CN102185871A

CN102185871A - 一种报文的处理方法和设备

Info

Publication number: CN102185871A
Application number: CN2011101537782A
Authority: CN
Inventors: 钟桂荣
Original assignee: Hangzhou H3C Technologies Co Ltd
Current assignee: Hangzhou H3C Technologies Co Ltd
Priority date: 2011-06-09
Filing date: 2011-06-09
Publication date: 2011-09-14

Abstract

本发明公开了一种报文的处理方法和设备，该方法包括：认证服务器接收来自客户端的认证请求报文，如果认证失败次数记录表中有标识信息对应的表项，所述认证服务器在所述表项中查询所述标识信息对应的认证失败次数；如果所述认证失败次数超过预设阈值，所述认证服务器丢弃所述认证请求报文。本发明中，可对攻击者的认证请求报文采取保护措施，使得RADIUS服务器具备一定的防攻击能力，增强了RADIUS服务器的稳定性。

Description

一种报文的处理方法和设备

技术领域

本发明涉及通信技术领域，特别是涉及一种报文的处理方法和设备。

背景技术

RADIUS(Remote Authentication Dial In User Service，接入用户远程身份鉴明业务)是一种在网络接入设备(如交换机、路由器、防火墙等，工作在网络接入层，将客户端传来的请求报文转发给RADIUS服务器，根据RADIUS服务器的结果赋予用户相应的网络访问权限)和RADIUS服务器(用来验证用户身份信息，根据响应策略予以响应)之间承载认证、授权、计费和配置信息的协议，并具有以下特点：采用客户端/服务器结构、采用共享密钥保证网络传输安全性、良好的可扩展性、认证机制灵活。

由于RADIUS协议中规定只要客户端的认证或计费报文符合RADIUS协议的格式和其他基本要求，则RADIUS服务器需要进行响应，从而导致存在安全隐患；即攻击者可以利用多个客户端快速连续的发送认证请求报文，使得RADIUS服务器需要处理大量的认证请求报文，无法及时处理正常的非攻击者发送的认证请求报文，从而形成攻击。

现有技术中并没有对攻击者发送的认证请求报文采取保护措施，处理方式和正常的认证请求报文一样，从而造成RADIUS服务器处理性能的下降。

发明内容

本发明提供一种报文的处理方法和设备，以对攻击者的认证请求报文采取保护措施，提高RADIUS服务器的稳定性。

为了达到上述目的，本发明提供一种报文的处理方法，该方法包括以下步骤：

认证服务器接收来自客户端的认证请求报文，所述认证请求报文中携带所述客户端的标识信息；

如果认证失败次数记录表中有所述标识信息对应的表项，所述认证服务器在所述表项中查询所述标识信息对应的认证失败次数；

如果所述认证失败次数超过预设阈值，所述认证服务器丢弃所述认证请求报文；

如果所述认证失败次数没有超过预设阈值，所述认证服务器利用所述认证请求报文对所述客户端进行认证；

如果认证失败，所述认证服务器将所述标识信息对应的表项中记录的认证失败次数加预设数值。

所述认证服务器接收来自客户端的认证请求报文，之后还包括：

如果认证失败次数记录表中没有所述标识信息对应的表项，所述认证服务器利用所述认证请求报文对所述客户端进行认证；

如果认证失败，所述认证服务器在所述认证失败次数记录表中添加所述标识信息对应的表项，并将所述表项中记录的认证失败次数加预设数值。

所述认证服务器在所述认证失败次数记录表中添加所述标识信息对应的表项，之后还包括：

所述认证服务器将所述表项中记录的认证失败时间戳设置为添加所述表项的时间；

如果当前时间与所述认证失败时间戳之间的时间间隔超过预设老化时间，所述认证服务器在所述认证失败次数记录表中删除所述表项。

所述认证服务器利用所述认证请求报文对所述客户端进行认证，之后还包括：

如果认证成功，所述认证服务器删除所述标识信息对应的表项。

所述标识信息包括：IP地址和/或MAC地址。

本发明提供一种认证服务器，包括：

接收模块，用于接收来自客户端的认证请求报文，所述认证请求报文中携带所述客户端的标识信息；

查询模块，用于如果认证失败次数记录表中有所述标识信息对应的表项，在所述表项中查询所述标识信息对应的认证失败次数；

丢弃模块，用于如果所述认证失败次数超过预设阈值，丢弃所述认证请求报文；

认证模块，用于如果所述认证失败次数没有超过预设阈值，利用所述认证请求报文对所述客户端进行认证；

维护模块，用于如果认证失败，将所述标识信息对应的表项中记录的认证失败次数加预设数值。

所述认证模块，还用于如果认证失败次数记录表中没有所述标识信息对应的表项，利用所述认证请求报文对所述客户端进行认证；

所述维护模块，还用于如果认证失败，在所述认证失败次数记录表中添加所述标识信息对应的表项，并将所述表项中记录的认证失败次数加预设数值。

所述维护模块，还用于将所述表项中记录的认证失败时间戳设置为添加所述表项的时间；

如果当前时间与所述认证失败时间戳之间的时间间隔超过预设老化时间，在所述认证失败次数记录表中删除所述表项。

所述维护模块，还用于如果认证成功，删除所述标识信息对应的表项。

所述标识信息包括：IP地址和/或MAC地址。

与现有技术相比，本发明至少具有以下优点：

通过确定客户端的标识信息所对应的认证失败次数是否超过预设阈值，以确定认证请求报文是否为攻击者发送的报文，如果是攻击者发送的报文则直接丢弃，不必进行后续的业务处理，以对攻击者的认证请求报文采取保护措施，使得RADIUS服务器具备一定的防攻击能力，增强了RADIUS服务器的稳定性和健壮性。

附图说明

图1是本发明应用场景示意图；

图2是本发明中对应图1所示应用场景的一种报文的处理方法流程图；

图3是本发明提出的一种报文的处理设备结构图。

具体实施方式

本发明提供一种报文的处理方法，该方法应用于包括认证服务器(如RADIUS服务器)、网络接入设备和客户端的系统中，在客户端需要进行认证时，客户端通过网络接入设备向认证服务器发送认证请求报文，认证请求报文中可携带用户名、客户端IP地址、客户端MAC地址等信息。

本发明中，在认证服务器上需要维护认证失败次数记录表(如HASH表)，初始时认证失败次数记录表为空，且认证失败次数记录表的索引(即HASH表的键)为标识信息(即HASH表中的指纹字符串)，该标识信息可以通过客户端IP地址(framed-ip-address)实现，或者通过客户端MAC地址(calling-station-id)实现，或者通过客户端IP地址和客户端MAC地址实现。

在认证失败次数记录表中，每条表项以标识信息为索引，并对应记录有对应标识信息的认证请求报文的认证失败次数、以及对应标识信息的认证请求报文首次认证失败时间戳；如表1、表2、表3所示的通过三种实现方式实现的认证失败次数记录表。

表1

IP地址	认证失败次数	首次认证失败时间戳
			1.1.1.1	3	2011/01/01/12:30:59

表2

MAC地址	认证失败次数	首次认证失败时间戳
			11:22:33:44:55:66	3	2011/01/01/12:30:59

表3

IP地址	MAC地址	认证失败次数	首次认证失败时间戳
				1.1.1.1	11:22:33:44:55:66	3	2011/01/01/12:30:59

以图1为例作为本发明的应用场景示意图，如图2所示，该报文的处理方法包括以下步骤：

步骤201，认证服务器接收来自客户端的认证请求报文。该认证请求报文中可携带用户名、客户端IP地址、客户端MAC地址等信息。

由于认证失败次数记录表可以通过客户端的标识信息为索引，则从认证请求报文中可获取到客户端的标识信息，该标识信息包括：IP地址和/或MAC地址。

步骤202，认证服务器判断认证失败次数记录表中是否有标识信息对应的表项；如果是，执行步骤204，否则，执行步骤203。

为了方便描述，本发明中以表2所示的认证失败次数记录表为例，则标识信息为MAC地址，从认证请求报文中获取到MAC1，当认证失败次数记录表中有MAC1对应的表项时，判断结果为是，当认证失败次数记录表中没有MAC1对应的表项时，判断结果为否。

步骤203，认证服务器利用认证请求报文对客户端进行认证，即利用认证请求报文中携带的用户名、密码等信息进行认证，认证过程以及认证成功的处理过程在此不再赘述。

如果认证失败，则认证服务器在认证失败次数记录表中添加标识信息(MAC1)对应的表项(索引为MAC1的表项)，并将索引为MAC1的表项中记录的认证失败次数加预设数值(如加1)。

以表2为例，由于当前没有MAC1对应的表项，则本步骤中需要在认证失败次数记录表中添加MAC1对应的表项，且认证失败次数加1，进一步的，认证服务器还需要将MAC1对应的表项中记录的认证失败时间戳设置为添加该表项的时间，以添加该表项的时间为时间A为例，则认证失败次数记录表如表4所示。

表4

MAC地址	认证失败次数	首次认证失败时间戳
			22:33:44:55:66:77	1	2011/01/04/14:30:59

步骤204，认证服务器在认证失败次数记录表中查询标识信息对应的认证失败次数。

由于认证失败次数记录表的各表项中记录有标识信息与认证失败次数的对应关系，则可以直接查询到标识信息对应的认证失败次数。

步骤205，认证服务器判断认证失败次数是否超过预设阈值，如果是，执行步骤206，否则，执行步骤207。

该预设阈值可以由管理员根据实际经验进行配置。

步骤206，认证服务器丢弃认证请求报文。

如果认证失败次数超过预设阈值，则认为对应的认证请求报文为攻击者的报文，认证服务器丢弃认证请求报文，不再执行后续的业务处理。

步骤207，认证服务器利用认证请求报文对所述客户端进行认证；即利用认证请求报文中携带的用户名、密码等信息进行认证。

如果认证成功，进行报文的业务处理，并执行步骤208；如果认证失败，执行步骤209。

步骤208，认证服务器删除认证失败次数记录表中该标识信息(如MAC1)对应的表项。

步骤209，认证服务器将认证失败次数记录表中该标识信息(如MAC1)对应的表项中记录的认证失败次数加预设数值(如加1)。

本发明中，在维护认证失败次数记录表的过程中，可由管理员根据实际经验值配置预设老化时间(该预设老化时间用于定时清除认证失败次数记录表中的表项)，如果当前时间与认证失败时间戳之间的时间间隔超过预设老化时间，则认证服务器在认证失败次数记录表中删除相应表项。例如，当前时间为时间B，预设老化时间为10分钟，如果时间B与时间A的时间间隔超过10分钟，则需要删除表4中MAC1对应的表项。

基于与上述方法同样的发明构思，本发明还提出了一种认证服务器，如图3所示，该认证服务器包括：

接收模块11，用于接收来自客户端的认证请求报文，所述认证请求报文中携带所述客户端的标识信息；所述标识信息包括：IP地址和/或MAC地址。

查询模块12，用于如果认证失败次数记录表中有所述标识信息对应的表项，在所述表项中查询所述标识信息对应的认证失败次数；

丢弃模块13，用于如果所述认证失败次数超过预设阈值，丢弃所述认证请求报文；

认证模块14，用于如果所述认证失败次数没有超过预设阈值，利用所述认证请求报文对所述客户端进行认证；

维护模块15，用于如果认证失败，将所述标识信息对应的表项中记录的认证失败次数加预设数值。

所述认证模块14，还用于如果认证失败次数记录表中没有所述标识信息对应的表项，利用所述认证请求报文对所述客户端进行认证；

所述维护模块15，还用于如果认证失败，在所述认证失败次数记录表中添加所述标识信息对应的表项，并将所述表项中记录的认证失败次数加预设数值。

所述维护模块15，还用于将所述表项中记录的认证失败时间戳设置为添加所述表项的时间；

所述维护模块15，还用于如果认证成功，删除所述标识信息对应的表项。

其中，本发明装置的各个模块可以集成于一体，也可以分离部署。上述模块可以合并为一个模块，也可以进一步拆分成多个子模块。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可以通过硬件实现，也可以借助软件加必要的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

本领域技术人员可以理解附图只是一个优选实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

本领域技术人员可以理解实施例中的装置中的模块可以按照实施例描述进行分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。

上述本发明序号仅仅为了描述，不代表实施例的优劣。

以上公开的仅为本发明的几个具体实施例，但是，本发明并非局限于此，任何本领域的技术人员能思之的变化都应落入本发明的保护范围。

Claims

1.一种报文的处理方法，其特征在于，该方法包括以下步骤：

2.如权利要求1所述的方法，其特征在于，所述认证服务器接收来自客户端的认证请求报文，之后还包括：

3.如权利要求2所述的方法，其特征在于，所述认证服务器在所述认证失败次数记录表中添加所述标识信息对应的表项，之后还包括：

4.如权利要求1所述的方法，其特征在于，所述认证服务器利用所述认证请求报文对所述客户端进行认证，之后还包括：

5.如权利要求1-4任一项所述的方法，其特征在于，所述标识信息包括：IP地址和/或MAC地址。

6.一种认证服务器，其特征在于，包括：

7.如权利要求6所述的认证服务器，其特征在于，

8.如权利要求7所述的认证服务器，其特征在于，

9.如权利要求6所述的认证服务器，其特征在于，

10.如权利要求6-9任一项所述的认证服务器，其特征在于，所述标识信息包括：IP地址和/或MAC地址。