CN102438028B - 一种防止dhcp服务器欺骗的方法、装置及系统 - Google Patents

Abstract

本发明公开一种防止DHCP服务器欺骗的方法、装置及系统，步骤如下：S1：交换机预先配置满足合法DHCP服务器的特征，下发DHCP报文重定向至交换机中央处理模块的规则；S2：交换机的每个端口构建DHCP？DISCOVERY报文，并将报文从构建端口发送给DHCP服务器，服务器返回DHCP？OFFER报文给交换机；S3：交换机接收到DHCP？OFFER报文，与预先配置好的合法DHCP服务器特征进行匹配；S4：根据步骤S3的匹配结果，采取不同的防护措施，从而主动防止DHCP服务器欺骗。本发明通过主动探测发现非法DHCP服务器，确保用户获取合法IP地址，该方案简单，易于实现，保证了网络的安全性。

Description

一种防止DHCP服务器欺骗的方法、装置及系统

技术领域

本发明涉及计算机数据通信领域，尤其涉及一种防止DHCP服务器欺骗的方法、装置及系统。

背景技术

随着网络规模的扩大和网络复杂程度的提高，网络配置越来越复杂，经常出现计算机位置变化和计算机数量超过可分配的IP地址的情况。动态主机分配协议(DynamicHostConfigurationProtocol，DHCP)就是为了满足这些需求而发展起来的，在网络规模较大的情况下，通常采用DHCP服务器来完成IP的分配。

动态主机分配协议是一个局域网的网络协议，使用UDP协议(UserDatagramProtocol，用户数据包协议)工作，主要有两个用途：给内部网络或网络服务供应商自动分配IP地址给用户和给内部网络管理员作为对所有计算机作中央管理的手段。

为了防止非法设置DHCP服务器，一般在交换机中开启DHCP侦听(DHCPSNOOPING)功能，DHCPSNOOPING功能指交换机监测DHCP客户端通过DHCP协议获取IP的过程。它通过设置可信端口和非可信端口，来防止DHCP攻击及私设DHCP服务器。从可信端口接收的DHCP报文无需校验即可转发。典型的设置是将可信端口连接DHCP服务器或者DHCP中继代理。非可信端口连接DHCP客户端，交换机将转发从非可信端口接收的DHCP请求报文，不转发从非可信端口接收的DHCP回应报文。如果从非可信端口接收DHCP回应报文，除了发出告警信息外，并可根据设置对该端口执行不同的动作，比如关闭该端口(Shutdown该端口)，下发黑洞地址(BLACKHOLEMAC)等。但是启用DHCPSNOOPING来防止私设DHCP服务器是一种被动的行为，而且其判断DHCP服务器非法的条件相对简单，不能满足复杂网络中的需求。

现有技术中公开号为CN101834870A的发明专利公开了“一种防止MAC地址欺骗攻击的方法和装置”，该方法包括：交换设备在接收到用户终端发送的非动态主机配置协议DHCP报文时，基于预先配置的静态MAC地址表，检测所述非DHCP报文的合法性，当所述非DHCP报文不合法时，丢弃该报文。该方法防止了接入设备的MAC地址欺骗，并有效避免了交换设备上的MAC地址协议发生迁移，造成数据转发紊乱，使用户遭受攻击的情况。

现有技术中基于预先配置的静态MAC地址表或MAC地址与IP地址绑定，来对用户终端的非DHCP报文进行过滤，通过对报文的源MAC地址合法性检查，防止接入设备的MAC地址欺骗，也属于一种被动的防止MAC地址欺骗的方法，而且该判断方法较复杂，亟需一种简单、易于实现、能够主动探测发现非法DHCP服务器的方法，能够有效解决网络中DHCP服务器欺骗行为。

发明内容

为克服现有技术中存在的缺陷和不足，本发明提出一种防止DHCP服务器欺骗的方法、装置及系统，有效的解决了在网络中私设DHCP服务器的行为，确保用户获取合法IP地址，保证了网络的安全性。

本发明公开一种防止DHCP服务器欺骗的方法，该方法包括如下步骤：

S1：交换机预先配置满足合法DHCP服务器的特征，下发DHCP报文重定向至交换机中央处理模块的规则；

S2：交换机的每个端口构建DHCPDISCOVERY报文，并将报文从构建端口发送给DHCP服务器，服务器返回DHCPOFFER报文给交换机；

S3：交换机接收到DHCPOFFER报文，与预先配置好的合法DHCP服务器特征进行匹配；

S4：根据步骤S3的匹配结果，采取不同的防护措施，从而主动防止DHCP服务器欺骗。

进一步地，所述合法DHCP服务器的特征包括DHCP服务器连接端口、所属虚拟局域网号、IP地址或MAC地址。

进一步地，所述步骤S1中交换机接收到DHCP报文后，将DHCP报文重定向至交换机的中央处理模块，由中央处理模块进行解析和转发。

进一步地，步骤S2中对交换机的每一个物理端口，构建DHCPDISCOVERY报文，将报文从构建端口发送给DHCP服务器，并记录DHCP请求对话。

进一步地，步骤S3中交换机接收到DHCPOFFER报文，中央处理模块对该报文进行解析，记录接收报文的端口，根据解析结果与合法DHCP服务器的特征进行匹配。

进一步地，步骤S4中如DHCPOFFER报文解析结果为本次DHCP请求对话的回应，并且与合法DHCP服务器的特征匹配，则不再发送DHCPREQUEST，并且丢弃该DHCPOFFER报文。

进一步地，步骤S4中如DHCPOFFER报文解析结果与合法DHCP服务器的特征不匹配，通过在交换机中设置的防护动作，将非法DHCP服务器的所有报文全部丢弃。

进一步地，交换机中设置的防护动作包括Shutdown该端口、下发该DHCP服务器的黑洞MAC表项或将该端口设置到黑名单。

本发明公开一种防止DHCP服务器欺骗的装置，该装置用于DHCP客户端向DHCP服务器申请IP地址时进行信息交换，包括设置模块、匹配模块、自定义模块、重定向模块和中央处理模块，设置模块预先配置合法DHCP服务器的特征，下发DHCP报文重定向至中央处理模块的规则，该装置端口接收到DHCP报文，重定向模块将DHCP报文重定向到中央处理模块进行解析和转发，自定义模块为交换设备的每个端口构建DHCPDISCOVERY报文，从构建端口将报文发送给DHCP服务器，DHCP服务器返回DHCPOFFER报文给交换设备，匹配模块将DHCPOFFER报文与合法DHCP服务器的特征进行匹配，根据匹配结果，采取不同的防护措施，从而主动防止DHCP服务器欺骗。

本发明还公开一种防止DHCP服务器欺骗的系统，一种由DHCP客户端、DHCP服务器和上面所述防止DHCP服务器欺骗的装置组成的系统。

本发明的一种防止DHCP服务器欺骗的方法、装置及系统，能够实现交换装置主动探测发现非法DHCP服务器，确保用户获取合法IP地址，该方法简单，易于实现，保证了网络的安全性。

附图说明

图1为本发明防止DHCP服务器欺骗的系统原理框图；

图2为本发明防止DHCP服务器欺骗的系统示意图；

图3为本发明防止DHCP服务器欺骗的方法流程图；

图4为本发明一具体实施的防止DHCP服务器欺骗的方法的流程图。

具体实施方式

为详细说明本发明的技术内容、所实现目的及效果，以下结合实施方式并配合附图予以详细说明。

参见图1，为本发明防止DHCP服务器欺骗的系统原理框图，该系统包括DHCP客户端、交换装置和DHCP服务器，其中，交换装置包括设置模块、匹配模块、自定义模块、重定向模块和中央处理模块；设置模块用于配置合法DHCP服务器的特征，该合法DHCP服务器的特征指管理员搭建的DHCP服务器具有的特征，包括DHCP服务器的连接端口、所属VLANID(虚拟局域网号)、IP地址或者MAC地址等；重定向模块用于将交换装置端口收到的DHCP网络报文重定向到中央处理模块进行解析和转发，自定义模块为交换设备在每一个物理端口构建DHCPDISCOVERY报文，从构建端口将DHCPDISCOVERY报文发送到DHCP服务器，DHCP服务器收到DISCOVERY报文，返回一个DHCPOFFER给交换设备；交换设备接收到DHCPOFFER报文，由中央处理模块对报文进行解析，匹配模块对解析结果与合法DHCP服务器的特征进行匹配，根据匹配结果，采取不同的防护措施：如匹配成功，则停止发送DHCPREQUEST报文，并且丢弃DHCPOFFER报文；如果匹配失败，则根据防护措施采取不同动作，禁止非法DHCP服务器接入网络，采用主动方式解决了网络中私设DHCP服务器的行为。

其中，所述交换装置为一种防止DHCP服务器欺骗的装置，该装置用于DHCP客户端向DHCP服务器申请IP地址时进行信息交换，包括设置模块、匹配模块、自定义模块、重定向模块和中央处理模块。设置模块由管理员预先配置合法DHCP服务器的特征，该装置下发DHCP报文重定向至交换机中央处理模块的规则，DHCP客户端与DHCP服务器发送DHCP报文时，该规则将端口收到的DHCP报文通过重定向模块重定向到中央处理模块进行解析和转发，自定义模块为交换设备的每个端口构建DHCPDISCOVERY报文，从构建端口将报文发送给DHCP服务器，DHCP服务器返回DHCPOFFER报文给交换设备，匹配模块将DHCPOFFER报文与合法DHCP服务器的特征进行匹配，根据匹配结果，采取不同的防护措施，从而主动防止DHCP服务器欺骗。

参见图2，为本发明防止DHCP服务器欺骗的系统示意图。用户终端通过交换机连入网络，交换机将用户的DHCP报文向DHCP服务器转发。整个系统的具体工作过程如下：交换机启用主动探测非法DHCP服务器功能；交换机预先配置合法DHCP服务器的特征。交换机下发DHCP报文重定向至交换机中央处理模块的规则，DHCP客户端向DHCP服务器发送DHCP网络报文，交换机端口收到DHCP报文，通过重定向模块将DHCP报文重定向到中央处理模块，中央处理模块对DHCP报文进行解析；自定义模块为交换机每个端口构造DHCPDISCOVERY报文，将DHCPDISCOVERY报文由构造端口发送到DHCP服务器，DHCP服务器接收到DHCPDISCOVERY报文并进行响应，返回DHCPOFFER报文给交换机，交换机接收到DHCPOFFER报文并由中央处理模块进行解析；匹配模块根据解析结果与合法DHCP服务器的特征进行匹配，如果DHCPOFFER报文为本机的DHCP请求对话的回应，并且满足合法DHCP服务器的特征，则删除DHCP请求对话，不再发送DHCPREQUEST请求报文，并且丢弃该DHCPOFFER报文；如果不满足合法DHCP服务器特征，根据防护措施采取不同动作，禁止非法DHCP服务器接入网络。其中，防护动作由管理员在交换机中设置，比如Shutdown该端口，下发该DHCP服务器的黑洞MAC表项，或者设置黑名单等，交换机将非法DHCP服务器的所有报文全部丢弃。

参见图3，为本发明防止DHCP服务器欺骗的方法流程图。该方法具体步骤如下：

S1：交换机预先配置满足合法DHCP服务器的特征，下发DHCP报文重定向至交换机中央处理模块的规则。

其中，合法DHCP服务器的特征指管理员搭建的DHCP服务器具有的特征，如DHCP服务器的连接端口、所属VLANID(虚拟局域网号)、IP地址或者MAC地址等。交换机下发DHCP报文重定向至交换机CPU的规则，根据该规则交换机的交换芯片接收到DHCP报文后，不执行硬件转发行为，而是将报文重定向至交换机的CPU，由CPU进行软件的解析和转发。

S2：交换机的每个端口构建DHCPDISCOVERY报文，并将报文从构建端口发送给DHCP服务器，服务器返回DHCPOFFER报文给交换机。

交换机上包括多个物理端口，交换芯片接收到DHCP报文后，为每一个端口构造DHCPDISCOVERY报文，并将DHCPDISCOVERY报文从构建端口发送给DHCP服务器，DHCP服务器接收到报文并进行响应，返回DHCPOFFER报文给交换机；同时记录此次DHCP请求对话，

S3：交换机接收到DHCPOFFER报文，与预先配置好的合法DHCP服务器特征进行匹配。

交换机接收到DHCPOFFER报文后，由中央处理模块进行解析，解析得到DHCP服务器的连接端口、所属虚拟局域网号、IP地址或者MAC地址等信息，然后与预先配置好的合法DHCP服务器的特征进行匹配。

S4：根据步骤S3的匹配结果，采取不同的防护措施，从而主动防止DHCP服务器欺骗。

如果DHCP服务器报文为本次的DHCP请求对话的回应，解析后的信息与合法DHCP服务器的特征匹配成功，就不再发送DHCPREQUEST报文，并且将接收到的DHCPOFFER丢弃。

如解析后的信息与合法DHCP服务器的特征匹配不成功，则根据防护措施采取不同动作，禁止非法DHCP服务器接入网络。具体的防护动作由管理员在交换机中设置，比如Shutdown该端口，下发该DHCP服务器的黑洞MAC表项，或者设置黑名单等，此种情况下，交换机将非法DHCP服务器的所有报文全部丢弃。

本发明的技术方案采用主动探测并发现非法DHCP服务器，确保客户端获得合法的IP地址，保证了网络安全。

参见图4，为本发明一具体实施的防止DHCP服务器欺骗的方法的具体流程：

1)在交换机上配置满足合法DHCP服务器的特征，合法DHCP服务器的特征指由管理员搭建的DHCP服务器具有的特征，包括DHCP服务器的连接端口、所属VLANID(虚拟局域网号)、IP地址或者MAC地址等。启用主动探测非法DHCP服务器功能；

2)交换装置下发DHCP报文重定向至交换机CPU的规则到交换芯片，交换芯片收到DHCP报文后，不执行硬件转发行为，而是将报文重定向至交换机的CPU，由CPU进行软件的解析和转发；

3)交换装置的自定义模块为交换机的每一个物理端口构造DHCPDISCOVERY报文，将DHCPDISCOVERY报文以广播的方式从构造端口发送给DHCP服务器，DHCP服务器根据DHCPDISCOVERY报文信息，以广播的形式返回DHCPOFFER报文给交换机，同时记录此次DHCP请求对话；

4)交换机端口收到DHCPOFFER报文，解析该报文，记录接收报文的端口，判断DHCPOFFER报文解析结果与步骤1)中配置的合法DHCP服务器特征是否匹配，如是，执行步骤5)；如否，则执行步骤6)；

5)如果DHCP服务器报文为本次的DHCP请求对话的回应，解析后的信息与合法DHCP服务器的特征匹配成功，就不再发送DHCPREQUEST报文，并且将接收到的DHCPOFFER报文丢弃；

6)如解析后的信息与合法DHCP服务器的特征匹配不成功，交换机将非法DHCP服务器的所有报文全部丢弃。

实施本发明的一种防止DHCP服务器欺骗的方法、装置及系统，通过主动探测发现非法DHCP服务器，确保用户获取合法IP地址，该方案简单，易于实现，保证了网络的安全性。

Claims (8)

1.一种防止DHCP服务器欺骗的方法，其特征在于，包括如下步骤：

S1：交换机预先配置满足合法DHCP服务器的特征，交换机下发DHCP报文重定向至交换机中央处理模块的规则；

S2：交换机的每个端口构建DHCPDISCOVERY报文，并将报文从构建端口发送给DHCP服务器，服务器返回DHCPOFFER报文给交换机；

S3：交换机接收到DHCPOFFER报文，与预先配置好的合法DHCP服务器特征进行匹配；

S4：根据步骤S3的匹配结果，采取不同的防护措施，从而主动防止DHCP服务器欺骗；

步骤S4中如DHCPOFFER报文解析结果为本次DHCP请求对话的回应，并且与合法DHCP服务器的特征匹配，则不再发送DHCPREQUEST，并且丢弃该DHCPOFFER报文；

步骤S4中如DHCPOFFER报文解析结果与合法DHCP服务器的特征不匹配，通过在交换机中设置的防护动作，将非法DHCP服务器的所有报文全部丢弃。

2.根据权利要求1所述的防止DHCP服务器欺骗的方法，其特征在于，所述合法DHCP服务器的特征包括DHCP服务器连接端口、所属虚拟局域网号、IP地址或MAC地址。

3.根据权利要求1所述的防止DHCP服务器欺骗的方法，其特征在于，所述步骤S1中交换机接收到DHCP报文后，将DHCP报文重定向至交换机的中央处理模块，由中央处理模块进行解析和转发。

4.根据权利要求1所述的防止DHCP服务器欺骗的方法，其特征在于，步骤S2中对交换机的每一个物理端口构建DHCPDISCOVERY报文，将报文从构建端口发送给DHCP服务器，并记录DHCP请求对话。

5.根据权利要求1所述的防止DHCP服务器欺骗的方法，其特征在于，步骤S3中交换机接收到DHCPOFFER报文，中央处理模块对该报文进行解析，记录接收报文的端口，根据解析结果与合法DHCP服务器的特征进行匹配。

6.根据权利要求1所述的防止DHCP服务器欺骗的方法，其特征在于，交换机中设置的防护动作包括Shutdown该端口、下发该DHCP服务器的黑洞MAC表项或将该端口设置到黑名单。

7.一种防止DHCP服务器欺骗的装置，该装置用于DHCP客户端向DHCP服务器申请IP地址时进行信息交换，该装置包括设置模块、匹配模块、自定义模块、重定向模块和中央处理模块，设置模块预先配置合法DHCP服务器的特征，交换机下发DHCP报文重定向至中央处理模块的规则，该装置端口接收到DHCP报文，重定向模块将DHCP报文重定向到中央处理模块进行解析和转发，自定义模块为交换设备的每个端口构建DHCPDISCOVERY报文，从构建端口将报文发送给DHCP服务器，DHCP服务器返回DHCPOFFER报文给交换设备，匹配模块将DHCPOFFER报文与合法DHCP服务器的特征进行匹配，根据匹配结果，采取不同的防护措施，从而主动防止DHCP服务器欺骗；

匹配模块中如DHCPOFFER报文解析结果为本次DHCP请求对话的回应，并且与合法DHCP服务器的特征匹配，则不再发送DHCPREQUEST，并且丢弃该DHCPOFFER报文；

匹配模块中如DHCPOFFER报文解析结果与合法DHCP服务器的特征不匹配，通过在交换机中设置的防护动作，将非法DHCP服务器的所有报文全部丢弃。

8.一种防止DHCP服务器欺骗的系统，其特征在于，一种由DHCP客户端、DHCP服务器和如权利要求7所述防止DHCP服务器欺骗的装置组成的系统。