CN102301662A - 媒体访问控制mac地址保护方法和交换机 - Google Patents

媒体访问控制mac地址保护方法和交换机 Download PDF

Info

Publication number
CN102301662A
CN102301662A CN2011800009373A CN201180000937A CN102301662A CN 102301662 A CN102301662 A CN 102301662A CN 2011800009373 A CN2011800009373 A CN 2011800009373A CN 201180000937 A CN201180000937 A CN 201180000937A CN 102301662 A CN102301662 A CN 102301662A
Authority
CN
China
Prior art keywords
mac address
switch
looped network
layers
protection
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN2011800009373A
Other languages
English (en)
Other versions
CN102301662B (zh
Inventor
谭兆远
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Publication of CN102301662A publication Critical patent/CN102301662A/zh
Application granted granted Critical
Publication of CN102301662B publication Critical patent/CN102301662B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/02—Topology update or discovery
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4637—Interconnected ring systems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/22—Alternate routing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/28—Routing or path finding of packets in data switching networks using route fault recovery
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/66—Layer 2 routing, e.g. in Ethernet based MAN's

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种媒体访问控制MAC地址保护方法和交换机，其中该方法包括：二层环网上的交换机获取所述二层环网的网络拓扑信息，所述二层环网的网络拓扑信息包括被保护设备的保护MAC地址及所述二层环网上的各个交换机的标识，所述保护MAC地址为所述被保护设备的MAC地址；所述二层环网上的交换机确定被保护设备的保护MAC地址在自身的出接口，根据所述保护MAC地址对应的MAC表项的出接口，更新本地存储的MAC表项的出接口。本发明实施例将被保护设备的MAC地址作为保护MAC地址，在二层环网拓扑变化时，可以同步更新该保护MAC地址对应的MAC表项的出接口，保证被保护设备可以正确收发报文，以适应二层环网的拓扑变化。

Description

媒体访问控制MAC地址保护方法和交换机
技术领域
本发明实施例涉及通信技术领域，尤其涉及一种媒体访问控制MAC地址保护方法和交换机。
背景技术
在城域和企业网的组网方案中，越来越多使用二层环网技术。在二层环网中，交换机转发报文的流程为：首先根据报文的目的媒体访问控制(MediaAccess Control；简称：MAC)地址查找MAC表项，通过MAC表项获取报文的出接口，然后将报文从该出接口发送出去。其中，交换机的MAC表项是根据接收的数据流进行学习的，例如：交换机从某个接口收到某一数据报文时，可以根据该报文的源MAC地址进行MAC表项的学习，其中，MAC表项中包括该报文的源MAC地址和出接口，出接口为该交换机收到该报文的接口。如果交换机的MAC地址被攻击，MAC表项中的出接口学习到错误的接口上，可能导致目的地址为该MAC地址的报文转发到错误的接口上。如图1a所示，为现有二层环网中仿冒MAC地址攻击的示意图，如果用户设备A仿冒路由器的MAC地址进行攻击，则用户设备A构造源MAC地址为路由器R的MAC地址的报文，并将该报文发送到二层环网中，通过MAC地址学习，该二层环网中每个交换机的MAC表项中的与路由器R的MAC地址对应的出接口被修改为到用户设备A的接口，其他用户发送的目的地址为路由器R的报文将被转发到用户设备A上，导致到路由器R的网络中断，其他用户的信息被非法获取。同理，如果用户设备A仿冒用户设备B的MAC地址构造报文进行攻击，则从路由器R发送到用户设备B的报文，将被转发到用户设备A，导致用户设备B到路由器R的网络中断，用户设备B的信息被用户设备A窃取。其中，D为环网阻断点。
为防止用户攻击MAC地址，可以在二层环网上的所有的交换机上将路由器和环网下所有用户的MAC地址配置为静态MAC地址。由于交换机不需要学习静态MAC地址，因此可以保证该MAC地址不被攻击。但是采用静态配置的方法，二层环网上的每个交换机均需要将路由器和其他交换机下挂的用户的MAC地址配置为静态MAC地址，配置过程复杂。为了降低静态配置的复杂程度，可以在交换机的环网接口上启动接口安全特性，由交换机将学习到的MAC地址自动转换为静态MAC地址，防止MAC地址被攻击，这种方法可以避免复杂的静态MAC地址配置过程。但是，无论是进行静态配置，还是采用环网接口安全学习到MAC地址转换为静态MAC地址，在二层环网的环网拓扑变化时，都存在流量中断的问题。如图1b所示，为采用静态配置保护路由器的MAC地址的网络示意图，在初始情况下，二层环网的所有链路正常，所有的交换机均将路由器R的MAC地址配置为静态MAC地址，其中，D为环网阻断点，各交换机上配置的路由器R的MAC地址对应的出接口如下：
交换机_2：与交换机_1相连的接口；
交换机_3：与交换机_1相连的接口；
交换机_4：与交换机_2相连的接口；
交换机_5：与交换机_3相连的接口。
如果二层环网的环网拓扑发生变化，如图1c所示，为采用静态配置保护路由器的MAC地址的故障的网络示意图：交换机_1和交换机_2之间的链路出现故障，环网放开交换机_4和交换机_5之间的链路，即取消交换机_4和交换机_5之间的环网阻断点，可以在交换机_1和交换机_2之间设置环网阻断点D。但是交换机_4上路由器R的MAC地址对应的出接口仍是与交换机_2相连的接口，导致用户设备A发往路由器R的报文仍然由交换机_4转发到交换机_2，但由于交换机_2与交换机_1之间的链路故障，交换机_2无法通过交换机_1将报文转发到路由器R，导致用户设备A到路由器R的流量中断。
综上所述，在二层环网的网络拓扑变化时，现有的防止攻击MAC地址的方案，容易引起网络流量的中断。
发明内容
本发明实施例提供一种媒体访问控制MAC地址保护方法和交换机，用以解决在二层环网的网拓扑变化时，现有的防止攻击MAC地址的方案，容易引起网络流量中断的缺陷，实现在MAC地址的同时，即使二层环网的网络拓扑变化，也能保证用户报文的正确转发。
本发明实施例提供一种媒体访问控制MAC地址保护方法，包括：
二层环网上的交换机获取所述二层环网的网络拓扑信息，所述二层环网的网络拓扑信息包括被保护设备的保护MAC地址、所述保护MAC地址对应的交换机的标识以及所述二层环网上的各个交换机的标识，所述保护MAC地址为所述被保护设备的MAC地址；
所述二层环网上的交换机根据所述网络拓扑信息确定所述被保护设备的保护MAC地址在本地的出接口，根据所述保护MAC地址在本地的出接口，建立并存储的所述保护MAC地址对应的MAC表项的出接口。
本发明实施例还提供一种交换机，包括：
出接口确定模块，用于获取二层环网的网络拓扑信息所述二层环网的网络拓扑信息包括被保护设备的保护MAC地址、所述保护MAC地址对应的交换机的标识以及所述二层环网上的各个交换机的标识，所述保护MAC地址为所述被保护设备的MAC地址；
MAC表项建立模块，用于根据所述网络拓扑信息确定所述被保护设备的保护MAC地址在本地的出接口，根据所述保护MAC地址在本地的出接口，建立并存储的所述保护MAC地址对应的MAC表项的出接口。
本发明实施例的媒体访问控制MAC地址保护方法和交换机，将被保护设备的MAC地址作为保护MAC地址，根据包括被保护设备的保护MAC地址、所述保护MAC地址对应的交换机的标识以及所述二层环网上的各个交换机的标识的网络拓扑信息，确定该保护MAC地址在二层环网的交换机上对应的出接口，在二层环网拓扑变化时，可以同步更新该保护MAC地址对应的MAC表项的出接口，保证被保护设备可以正确收发报文，以适应二层环网的拓扑变化。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1a为现有二层环网中仿冒MAC地址攻击的示意图；
图1b为采用静态配置保护路由器的MAC地址的网络示意图；
图1c为采用静态配置保护路由器的MAC地址的故障的网络示意图；
图2为本发明实施例提供的一种MAC地址保护方法的流程图；
图3为本发明实施例提供的另一种MAC地址保护方法的流程图；
图4为本发明实施例提供的MAC地址保护方法应用于多环的示意图；
图5为本发明实施例提供的一种交换机的结构示意图；
图6为本发明实施例提供的另一种交换机的结构示意图。
具体实施方式
为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
图2为本发明实施例提供的一种MAC地址保护方法的流程图，如图2所示，该MAC地址保护方法包括：
步骤201、二层环网上的交换机获取所述二层环网的网络拓扑信息，所述二层环网的网络拓扑信息包括被保护设备的保护MAC地址、所述保护MAC地址对应的交换机的标识以及所述二层环网上的各个交换机的标识，所述保护MAC地址为所述被保护设备的MAC地址。
其中，所述被保护设备的保护MAC地址以及所述保护MAC地址对应的交换机的标识是由所述被保护设备的接入交换机首次发布的。所述接入交换机是指与该被保护设备直接相连的交换机，所述接入交换机与所述被保护设备直接相连的接口为所述保护MAC地址在所述接入交换机上对应的出接口。
所述接入交换机可以将所述被保护设备与接入交换机直接相连的接口使能MAC保护或在所述接入交换机上将所述被保护设备的MAC地址配置为保护MAC地址。
然后，所述接入交换机与所述二层环网上的其他交换机交互包括所述被保护设备的保护MAC地址、所述保护MAC地址对应的交换机的标识以及所述二层环网上的各个交换机的标识等的网络拓扑信息，所述其他交换机为二层环网上与所述被保护设备未直接相连的交换机，即环网上除了被保护设备的接入交换机之外的交换机。
步骤202、二层环网上的交换机根据所述网络拓扑信息确定被保护设备的保护MAC地址在本地的出接口，根据所述保护MAC地址在本地的出接口，建立并存储的所述保护MAC地址对应的MAC表项的出接口。
其中，步骤202具体可以包括以下情况：
一、如果该二层环网上的某一交换机为该被保护设备的保护MAC地址对应的交换机，则该交换机将与被保护设备直接相连的接口作为该保护MAC地址在该接入交换机上的出接口写入MAC表项中。
二、如果该二层环网上的某一交换机为除了保护MAC地址对应的交换机之外的其他交换机，则该其他交换机需要计算保护MAC地址在本地的出接口，具体计算过程可以包括：
二层环网上的交换机计算自身在二层环网上的两个接口到所述保护MAC地址对应的接入交换机的距离；
选择与所述保护MAC地址对应的接入交换机的距离较小的接口，作为所述保护MAC地址在本地的出接口；
其中，若接口到所述保护MAC地址对应的接入交换机的路径上存在环网阻断点，则接口与所述保护MAC地址对应的接入交换机的距离为无限大。
进一步地，由于二层环网可能为单环或者多环，其中，保护MAC地址对应的交换机可以包括：
一、若所述二层环网为单环，所述保护MAC地址对应的交换机为所述接入交换机；
二、若所述二层环网包括一个主环和至少一级子环，则在任一子环中，所述保护MAC地址对应的交换机为连接所述子环和上一级环网的交换机或连接所述子环和上一级环网的两个交换机中的一个。具体地，如果连接主环与子环的交换机接收到的保护MAC地址对应的交换机的标识是被保护设备的接入交换机的标识，则可以将自身的标识确定为所述保护MAC地址对应的交换机的标识。
进一步地，为了保证网络拓扑信息的准确性，若所述二层环网的拓扑结构发生变化，则二层环网上的各个交换机根据所述二层环网的拓扑变化事件和新的环网阻断点，获取更新后的网络拓扑信息，然后，根据变化后的网络拓扑信息和新的环网阻断点，更新本地存储的所述保护MAC地址对应的MAC表项的出接口，即重复执行步骤201和步骤202。
如图3所示，为本发明实施例提供的另一种MAC地址保护方法的流程图，如果二层环网为单环，该MAC地址保护方法可以具体包括以下步骤：
步骤301、将二层环网上与被保护设备，例如：路由器、用户设备等直接相连的交换机确定为该被保护设备的接入交换机。例如，参见图1b，路由器R的接入交换机为交换机_1，用户设备B的接入交换机为交换机_5。
步骤302、在接入交换机连接被保护设备的接口上使能MAC保护，或者将被保护设备的MAC地址配置为保护MAC地址。
步骤303、接入交换机在与二层环网上除被保护设备自身之外的其他交换机交互网络拓扑信息时，将自身标识作为该保护MAC地址对应的交换机的标识，将保护MAC地址及其对应的交换机的标识作为网络拓扑信息的一部分发布给其他交换机。
步骤304、环网上的交换机在计算环网拓扑信息的同时，可以计算保护MAC地址在本地的出接口，从而使得保护MAC地址的出接口可以由实际的二层环网的网络拓扑信息确定。
其中，可以将被保护设备的接入交换机的连接该被保护设备的接口作为该被保护设备的保护MAC地址在接入交换机上对应的出接口，由于被保护设备直接连接的接入交换机不会改变，因此保护MAC地址在接入交换机上对应的出接口通常保持不变。
保护MAC地址在其他交换机上对应的出接口的计算方法为：首先，在二层环网中，由于每台交换机在环网上只有两个接口，因此该保护MAC地址的出接口为这两个接口之一；此外，为了防止流量成环，环网计算得到一个环网阻断点，用于阻断环路，发送到该环网阻断点的流量全部会被丢弃；因此，在选择交换机上与保护MAC地址对应的MAC表项的出接口时，不能选择到接入交换机的路径上存在环网阻断点的接口，否则流量会全部被丢弃。因此，可以选择从该交换机到保护MAC地址的接入交换机的路径上无环网阻断点的接口作为保护MAC地址的出接口。具体地，如果交换机的某个接口到保护MAC地址对应的接入交换机的路径上存在环网阻断点，可以将该接口与该保护MAC地址对应的接入交换机的距离确定为无限大，这样，其他交换机计算出其在环网上的两个接口到接入交换机的距离后，可以选择与接入交换机的距离小的接口，作为保护MAC地址在该交换机上对应的出接口。
参见图1b，在初始状态下，二层环网上所有链路均正常，其中，路由器R的接入交换机为交换机_1，用户设备B的接入交换机为交换机_5，环网阻断点D为交换机_4连接交换机_5的接口。交换机_1上与路由器R的保护MAC地址对应的MAC表项的出接口是交换机_1与路由器R连接的接口，交换机_5上与用户设备B的保护MAC地址对应的MAC表项的出接口是交换机_5与用户设备B连接的接口。
根据上述原则，图1b中环网上的各个交换机上与路由器R的保护MAC地址对应的MAC表项的出接口如下：
交换机_1：与路由器R相连的接口；
交换机_2：与交换机_1相连的接口；
交换机_3：与交换机_1相连的接口；
交换机_4：与交换机_2相连的接口；
交换机_5：与交换机_3相连的接口。
另外，环网上的各个交换机上与用户设备B的保护MAC地址对应的MAC表项的出接口如下：
交换机_1：与交换机_3相连的接口；
交换机_2：与交换机_1相连的接口；
交换机_3：与交换机_5相连的接口；
交换机_4：与交换机_2相连的接口；
交换机_5：与用户设备B相连的接口。
步骤305、如果网络拓扑发生变化或者某条链路故障，引起环网的拓扑结构发生变化时，交换机需要重新进行网络拓扑计算，同时计算并更新保护MAC地址对应的MAC表项的出接口。如果环网阻断点发生变化，可能导致交换机上的保护MAC地址对应的MAC表项的出接口错误，环网的除接入交换机外的各个交换机在计算二层环网的网络拓扑信息的同时，同步计算并更新该保护MAC地址对应的MAC表项的出接口。其中，由于接入交换机与被保护设备的连接的接口为该保护MAC地址的出接口，通常保持不变，因此，该接入交换机不需要刷新保护MAC地址的出接口。
如果二层环网的拓扑结构发生变化，参见图1c，假设交换机_1和交换机_2之间的链路故障，环网阻断点D为交换机_1上连接交换机_2的接口；环网的各个交换机获知该拓扑变化后，可以重新根据网络拓扑信息计算保护MAC地址的出接口并刷新MAC表项。
其中，各个交换机上与路由器R的保护MAC地址对应的MAC表项的出接口如下：
交换机_1：与路由器R相连的接口；
交换机_2：与交换机_4相连的接口；
交换机_3：与交换机_1相连的接口；
交换机_4：与交换机_5相连的接口；
交换机_5：与交换机_3相连的接口。
其中，由于交换机_1是路由器R的接入交换机，因此交换机_1可以不用重新计算路由器R的保护MAC地址在交换机_1的出接口，交换机_3和交换机_5上保护MAC地址对应的MAC表项的出接口没有发生变化，保持原有的出接口。
另外，各个交换机上与用户设备B的保护MAC地址对应的MAC表项的出接口如下：
交换机_1：与交换机_3相连的接口；
交换机_2：与交换机_4相连的接口；
交换机_3：与交换机_5相连的接口；
交换机_4：与交换机_5相连的接口；
交换机_5：与用户设备B相连的接口。
其中，由于交换机_5是用户设备B的接入交换机，因此交换机_5可以不用重新计算用户设备B的保护MAC地址在交换机_5的出接口，而交换机_1和交换机_3上保护MAC地址对应的MAC表项的出接口没有发生变化，保持原有的出接口。
在网络拓扑结构发生变化时，二层环网上的交换机只需要感知网络拓扑变化及新的环网阻断点，并根据新的环网阻断点及保护MAC地址的接入交换机的标识计算保护MAC地址的出接口，可以减少保护MAC地址对应的MAC表项的出接口的计算时间。
本实施例将被保护设备的MAC地址作为保护MAC地址，根据包括被保护设备的保护MAC地址、所述保护MAC地址对应的交换机的标识以及所述二层环网上的各个交换机的标识的网络拓扑信息，确定该保护MAC地址在二层环网的交换机上对应的出接口，在二层环网拓扑变化时，可以同步更新该保护MAC地址对应的MAC表项的出接口，保证被保护设备可以正确收发报文，以适应二层环网的拓扑变化。
图4为本发明实施例提供的MAC地址保护方法应用于多环的示意图，如图4所示，该二层环网包括一个主环和至少一个子环，其中，子环和主环可以是相切环或者相交环。其中，对于主环，其保护MAC地址的发布及其出接口的计算可以参见上述实施例中的相关描述。
对于子环，由于子环上交换机的流量均是通过该子环和主环连接的交换机进行转发的，因此连接主环和子环的交换机相当于该子环的接入交换机，在该子环中的交换机计算保护MAC地址对应的MAC表项的出接口时，只需要将连接主环和子环的交换机当作接入交换机即可。
具体地，如果是相切环，连接主环和子环的交换机收到主环上的保护MAC地址及其对应的交换机的标识后，将主环上的保护MAC地址发布到子环的各个交换机上，并将保护MAC地址对应的交换机的标识修改为该连接主环和子环的交换机的标识，然后将修改后的交换机的标识在子环内发布。例如：参见图4，连接主环_1和子环_2交换机_4可以在收到路由器R的保护MAC地址及其对应的交换机的标识即交换机_1的标识后，将该保护MAC地址对应的交换机_1的标识修改为交换机_4自身的标识，然后将该保护MAC地址及交换机_4的标识发布给子环_2上的其他交换机_6、交换机_7、交换机_8。另一方面，交换机_4收到用户设备A的保护MAC地址及其对应的交换机的标识即交换机_8的标识后，可以将该保护MAC地址对应的交换机_8的标识修改为交换机_4的标识，然后将该保护MAC地址及其对应的交换机_4的标识扩散给子环_3内的交换机_1、交换机_2、交换机_3、交换机_5。这样，可以确定相切环结构的二层环网中各个被保护设备的保护MAC地址对应的MAC表项的出接口，并通知二层环网上的各个交换机。
如果是相交环，子环有至少两个交换机和主环相连，因此该子环上的交换机在收到保护MAC地址时，同时收到两个对应的交换机的标识，这两个标识均需要存储，在计算保护MAC地址对应的MAC表项的出接口时，根据二层环网的网络拓扑信息识别环上两个接口分别对应的交换机后，进行环网阻断点的判断即可。例如：交换机_9会收到交换机_3和交换机_5发布的保护MAC地址，且收到两个对应的交换机的标识即交换机_3的标识和交换机_5的标识，交换机_9可以保存保护MAC地址及其对应的交换机_3的标识和交换机_5的标识。交换机_9在计算保护MAC地址的出接口时，根据二层环网的网络拓扑信息，可以知道到交换机_3的接口为连接交换机_10的接口，在此路径上存在环网阻断点，不能选择该接口作为保护MAC地址的出接口，因此选择交换机_5作为保护MAC地址对应的交换机，选择与交换机_5相连的接口作为保护MAC地址对应的MAC表项的出接口。
此外，如果是多级子环，即子环下再连接子环的场景，处理机制相同，只需要连接子环的交换机向下级子环发布保护MAC地址且将该保护MAC地址对应的交换机的标识修改为本交换机的标识即可。如果子环的网络拓扑结构发生变化，只需要该子环上的交换机进行保护MAC地址对应的MAC表项的出接口的计算即可，其他子环及主环不需要重新计算。
本实施例将被保护设备的MAC地址作为保护MAC地址，根据包括该保护MAC地址及其对应的交换机的标识的网络拓扑信息，确定该保护MAC地址在二层环网的交换机上对应的出接口，在二层环网拓扑变化时，可以同步更新该保护MAC地址对应的MAC表项的出接口，保证环网连接的被保护设备的转发路径正确，从而保证到被保护设备的报文可以正确转发，可以适应二层环网拓扑变化；由于在网络拓扑结构发生变化时，二层环网上的各个交换机可以同步进行保护MAC地址对应的MAC表项的出接口的计算，不需要接入交换机重新发布保护MAC地址，提高了网络的收敛性能，可以适应单环、多环、多级子环等复杂组网下的MAC保护；此外，被保护设备既可以是环网上行接入的路由器或者网关，也可以是保护环网上下挂的用户设备或者网络，因此不但可以保护环网上行接入的路由器或者网关的MAC地址，还可以保护环网上下挂的用户或者网络的MAC地址。
为了实现上述方法，本发明实施例提供了一种交换机，如图5所示，为本发明实施例提供的一种交换机的结构示意图，该交换机包括：
出接口确定模块11，用于获取所述二层环网的网络拓扑信息所述二层环网的网络拓扑信息包括被保护设备的保护MAC地址、所述保护MAC地址对应的交换机的标识以及所述二层环网上的各个交换机的标识，所述保护MAC地址为所述被保护设备的MAC地址；
MAC表项建立模块13，用于根据所述网络拓扑信息确定所述被保护设备的保护MAC地址在本地的出接口，根据所述保护MAC地址在本地的出接口，建立并存储的所述保护MAC地址对应的MAC表项的出接口。
具体地，交换机接收到二层环网的网络拓扑信息后，可以从网络拓扑信息中识别出保护MAC地址及发布该保护MAC地址的接入交换机的标识，然后，出接口确定模块11可以存储环网上所有的保护MAC地址及其对应的交换机的标识，然后在环网计算或者拓扑变化计算时，响应环网计算或拓扑变化的事件，同步进行保护MAC地址的出接口的计算。保护MAC地址出接口计算完成后，MAC表项建立模块13可以，根据所述保护MAC地址在本地的出接口，建立并存储的所述保护MAC地址对应的MAC表项的出接口。
在本发明图5所示实施例的基础上，如图6所示，为本发明实施例提供的另一种交换机的结构示意图，其中，该交换机的出接口确定模块11可以包括：
距离计算模块21，用于计算自身在二层环网上的两个接口到所述保护MAC地址对应的接入交换机的距离；
选择模块23，用于选择与所述保护MAC地址对应的接入交换机的距离较小的接口，作为所述保护MAC地址在本地的出接口；其中，若接口到所述保护MAC地址对应的接入交换机的路径上存在环网阻断点，则接口与所述保护MAC地址对应的接入交换机的距离为无限大。
进一步地，该交换机还可以包括：
MAC保护配置模块15，用于将所述被保护设备与接入交换机直接相连的接口使能MAC保护或在所述接入交换机上将所述被保护设备的MAC地址配置为所述保护MAC地址，所述接入交换机与所述被保护设备直接相连的接口作为所述保护MAC地址在所述接入交换机上对应的出接口；具体地，用户可以手动配置被保护设备上的保护MAC地址，MAC保护配置模块15在接入交换机与被保护设备直接相连的接口上使能MAC保护后，可以自动将使能MAC保护的接口下学习到的MAC地址作为保护MAC地址，并且可以收集该接口下的各种被保护设备(路由器、用户设备、网络等)的MAC地址作为保护MAC地址。
再进一步地，为了提高保护MAC地址对应的MAC表项的出接口的计算时间，只需要感知网络拓扑变化事件及新的环网阻断点，不需要接入交换机重新发布保护MAC地址，该交换机还可以包括：
拓扑信息发布模块17，用于向所述二层环网上的其他交换机发布包括所述被保护设备的保护MAC地址以及所述保护MAC地址对应的交换机的标识的网络拓扑信息，所述其他交换机为环网上与所述被保护设备未直接相连的交换机。具体地，拓扑信息发布模块17发布二层环网的网络拓扑信息时，在其中携带了保护MAC地址，并将本交换机的标识作为该保护MAC地址对应的交换机的标识向其他交换机发布，以使其他交换机可以识别该保护MAC地址及其对应的交换机。
再进一步地，二层环网的拓扑结构可能发生变化，该交换机还可以包括：
MAC表项更新模块19，用于若所述二层环网的拓扑结构发生变化，则根据变化后的网络拓扑信息和新的环网阻断点，更新本地存储的所述保护MAC地址对应的MAC表项的出接口。
此外，二层环网可以为单环或者多环，不同网络结构中保护MAC地址对应的交换机不同，具体地：
若所述二层环网为单环，所述保护MAC地址对应的交换机为所述接入交换机；
若所述二层环网包括一个主环和至少一级子环，则在任一子环中，所述保护MAC地址对应的交换机为连接所述子环和上一级环网的交换机或连接所述子环和上一级环网的两个交换机中的一个。
本发明实施例提供的交换机中各个模块的工作流程和工作原理参见上述各方法实施例中的描述，在此不再赘述。
本实施例将被保护设备的MAC地址作为保护MAC地址可以防止环网MAC地址被攻击，根据包括被保护设备的保护MAC地址、所述保护MAC地址对应的交换机的标识以及所述二层环网上的各个交换机的标识的网络拓扑信息，确定保护MAC地址在二层环网的交换机上对应的出接口，在二层环网拓扑变化时，可以同步更新保护MAC地址的出接口，保证环网连接的被保护设备的转发路径正确，从而保证到被保护设备的报文可以正确转发，可以适应二层环网拓扑变化；并且，在网络拓扑结构发生变化时，环网上的各个交换机可以同步进行保护MAC地址对应的MAC表项的出接口的计算，不需要保护MAC地址对应的交换机重新发布保护MAC地址，提高了网络的收敛性能；本发明实施例可以适应单环、多环、多级子环等复杂组网下的MAC保护；此外，被保护设备既可以是环网上行接入的路由器或者网关，也可以是保护环网上下挂的用户设备或者网络，因此不但可以保护环网上行接入的路由器或者网关的MAC地址，还可以保护环网上下挂的用户或者网络的MAC地址。
本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。
最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (9)

1.一种媒体访问控制MAC地址保护方法，其特征在于，包括：
二层环网上的交换机获取所述二层环网的网络拓扑信息，所述二层环网的网络拓扑信息包括被保护设备的保护MAC地址、所述保护MAC地址对应的交换机的标识以及所述二层环网上的各个交换机的标识，所述保护MAC地址为所述被保护设备的MAC地址；
所述二层环网上的交换机根据所述网络拓扑信息确定所述被保护设备的保护MAC地址在本地的出接口，根据所述保护MAC地址在本地的出接口，建立并存储的所述保护MAC地址对应的MAC表项的出接口。
2.根据权利要求1所述的MAC地址保护方法，其特征在于，所述二层环网上的交换机根据所述网络拓扑信息确定所述被保护设备的保护MAC地址在本地的出接口，包括：
二层环网上的交换机计算自身在二层环网上的两个接口到所述保护MAC地址对应的接入交换机的距离；
选择与所述保护MAC地址对应的接入交换机的距离较小的接口，作为所述保护MAC地址在本地的出接口；
其中，若接口到所述保护MAC地址对应的接入交换机的路径上存在环网阻断点，则接口与所述保护MAC地址对应的接入交换机的距离为无限大。
3.根据权利要求1或2所述的MAC地址保护方法，其特征在于，还包括：
将所述被保护设备与接入交换机直接相连的接口使能MAC保护或在所述接入交换机上将所述被保护设备的MAC地址配置为所述保护MAC地址，将所述接入交换机与所述被保护设备直接相连的接口作为所述保护MAC地址在所述接入交换机上对应的出接口；
所述接入交换机向所述二层环网上的其他交换机发布包括所述被保护设备的保护MAC地址以及所述保护MAC地址对应的交换机的标识网络拓扑信息，所述其他交换机为环网上与所述被保护设备未直接相连的交换机。
4.根据权利要求3所述的MAC地址保护方法，其特征在于：
若所述二层环网为单环，所述保护MAC地址对应的交换机为所述接入交换机；
若所述二层环网包括一个主环和至少一级子环，则在任一子环中，所述保护MAC地址对应的交换机为连接所述子环和上一级环网的交换机或连接所述子环和上一级环网的两个交换机中的一个。
5.根据权利要求1或2所述的MAC地址保护方法，其特征在于，还包括：
若所述二层环网的拓扑结构发生变化，则根据变化后的网络拓扑信息和新的环网阻断点，更新本地存储的所述保护MAC地址对应的MAC表项的出接口。
6.一种交换机，其特征在于，包括：
出接口确定模块，用于获取二层环网的网络拓扑信息所述二层环网的网络拓扑信息包括被保护设备的保护MAC地址、所述保护MAC地址对应的交换机的标识以及所述二层环网上的各个交换机的标识，所述保护MAC地址为所述被保护设备的MAC地址；
MAC表项建立模块，用于根据所述网络拓扑信息确定所述被保护设备的保护MAC地址在本地的出接口，根据所述保护MAC地址在本地的出接口，建立并存储的所述保护MAC地址对应的MAC表项的出接口。
7.根据权利要求6所述的交换机，其特征在于，所述出接口确定模块包括：
距离计算模块，用于计算自身在二层环网上的两个接口到所述保护MAC地址对应的接入交换机的距离；
选择模块，用于选择与所述保护MAC地址对应的接入交换机的距离较小的接口，作为所述保护MAC地址在本地的出接口；其中，若接口到所述保护MAC地址对应的接入交换机的路径上存在环网阻断点，则接口与所述保护MAC地址对应的接入交换机的距离为无限大。
8.根据权利要求6或7所述的交换机，其特征在于，还包括以下模块的任意一个或者多个：
MAC保护配置模块，用于将所述被保护设备与接入交换机直接相连的接口使能MAC保护或在所述接入交换机上将所述被保护设备的MAC地址配置为所述保护MAC地址，所述接入交换机与所述被保护设备直接相连的接口作为所述保护MAC地址在所述接入交换机上对应的出接口；
拓扑信息发布模块，用于向所述二层环网上的其他交换机发布包括所述被保护设备的保护MAC地址以及所述保护MAC地址对应的交换机的标识的网络拓扑信息，所述其他交换机为环网上与所述被保护设备未直接相连的交换机；
MAC表项更新模块，用于若所述二层环网的拓扑结构发生变化，则根据变化后的网络拓扑信息和新的环网阻断点，更新本地存储的所述保护MAC地址对应的MAC表项的出接口。
9.根据权利要求8所述的交换机，其特征在于：
若所述二层环网为单环，所述保护MAC地址对应的交换机为所述接入交换机；
若所述二层环网包括一个主环和至少一级子环，则在任一子环中，所述保护MAC地址对应的交换机为连接所述子环和上一级环网的交换机或连接所述子环和上一级环网的两个交换机中的一个。
CN2011800009373A 2011-06-27 2011-06-27 媒体访问控制mac地址保护方法和交换机 Expired - Fee Related CN102301662B (zh)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2011/076383 WO2012103708A1 (zh) 2011-06-27 2011-06-27 媒体访问控制mac地址保护方法和交换机

Publications (2)

Publication Number Publication Date
CN102301662A true CN102301662A (zh) 2011-12-28
CN102301662B CN102301662B (zh) 2013-10-02

Family

ID=45360536

Family Applications (1)

Application Number Title Priority Date Filing Date
CN2011800009373A Expired - Fee Related CN102301662B (zh) 2011-06-27 2011-06-27 媒体访问控制mac地址保护方法和交换机

Country Status (4)

Country Link
US (1) US9282025B2 (zh)
EP (1) EP2530881B1 (zh)
CN (1) CN102301662B (zh)
WO (1) WO2012103708A1 (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104283790A (zh) * 2014-10-09 2015-01-14 杭州华三通信技术有限公司 Sdn中弹性分组环rpr的拓扑发现方法和设备
CN105988937A (zh) * 2015-05-12 2016-10-05 乐视移动智能信息技术（北京）有限公司 Mac地址的处理方法和装置
CN108600097A (zh) * 2018-04-20 2018-09-28 闫晓峰 可多路径传输数据的通讯设备、数据通讯网络系统及数据通讯方法

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103209130A (zh) * 2013-04-22 2013-07-17 杭州华三通信技术有限公司 一种同步mac地址表项的方法及转发芯片
CN105636234B (zh) * 2014-10-27 2021-06-25 中兴通讯股份有限公司 一种开站方法、基站、基站控制器及开站系统
CN104410575A (zh) * 2014-12-05 2015-03-11 盛科网络（苏州）有限公司 多芯片堆叠模式下mac地址硬件学习装置及方法
CN106302251B (zh) * 2015-06-26 2019-09-06 深圳市中兴微电子技术有限公司 一种交换网络同步方法及交换装置、接入装置

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1388683A (zh) * 2001-05-25 2003-01-01 扎尔林克半导体V.N.股份有限公司 具有增强的安全特性的数据网络节点
CN101060498A (zh) * 2007-06-22 2007-10-24 杭州华三通信技术有限公司 实现网关Mac绑定的方法、组件、网关和二层交换机
US20100290340A1 (en) * 2009-05-15 2010-11-18 Electronics And Telecommunications Research Institute Method for protection switching
CN102104519A (zh) * 2009-12-17 2011-06-22 中兴通讯股份有限公司 基于拓扑信息的环网恢复方法与装置

Family Cites Families (32)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6628661B1 (en) * 1998-08-27 2003-09-30 Intel Corporation Spanning tree recovery in computer networks
US6556541B1 (en) * 1999-01-11 2003-04-29 Hewlett-Packard Development Company, L.P. MAC address learning and propagation in load balancing switch protocols
US7516487B1 (en) * 2003-05-21 2009-04-07 Foundry Networks, Inc. System and method for source IP anti-spoofing security
US8065725B2 (en) * 2003-05-30 2011-11-22 Yuliang Zheng Systems and methods for enhanced network security
US7339900B2 (en) * 2003-09-26 2008-03-04 Sun Microsystem, Inc. Method and apparatus for preventing spanning tree loops during traffic overload conditions
US7940660B2 (en) * 2003-10-01 2011-05-10 Genband Us Llc Methods, systems, and computer program products for voice over IP (VoIP) traffic engineering and path resilience using media gateway and associated next-hop routers
JP4459018B2 (ja) * 2004-10-28 2010-04-28 富士通株式会社 ノード装置
CN1855812B (zh) * 2005-04-25 2010-04-28 华为技术有限公司 防止mac地址仿冒的实现方法和设备
US8369330B2 (en) * 2005-10-05 2013-02-05 Rockstar Consortium LP Provider backbone bridging—provider backbone transport internetworking
JP4739141B2 (ja) * 2006-02-24 2011-08-03 アラクサラネットワークス株式会社 リングネットワーク及びマスタノード
US8085676B2 (en) * 2006-06-29 2011-12-27 Nortel Networks Limited Method and system for looping back traffic in QIQ ethernet rings and 1:1 protected PBT trunks
CN101641933A (zh) * 2006-12-22 2010-02-03 艾利森电话股份有限公司 电子欺骗的防止
US8737198B1 (en) * 2007-02-07 2014-05-27 Ciena Corporation Method and apparatus for controlling a set of ethernet nodes interconnected to form one or more closed loops
KR20080089285A (ko) * 2007-03-30 2008-10-06 한국전자통신연구원 이더넷 링 네트워크에서의 보호 절체 방법
US20080259920A1 (en) * 2007-04-17 2008-10-23 Tellabs Operations, Inc. Method and apparatus for establishing virtual resilient packet ring (RPR) subrings over a common communications path
JP5061748B2 (ja) * 2007-06-21 2012-10-31 日本電気株式会社 パケットリングネットワークシステム、パケット転送方法
US20080317030A1 (en) * 2007-06-22 2008-12-25 Icu Research And Industrial Cooperation Group Method of creating address forwarding table in ethernet ring network
CN101378591B (zh) * 2007-08-31 2010-10-27 华为技术有限公司 终端移动时安全能力协商的方法、系统及装置
KR20090050920A (ko) * 2007-11-16 2009-05-20 한국전자통신연구원 이더넷 링 네트워크의 비환원 모드에서의 장애 복구 방법
US8200798B2 (en) * 2007-12-29 2012-06-12 Cisco Technology, Inc. Address security in a routed access network
CN101662421B (zh) * 2008-08-28 2012-09-05 中兴通讯股份有限公司 基于以太多环网的控制报文的传输方法和装置
JP2010177752A (ja) * 2009-01-27 2010-08-12 Hitachi Ltd ネットワーク通信装置
CN101834772B (zh) * 2009-03-13 2013-11-06 中兴通讯股份有限公司 一种基于以太环网的介质访问控制地址分类方法和装置
US8159936B2 (en) * 2009-03-31 2012-04-17 Extreme Networks, Inc. Network convergence in response to a topology change
TW201042953A (en) * 2009-05-21 2010-12-01 Moxa Inc Processing method of redundancy check for chain network
US8477660B2 (en) * 2009-05-25 2013-07-02 Electronics And Telecommunications Research Institute Method for updating filtering database in multi-ring network
JP5370017B2 (ja) * 2009-06-15 2013-12-18 富士通株式会社 中継システム及び中継方法
JP5433332B2 (ja) * 2009-07-23 2014-03-05 アラクサラネットワークス株式会社 ネットワーク中継装置、その制御方法およびコンピュータプログラム
KR101252828B1 (ko) * 2009-07-24 2013-04-11 한국전자통신연구원 Ｖｌａｎ기반 브리지의 이더넷 링 네트워크 관리 방법
JP5471240B2 (ja) * 2009-09-28 2014-04-16 日本電気株式会社 スイッチ装置、リングネットワークシステム、通信制御方法、および装置のプログラム
KR101401752B1 (ko) * 2010-05-06 2014-05-30 엘에스산전 주식회사 링 네트워크에서의 링 매니저 선출 방법 및 노드
JP5404938B2 (ja) * 2010-12-21 2014-02-05 三菱電機株式会社 通信装置、通信システムおよび通信方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1388683A (zh) * 2001-05-25 2003-01-01 扎尔林克半导体V.N.股份有限公司 具有增强的安全特性的数据网络节点
CN101060498A (zh) * 2007-06-22 2007-10-24 杭州华三通信技术有限公司 实现网关Mac绑定的方法、组件、网关和二层交换机
US20100290340A1 (en) * 2009-05-15 2010-11-18 Electronics And Telecommunications Research Institute Method for protection switching
CN102104519A (zh) * 2009-12-17 2011-06-22 中兴通讯股份有限公司 基于拓扑信息的环网恢复方法与装置

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104283790A (zh) * 2014-10-09 2015-01-14 杭州华三通信技术有限公司 Sdn中弹性分组环rpr的拓扑发现方法和设备
CN104283790B (zh) * 2014-10-09 2017-09-15 新华三技术有限公司 Sdn中弹性分组环rpr的拓扑发现方法和设备
CN105988937A (zh) * 2015-05-12 2016-10-05 乐视移动智能信息技术（北京）有限公司 Mac地址的处理方法和装置
CN108600097A (zh) * 2018-04-20 2018-09-28 闫晓峰 可多路径传输数据的通讯设备、数据通讯网络系统及数据通讯方法
CN108600097B (zh) * 2018-04-20 2020-09-22 闫晓峰 可多路径传输数据的通讯设备、数据通讯网络系统及数据通讯方法

Also Published As

Publication number Publication date
EP2530881A4 (en) 2013-01-23
WO2012103708A1 (zh) 2012-08-09
EP2530881A1 (en) 2012-12-05
CN102301662B (zh) 2013-10-02
US20130094510A1 (en) 2013-04-18
EP2530881B1 (en) 2014-02-12
US9282025B2 (en) 2016-03-08

Similar Documents

Publication Publication Date Title
CN102301662B (zh) 媒体访问控制mac地址保护方法和交换机
CN101636661B (zh) 用于为冗余站点提供更快收敛的方法和设备
CN107637024B (zh) 连接性感知的虚拟网络嵌入的相关方法和系统
CN105191215A (zh) 双向服务链的数据平面学习
CN104980349A (zh) 中继系统以及交换机装置
CN110225067A (zh) 一种物联网安全预警系统
CN103634423B (zh) 一种基于三层接口的mpls‑tp配置方法及装置
CN102484611B (zh) 链路状态标识符冲突处理
CN102201964A (zh) 一种实现快速路径切换的方法和装置
CN108022100A (zh) 一种基于区块链技术的交叉认证系统及方法
CN109445902A (zh) 一种数据操作方法和系统
CN107204866A (zh) 基于vxlan技术解决多租户服务链传输的实现方法
CN112835604A (zh) 系统灰度版本发布管理方法、系统、设备和介质
CN107066411A (zh) 数据传输方法、装置及计算机可读存储介质
CN110390529A (zh) 交易智能路由方法、装置、设备及存储介质
CN105871737B (zh) 一种用于冗余网络间通信的通信流量控制装置
CN105471746A (zh) 中继系统以及交换装置
CN104581861A (zh) 一种基于卫星网络的路由方法和装置
CN102136957A (zh) 一种标签交换路径监控的实现方法、装置和系统
Geetanjali et al. IoTexpert: Interconnection, interoperability and integration of IoT platforms
CN106230720A (zh) 一种设备故障后的路由恢复方法及装置
CN109299053A (zh) 文件的操作方法、设备和计算机存储介质
CN108920975A (zh) 基于区块链的交易信息处理方法及装置
CN101252475A (zh) 报文镜像方法及装置
CN107566445A (zh) 基于物联网的路线指引方法及设备

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20131002