发明的优选地实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (10)

1.一种三层虚拟专用网中攻击防范的方法，其特征在于，所述方法包括以下步骤：

A.服务端设备将允许接入的客户端设备的MAC地址范围配置到地址表中，并配置协议类型表；

B.服务端设备接收到客户端设备发送的用于请求IP地址的信息时，检查到客户端设备的MAC地址在所述地址表中时，服务端设备分配IP地址给所述客户端设备，并记录所述客户端设备的IP地址和MAC地址对应关系到地址表中；

C.服务端设备接收到客户端设备发送的报文时，通过检查以太网头MAC地址判断所述报文的合法性，当所述报文为合法报文时，则继续检查数据链路层协议号，当所述报文为非法报文时，则将所述报文丢弃。

2.如权利要求1所述的方法，其特征在于，所述步骤B中检查到客户端设备的MAC地址在所述地址表中时，服务端设备分配IP地址给所述客户端设备具体为：

检查客户端设备的MAC地址，当所述MAC地址在所述地址表中时，服务端设备分配IP地址给所述客户端设备，当所述MAC地址不在所述地址表中时，则结束。

3.如权利要求1所述的方法，其特征在于，所述步骤C中通过检查以太网头MAC地址判断所述报文的合法性具体步骤为：

当服务端设备接收到的报文为非IP广播报文时，检查所述报文中的源MAC地址是否在所述地址表中，若是，则所述报文为合法，否则所述报文为非法；

当服务端设备接收到的报文为IP广播报文时，硬件检查所述报文中的源MAC地址和源IP地址是否与所述地址表中所记录的MAC地址和IP地址对应关系相匹配，若匹配，则所述包围为合法，否则所述报文为非法。

4.如权利要求1所述的方法，其特征在于，所述步骤C中继续检查数据链路层协议号具体为：

检查报文中的数据链路层协议号是否在所述协议类型表中，若是，则所述报文为合法报文，否则所述报文为非法报文。

5.如权利要求1所述的方法，其特征在于，所述步骤C之后还包括以下步骤：

D.当所述报文为合法报文时，服务端设备通过检查所述报文中IP头中的协议字段进一步确定所述报文的合法性，当所述报文为合法报文时，将所述报文送交处理，当所述报文为非法报文时，将所述报文丢弃。

6.如权利要求5所述的方法，其特征在于，所述步骤D中服务端设备通过检查所述报文中IP头中的协议字段进一步确定所述报文的合法性具体为：

服务端设备检查所述报文中IP头中的协议字段是否与所述地址表中的协议字段相一致，若一致，则所述报文为合法报文，否则所述报文为非法报文。

7.如权利要求5所述的方法，其特征在于，所述步骤D之后还包括以下步骤：

当所述报文为合法报文时，服务端设备通过检查所述报文中的密文验证字段是否与所述地址表中的密钥相一致进一步确定所述报文的合法性，当相一致时，所述报文为合法报文，将所述报文送交处理，当不相一致时，将所述报文丢弃。

8.一种三层虚拟专用网中攻击防范的装置，其特征在于，所述装置包括：

地址表和协议类型表配置单元，用于将允许接入的客户端设备的MAC地址范围配置到地址表中，并配置协议类型表；

地址分配单元，用于接收到客户端设备发送的IP地址请求信息时，检查到客户端设备的MAC地址在所述地址表中时，分配IP地址给所述客户端设备并记录所述客户端设备的IP地址和MAC地址对应关系到地址表中；

报文检查单元，用于检查接收到的客户端设备报文的合法性，当所述报文合法时，将其送交处理。

9.如权利要求8所述的装置，其特征在于，所述地址分配单元进一步包括：

MAC地址检查单元，用于检查所述客户端设备的MAC地址是否在所述地址表中，若是，则分配IP地址给所述客户端设备；

地址记录单元，用于记录所述客户端设备的IP地址和MAC地址对应关系到所述地址表中。

10.如权利要求8所述的装置，其特征在于，所述报文检查单元进一步包括：

以太网头MAC地址检查单元，用于通过检查客户端设备发送报文的以太网头MAC地址确定所述报文的合法性，若所述报文为合法报文，则发出触发信息，否则将所述报文丢弃，当非IP广播报文的源MAC地址在所述地址表中或者IP广播报文的源MAC地址在所述地址表中且源MAC地址和源IP地址与所述地址表中所记录的MAC地址和IP地址对应关系相匹配时，所述报文为合法报文；

数据链路层协议号检查单元，当接收到所述以太网头MAC地址检查单元的触发信息时，检查所述报文中的数据链路层协议号是否在所述协议类型表中，若是，则发送触发信息，否则将所述报文丢弃；

IP头协议字段检查单元，当接收到所述数据链路层协议号检查单元的触发信息时，进一步检查所述报文中IP头中的协议字段是否与所述地址表中的协议字段相一致，若不一致，则将报文丢弃，若一致，当所述报文未含有密文验证字段时，则送交处理，当所述报文含有密文验证字段时，发送触发信息；

密文验证字段检查单元，当接收到所述IP头协议字段检查单元的触发信息时，进一步检查所述报文中密文验证字段是否与所述地址表中的密钥相一致，若一致，则将所述报文送交处理，否则将所述报文丢弃。

Images