CN102523224B - 一种arp流量控制方法和系统 - Google Patents

Abstract

本发明实施例提供了一种ARP流量控制方法。该方法包括在设备器枚举完成后创建与设备器对应的包含预设流量控制速率限速规则；查询限速链表的空闲节点，将所述限速规则包含的流量控制速率写入该空闲节点；获取处理数据包的处理时间间隔后用其除以ARP数据包长度得到数据处理间隔次数M；从当前节点开始顺序查找与M相等的N个非空闲节点；将N个非空闲节点对应的流量控制速率进行求和，将求和结果与预设最大流量控制速率进行比较，如果大于预设最大流量控制速率，则丢弃当前ARP数据包。本发明实施例还提供了一种ARP流量控制系统。本发明实施例技术方案实现了对ARP流量的有效控制。

Description

一种ARP流量控制方法和系统

技术领域

本发明涉及数据包控制技术领域，尤其涉及一种ARP流量控制方法和系统。

背景技术

近年来，随着计算机网络的迅速发展，由网络协议漏洞引发的网络安全事件日渐频繁，ARP欺骗攻击便是其中比较严重的一种，它利用ARP协议的漏洞进行网络欺骗和攻击。ARP(address resolution Protocol)是地址解析协议的简称，其主要作用在于实现地址解析，即通过广播方式获取某个目的IP地址对应的目的MAC地址，以便利用获得的MAC地址进行数据传输。但是，在广播ARP请求过程中，源主机所在网络内的所有主机均将收到该广播请求，黑客或者感染了ARP病毒的主机通过该机会将伪造的地址返回给源主机，源主机获得该地址后向该地址的目的主机发送数据。然而，由于源主机获得的地址是伪造的，发送的数据将无法真正到达目的主机，一方面可能引起数据多次重传，另一方面黑客会不断地返回伪造的地址信息，致使短时间内网络数据包流量大增，而网络带宽通常恒定不变，ARP数据包过多轻则导致网速减慢、上网延长，重则导致此起彼伏的瞬间掉线或大面积的断网。

发明内容

有鉴于现有技术存在的不足，本发明的目的在于提供一种ARP流量控制方法和系统，该方法和系统根据预设流量控制速率对数据包进行流量比较，超过速率时丢弃相应数据包，以解决ARP数据包流量过多、引起网速和掉线的问题。

为实现上述目的，本发明实施例提供的ARP流量控制方法包括：

在设备器枚举完成后创建与设备器对应的限速规则，所述限速规则包含预设流量控制速率；

查询与设备器对应的限速链表的空闲节点，将所述限速规则包含的流量控制速率写入该空闲节点，所述限速链表包含有多个节点，每个节点用于记录流量控制速率；

获取处理ARP数据包的处理时间间隔，用该处理时间间隔除以ARP数据包长度得到数据处理间隔次数M；

从当前节点开始顺序查找N个非空闲节点，所述N与M的数值相等；

将N个非空闲节点对应的流量控制速率进行求和运算，将求和运算的结果与预设最大流量控制速率进行比较，如果大于预设最大流量控制速率，则丢弃当前ARP数据包。

优选地，所述空闲节点为未写入预设流量控制速率的节点，所述非空闲节点为已写入预设流量控制速率的节点。

优选地，所述限速链表包含的节点数范围为60至90个。

优选地，所述方法包括：进行设备器枚举之前，通过目标字符串协商机制确定ARPNDIS协议驱动。

优选地，所述方法包括：在进行查询限速链表之前，初始化限速链表，具体包括：创建一个多节点链表，将链表节点的流量控制速率值置零。

本发明还提供了一种ARP流量控制系统。该系统包括：规则创建单元、速率写入单元、间隔次数获取单元、节点查找单元、求和单元和比较单元，其中：

所述规则创建单元，用于在设备器枚举完成后创建与设备器对应的限速规则，所述限速规则包含预设流量控制速率；

所述速率写入单元，用于在从与设备器对应的限速链表中查询到空闲节点后，将所述限速规则包含的流量控制速率写入该空闲节点，所述限速链表包含有多个节点，每个节点用于记录流量控制速率；

所述间隔次数获取单元，用于获取处理ARP数据包的处理时间间隔，用该处理时间间隔除以ARP数据包长度得到数据处理间隔次数M；

所述节点查找单元，用于从当前节点开始顺序查找N个非空闲节点，所述N与M的数值相等；

所述求和单元，用于将查找到的N个非空闲节点对应的流量控制速率进行求和运算；

所述比较单元，用于将求和运算的结果与预设最大流量控制速率进行比较，如果大于预设最大流量控制速率，则丢弃当前ARP数据包。

优选地，所述空闲节点为未写入预设流量控制速率的节点，所述非空闲节点为已写入预设流量控制速率的节点。

优选地，所述限速链表包含的节点数范围为60至90个。

优选地，所述系统包括驱动确定单元，用于通过目标字符串协商机制确定ARPNDIS协议驱动。

优选地，所述系统包括初始化单元，用于在进行查询限速链表之前，初始化限速链表，具体包括：创建多节点链表，将链表节点的流量控制速率值置零。

本发明实施例提供的技术方案在设备器完成枚举之后为设备器创建限速规则，将限速规则中的预设流量控制速率写入到限速链表的空闲节点内，然后获取当前数据处理的时间间隔，用该时间间隔除以ARP数据包长度得到数据处理间隔次数M，再自当前节点开始从限速链表中查找N个非空闲节点，将非空闲节点的流量控制速率值进行求和，用求和的结果与预设的最大流量控制速率进行比较，如果大于该最大预设值，则过滤掉当前的ARP数据包。与现有技术相比，本发明实施例为每个设备器创建对应的限速链表，通过将限度链表节点对应的速率求和值与预设最大流量速率值进行比较，实现了ARP流量的过滤，从而减少了ARP攻击包，避免了网速减慢或掉线问题。而且，本发明实施例利用数据包处理时间间隔作为判断速率快慢的基准，处理时间间隔短，ARP数据包必然多，反之则少，该方式能够实时地判断出ARP数据包的数量变化，由此能够及时地实现ARP流量控制。此外，本发明实施例通过将预设的流量控制速率写入到限速链表中实现流量控制，由此可根据网络当前数据传输的实际情况有目的地和定量性进行限速，提高了ARP流量控制的灵活性。

附图说明

图1为本发明的一个方法实施例的流程图；

图2为本发明的一个系统实施例的结构图。

具体实施方式

本发明的主要思想是在设备器完成枚举之后为设备器创建限速规则，将限速规则中的预设流量控制速率写入到限速链表的空闲节点内，然后获取当前ARP数据包处理的时间间隔，用该时间间隔除以ARP数据包长度得到数据处理间隔次数M，再自当前节点开始从限速链表中查找N个非空闲节点，将非空闲节点的流量控制速率值进行求和，用求和的结果与预设的最大流量控制速率进行比较，如果大于该最大预设值，则过滤掉当前的ARP数据包，从而实现了ARP攻击数据包的流量控制。

为了使本领域技术人员能进一步了解本发明的特征及技术内容，下面先对本发明中的ARP原理以及ARP攻击进行简要介绍，然后结合附图和实施例，对本发明的技术方案进行详细描述。

为简便起见，介绍ARP原理时以主机A(192.168.1.5)向主机B(192.168.1.1)发送数据为例。当发送数据时，主机A会在自己的ARP缓存表中寻找是否有目标IP地址。如果找到，也就知道了目标的MAC地址，直接把目标的MAC地址写入帧里面即可发送；如果在ARP缓存表里面没有目标的IP地址，主机A便在网络上发送一个广播，目标MAC地址是“ff-ff-ff-ff-ff-ff”，这表示向同一网段的所有主机发出这样的询问：“192.168.1.1的MAC地址是什么呀？”，网络上其他主机并不回应这一询问，只有主机B接受到这个帧时才向A做出回应：“192.168.1.1的MAC地址是00-aa-0-62-c6-09”。由此，主机A便获知主机B的MAC地址，即可向主机B发送信息。同时，它还更新自己的ARP缓存表，下次再向B发送数据时，直接在ARP缓存中进行查找。ARP缓存表采用老化的机制，在一段时间里表中的某一行没有使用，就会被删除，这样可以大大减少ARP缓存表的长度，加快查询的速度。

ARP欺骗是黑客常用的攻击手段之一，ARP欺骗分为二种，一种是对路由器ARP表的欺骗；另一种是对内网PC的网关欺骗。第一种ARP欺骗的原理是截获网关数据。它通知路由器一系列错误的内网MAC地址，并按照一定的频率不断进行，使真实的地址信息无法通过更新保存在路由器中，结果路由器的所有数据只能发送给错误的MAC地址，造成正常PC无法收到信息。第二种ARP欺骗的原理是伪造网关。它的原理是建立假网关，让被它欺骗的PC向假网关发数据，而不是通过正常的路由器途径上网。一般来说，ARP欺骗攻击的后果非常严重，大多数情况下会造成大面积掉线。

为了解决ARP攻击带来的问题，本发明实施例提供了一种ARP流量控制方法。参见附图1，该实施例包括：

步骤S101：在设备器枚举完成后创建与设备器对应的限速规则，所述限速规则包含预设流量控制速率；

这里的设备器是指安装在终端上的诸如网卡等具有数据存储转发功能的设备，还可以是具有类似功能的网络虚拟设备。在一个终端上可能存在一个设备器，也可能存在多个设备器，当存在多个设备器时均需要进行枚举操作，枚举过程可以检测到设备器是否存在，设备器调用的相关协议。完成设备器枚举后，终端为每个设备器创建一个限速规则，这些限速规则内包含预设的流量控制速率，每个设备器对应的限速规则可以相同，也可以不同，流量控制速率在考虑实际网络流量、设备器的网络处理能力等因素后进行设置。

步骤S102：查询与设备器对应的限速链表的空闲节点，将所述限速规则包含的流量控制速率写入该空闲节点，所述限速链表包含有多个节点，每个节点用于记录流量控制速率；

在完成限速规则创建后，需要将限速规则插入到限速链表中，限速链表中包含多个节点，这些节点用于记录流量控制速率，在进行查询限速链表之前，限速链表需要进行初始化，初始化过程包括：创建一个多节点链表，将链表节点的流量控制速率值置零，也就是说，在启动限速之前，限速链表内没有流量控制速率值，即实际上没有进行限速。这里初始化时创建的节点数据可根据实际情况或经验估计进行设置，通常设置为60至90个。当首次将限速规则插入到限速链表中时，每个节点均是空闲节点，所谓空闲节点即指未写入预设流量控制速率的节点，从这些节点中任意选择一个节点，将限速规则中的预设流量控制速率的值写入到该节点内。这里可以任意选择空闲节点，但在实际应用场合，考虑到内存资源的有限性，通常依次进行选择，即自链表头开始填充流量控制速率值，从而避免来回跳动指针对内存资源的消耗。

步骤S103：获取处理数据包的处理时间间隔，用该处理时间间隔除以ARP数据包长度得到数据处理间隔次数M；

由于设备器主要用于接收转发数据包，当ARP攻击存在时，网络中的数据包数量较多，数据包的处理间隔将变短，因此，通过获取处理数据包的处理时间间隔即可获知ARP数据包的数量情况。这里的数据包的处理时间指数据包的接收转发时间，时间间隔指相邻两个数据包的接收转发处理的时间差。获得该时间差后用该时间差除以ARP数据包的长度，得到数据处理间隔次数M。这里需要注意的是：所谓ARP数据包应当作广泛的理解，即由ARP攻击导致的数据包均包括在内，比如反复重传的数据包、黑客发起周期性ARP攻击产生的数据包等等。

步骤S104：从当前节点开始顺序查找N个非空闲节点，所述N与M的数值相等；

自向限速链表中添加预设的流量控制速率值后，链表指针即指向刚添加速率值的节点，该节点即是当前节点。从当前节点开始查找非空闲节点，查找的非空闲节点的数量N与前述的数据处理间隔次数M相同，这里的非空闲节点指已写入预设流量控制速率的节点。这里的由当前节点顺序查找的目的也在于节约内存资源，通常非空闲节点是紧邻存储的，因此按照顺序查找极为方便。

步骤S105：将N个非空闲节点对应的流量控制速率进行求和运算，将求和运算的结果与预设最大流量控制速率进行比较，如果大于预设最大流量控制速率，则丢弃当前ARP数据包。

查找到N个非空闲节点后，将非空闲节点内的流量控制速率值进行相加，得到一个总的流量控制速率，将该总的流量控制速率与预设的最大流量控制速率进行比较，如果大于该预设最大速率，说明网络出现超速，网络中的ARP数量较多，这时将当前ARP数据包进行丢弃处理。

本实施例提供的技术方案在设备器完成枚举之后为设备器创建限速规则，将限速规则中的预设流量控制速率写入到限速链表的空闲节点内，然后获取当前数据处理的时间间隔，用该时间间隔除以ARP数据包长度得到数据处理间隔次数M，再自当前节点开始从限速链表中查找N个非空闲节点，将非空闲节点的流量控制速率值进行求和，用求和的结果与预设的最大流量控制速率进行比较，如果大于该最大预设值，则过滤掉当前的ARP数据包。与现有技术相比，本实施例至少取得如下方面的技术效果：

(1)本实施例为每个设备器创建对应的限速链表，通过将限度链表节点对应的速率求和值与预设最大流量速率值进行比较，实现了ARP流量的过滤，从而减少了ARP攻击包，避免了网速减慢或掉线问题。

(2)本实施例利用数据包处理时间间隔作为判断速率快慢的基准，处理时间间隔短，ARP数据包必然多，反之则少，该方式能够实时地判断出ARP数据包的数量变化，由此能够及时地实现ARP流量控制。

(3)本实施例通过将预设的流量控制速率写入到限速链表中实现流量控制，由此可根据网络当前数据传输的实际情况有目的地和定量性进行限速，提高了ARP流量控制的灵活性。

上述实施例中在进行设备器枚举之前，本实施例包括协议驱动的步骤，在步骤的目的在于选择与设备器相适合的协议驱动，尤其在不同的网卡生产商提供的网卡没有统一规范的情况，需要相应地选择协议驱动才能实现网卡正常功能。本实施例优选通过目标字符串协商机制确定ARP NDIS协议驱动。这里的NDIS是Network Driver Interface Specification，即网络驱动接口规范。NDIS的主要目的就是为NIC(网络接口卡，Netwok Interface Cards)制定出标准的API接口。MAC(介质访问控制，MediaAccess Controller)设备驱动封装了所有的NIC硬件实现，这样一来所有的使用相同介质的NIC就可以通过通用的编程接口被访问。NDIS同时也提供一个函数库(又时也称作wrapper)，这个库中的函数可以被MAC驱动调用，也可以被高层的协议(例如TCP/IP)驱动调用。这些wrapper函数使得MAC驱动和协议驱动的开发变得更加容易。不同运营商提供的ARP NDIS协议驱动不同，该协议驱动与终端的其他系统具有联系，因此，在进行相应数据过滤操作前必须进行ARPNDIS协议驱动的正确选择，选择的方式即是通过目标字符串协商机制进行，目标字符串是运营商开发ARP NDIS协议驱动时预设的一个识别码，终端通过该目标字符串即可进行ARPNDIS协议驱动的相应选择。

上述描述了本发明的方法实施例，相应地，本发明的还提供了一种ARP流量控制系统的实施例200。参见图2，该系统实施例200包括：

规则创建单元201、速率写入单元202、间隔次数获取单元203、节点查找单元204、求和单元205和比较单元206，其中：

所述规则创建单元201，用于在设备器枚举完成后创建与设备器对应的限速规则，所述限速规则包含预设流量控制速率；

所述速率写入单元202，用于在从与设备器对应的限速链表中查询到空闲节点后，将所述限速规则包含的流量控制速率写入该空闲节点，所述限速链表包含有多个节点，每个节点用于记录流量控制速率；

所述间隔次数获取单元203，用于获取处理数据包的处理时间间隔，用该处理时间间隔除以ARP数据包长度得到数据处理间隔次数M；

所述节点查找单元204，用于从当前节点开始顺序查找N个非空闲节点，所述N与M的数值相等；

所述求和单元205，用于将查找到的N个非空闲节点对应的流量控制速率进行求和运算；

所述比较单元206，用于将求和运算的结果与预设最大流量控制速率进行比较，如果大于预设最大流量控制速率，则丢弃当前ARP数据包。

本系统实施例的工作过程是：规则创建单元201在设备器枚举完成后创建与设备器对应的包含预设流量控制速率限速规则；接下来，速率写入单元202在从与设备器对应的限速链表中查询到空闲节点后，将所述限速规则包含的流量控制速率写入该空闲节点；然后由间隔次数获取单元203获取处理数据包的处理时间间隔，用该处理时间间隔除以ARP数据包长度得到数据处理间隔次数M；节点查找单元204从当前节点开始顺序查找N个非空闲节点，所述N与M的数值相等；由求和单元205将查找到的N个非空闲节点对应的流量控制速率进行求和运算；然后，比较单元206将求和运算的结果与预设最大流量控制速率进行比较，如果大于预设最大流量控制速率，则丢弃当前ARP数据包。

本实施例提供的技术方案在设备器完成枚举之后为设备器创建限速规则，将限速规则中的预设流量控制速率写入到限速链表的空闲节点内，然后获取当前数据处理的时间间隔，用该时间间隔除以ARP数据包长度得到数据处理间隔次数M，再自当前节点开始从限速链表中查找N个非空闲节点，将非空闲节点的流量控制速率值进行求和，用求和的结果与预设的最大流量控制速率进行比较，如果大于该最大预设值，则过滤掉当前的ARP数据包。与现有技术相比，本实施例为每个设备器创建对应的限速链表，通过将限度链表节点对应的速率求和值与预设最大流量速率值进行比较，实现了ARP流量的过滤，从而减少了ARP攻击包，避免了网速减慢或掉线问题。而且，本发明实施例利用数据包处理时间间隔作为判断速率快慢的基准，处理时间间隔短，ARP数据包必然多，反之则少，该方式能够实时地判断出ARP数据包的数量变化，由此能够及时地实现ARP流量控制。此外，本发明实施例通过将预设的流量控制速率写入到限速链表中实现流量控制，由此可根据网络当前数据传输的实际情况有目的地和定量性进行限速，提高了ARP流量控制的灵活性。

上述系统实施例所述空闲节点为未写入预设流量控制速率的节点，所述非空闲节点为已写入预设流量控制速率的节点。所述限速链表包含的节点数可根据实际情况或经验进行设置，但通常范围为60至90个。

上述实施例的系统包括驱动确定单元，用于通过目标字符串协商机制确定ARP NDIS协议驱动。通过该驱动确定单元能够选择与设备器相适应的驱动程序，从而有利于网卡设备的正常工作。

上述实施例的系统包括初始化单元，用于在进行查询限速链表之前，初始化限速链表，具体包括：创建一个多节点链表，将链表节点的流量控制速率值置零。

以上所述的本发明实施方式，并不构成对本发明保护范围的限定。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明的权利要求保护范围之内。

Claims (10)

1.一种ARP流量控制方法，其特征在于，该方法包括：

在设备器枚举完成后创建与设备器对应的限速规则，所述限速规则包含预设流量控制速率；

查询与设备器对应的限速链表的空闲节点，将所述限速规则包含的预设流量控制速率写入该空闲节点，所述限速链表包含有多个节点，每个节点用于记录预设流量控制速率；

获取处理ARP数据包的处理时间间隔，用该处理时间间隔除以ARP数据包长度得到数据处理间隔次数M；

从当前节点开始顺序查找N个非空闲节点，所述N与M的数值相等；

将N个非空闲节点对应的预设流量控制速率进行求和运算，将求和运算的结果与预设最大流量控制速率进行比较，如果大于预设最大流量控制速率，则丢弃当前ARP数据包；

其中，所述设备器是指安装在终端上的具有数据存储转发功能的设备，或者具有数据存储转发功能的网络虚拟设备；

所述数据包的处理时间指数据包的接收转发时间，数据包的处理时间间隔指相邻两个数据包的接收转发处理的时间差。

2.根据权利要求1所述的方法，其特征在于，所述空闲节点为未写入预设流量控制速率的节点，所述非空闲节点为已写入预设流量控制速率的节点。

3.根据权利要求1所述的方法，其特征在于，所述限速链表包含的节点数范围为60至90个。

4.根据权利要求1所述的方法，其特征在于，所述方法包括：在进行设备器枚举之前，通过目标字符串协商机制确定ARP NDIS协议驱动；

所述NDIS为网络驱动接口规范。

5.根据权利要求1至4中任何一项所述的方法，其特征在于，所述方法包括：在进行查询限速链表之前，初始化限速链表，具体包括：创建多节点链表，将链表节点的预设流量控制速率值置零。

6.一种ARP流量控制系统，其特征在于，该系统包括：规则创建单元、速率写入单元、间隔次数获取单元、节点查找单元、求和单元和比较单元，其中：

所述规则创建单元，用于在设备器枚举完成后创建与设备器对应的限速规则，所述限速规则包含预设流量控制速率；

所述速率写入单元，用于在从与设备器对应的限速链表中查询到空闲节点后，将所述限速规则包含的预设流量控制速率写入该空闲节点，所述限速链表包含有多个节点，每个节点用于记录预设流量控制速率；

所述间隔次数获取单元，用于获取处理ARP数据包的处理时间间隔，用该处理时间间隔除以ARP数据包长度得到数据处理间隔次数M；

所述节点查找单元，用于从当前节点开始顺序查找N个非空闲节点，所述N与M的数值相等；

所述求和单元，用于将查找到的N个非空闲节点对应的预设流量控制速率进行求和运算；

所述比较单元，用于将求和运算的结果与预设最大流量控制速率进行比较，如果大于预设最大流量控制速率，则丢弃当前ARP数据包；

其中，所述设备器是指安装在终端上的具有数据存储转发功能的设备，或者具有数据存储转发功能的网络虚拟设备；

所述数据包的处理时间指数据包的接收转发时间，数据包的处理时间间隔指相邻两个数据包的接收转发处理的时间差。

7.根据权利要求6所述的系统，其特征在于，所述空闲节点为未写入预设流量控制速率的节点，所述非空闲节点为已写入预设流量控制速率的节点。

8.根据权利要求6所述的系统，其特征在于，所述限速链表包含的节点数范围为60至90个。

9.根据权利要求6所述的系统，其特征在于，所述系统包括驱动确定单元，用于在进行设备器枚举之前，通过目标字符串协商机制确定ARP NDIS协议驱动；

所述NDIS为网络驱动接口规范。

10.根据权利要求6至9中任何一项所述的系统，其特征在于，所述系统包括初始化单元，用于在进行查询限速链表之前，初始化限速链表，具体包括：创建多节点链表，将链表节点的预设流量控制速率值置零。