CN102546431A - 一种路由器公告安全接入方法、系统及装置 - Google Patents

Abstract

本发明公开一种路由器公告安全接入方法、系统及装置，步骤如下：S1：接入交换机使能路由器公告安全功能，并预先配置信任端口；S2：接入交换机监听路由器发出的路由器公告报文，由重定向模块将该报文重定向到微处理器；S3：接入交换机根据路由器公告报文的接收端口信息是否与预先配置的信任端口匹配，判断路由器公告报文的合法性；S4：如为合法的路由器公告报文，接入交换机转发该报文；如为非法的路由器公告报文，接入交换机丢弃该报文；S5：IPv6主机根据合法路由器公告报文内容进行信息配置。本发明实现了路由器公告能够安全接入网络设备或系统，防止恶意路由器公告消息的转发，从而保证路由器公告的合法性，确保网络的正常工作。

Description

一种路由器公告安全接入方法、系统及装置

技术领域

本发明涉及计算机数据通信领域，尤其涉及一种路由器公告安全接入方法、系统及装置。

背景技术

IPv6地址无状态地址配置协议是目前广泛采用的IPv6地址自动配置协议，配置了该协议的主机只需要相邻路由器开启IPv6路由公告功能，即可以根据路由器公告报文(Router Advertisement，简称RA)包含的前缀信息自动配置本机地址。IPv6主机节点的即插即用特征是IPv6相对IPv4的一个显著改善，大大方便了终端用户的使用。这个特征实施的前提是路由器发送路由器公告(RouterAdvertisement，简称RA)消息给主机节点，其中包含了地址前缀，地址生存期，默认路由器地址，路由器生存期等信息，主机节点根据获得的信息生成EUI-64形式的IPv6地址，并设置默认路由器地址。

但目前主机节点接收路由器公告消息并不作身份验证，主机节点把路由器公告中默认路由器地址，路由器生存期和地址生存期等信息进行信息配置。如果有恶意节点发送非法路由器公告消息给合法主机节点，主机节点会把其中默认路由器地址，路由器生存期和地址生存期等信息取代合法路由器公告消息已生效的配置，使网络不可用或把流量导向非法节点，影响网络安全运行。

因此需要一种能够确保路由器公告安全接入IPv6网络的方法、设备或系统，保证路由器公告合法使用。

发明内容

为了确保路由器公告安全接入网络设备或系统，保证路由器公告合法使用，本发明公开一种路由器公告安全接入方法，该方法包括如下步骤：

S1：接入交换机使能路由器公告安全功能，并预先配置信任端口；

S2：接入交换机监听路由器发出的路由器公告报文，由重定向模块将该报文重定向到微处理器(CPU)；

S3：接入交换机根据路由器公告报文(RA)的接收端口信息是否与预先配置的信任端口匹配，判断路由器公告报文的合法性；

S4：如为合法的路由器公告报文，接入交换机转发该报文；如为非法的路由器公告报文，接入交换机丢弃该报文；

S5：IPv6主机根据合法路由器公告报文内容进行信息配置。

进一步地，所述步骤S2中接入交换机监听路由器公告报文，下发路由器公告报文重定向至微处理器(CPU)的规则，接入交换机的收发模块接收到路由器公告报文，将该报文重定向至微处理器(CPU)。

进一步地，所述步骤S3中如果路由器公告报文的接收端口信息匹配任意一个预先配置的信任口，则认为路由器公告报文合法；如果路由器公告报文的接收端口信息与任意一个预先配置的信任口都不匹配，则认为路由器公告报文非法。

进一步地，所述步骤S4中如合法的路由器公告报文为组播报文，接入交换机则从接收端口所在的局域网中，向除该接收端口以外的其他端口转发；如合法的路由器公告报文为单播报文，接入交换机则查询邻居表，从目标主机所连的端口转发出去。

一种路由器公告安全接入系统，所述系统包括IPv6主机、接入交换机和路由器，IPv6主机与接入交换机连接，接入交换机与路由器连接，其中，

所述路由器用于发出路由器公告报文(RA)；

所述接入交换机用于监听路由器公告报文并根据路由器公告报文(RA)的接收端口信息是否与接入交换机上预先配置的信任端口匹配，判断路由器公告报文的合法性，如为合法的路由器公告报文，接入交换机转发该报文；如为非法的路由器公告报文，接入交换机丢弃该报文；

所述IPv6主机根据合法路由器公告报文内容进行信息配置。

进一步地，所述信任端口为接入交换机上连有路由器的二层物理端口或汇聚端口。

进一步地，所述接入交换机包括设置模块、监听模块、收发模块、重定向模块和判断模块，其中，

设置模块用于对接入交换机上信任端口和非信任端口进行配置；

监听模块对路由器发出的路由器公告报文进行监听；

收发模块用于接收路由器公告报文和对合法路由器公告报文进行转发；

重定向模块匹配路由器公告报文重定向的规则，将收发模块接收到的路由器公告报文重定向至微处理器(CPU)；

判断模块根据路由器公告报文(RA)的接收端口信息是否与接入交换机上预先配置的信任端口匹配，判断路由器公告报文的合法性。

进一步地，如合法的路由器公告报文为组播报文，接入交换机则从接收端口所在的局域网中，向除该接收端口以外的其他端口转发；如合法的路由器公告报文为单播报文，接入交换机则查询邻居表，从目标主机所连的端口转发出去。

进一步地，IPv6主机根据路由器公告报文包含的地址前缀、地址生存期、默认路由器地址和路由器生存期信息生成IPv6地址，完成信息配置。

本发明还公开一种路由器公告安全接入装置，该装置为接入交换机，所述接入交换机包括设置模块、监听模块、收发模块、重定向模块和判断模块，其中，

设置模块用于对接入交换机上信任端口和非信任端口进行配置；

监听模块对路由器发出的路由器公告报文进行监听；

收发模块用于接收路由器公告报文和对合法路由器公告报文进行转发；

重定向模块匹配路由器公告报文重定向的规则，将收发模块接收到的路由器公告报文重定向至微处理器(CPU)；

判断模块根据路由器公告报文(RA)的接收端口信息是否与接入交换机上预先配置的信任端口匹配，判断路由器公告报文的合法性。

本发明的技术方案实现了路由器公告能够安全接入网络设备或系统，防止了恶意路由器公告消息的转发，从而保证路由器公告的合法性，确保网络的正常工作。

附图说明

图1为本发明实施例的路由器公告安全接入系统的系统框图；

图2为本发明实施例的路由器公告安全接入交换机的结构框图；

图3为本发明实施例的路由器公告安全接入方法的流程图。

具体实施方式

为详细说明本发明的技术内容、所实现目的及效果，以下结合实施方式并配合附图予以详细说明。

图1为本发明实施例的路由器公告安全接入系统的系统框图，所述系统包括IPv6主机、接入交换机和IPv6路由器，IPv6主机与接入交换机连接，接入交换机与IPv6路由器连接，其中，IPv6路由器用于发出路由器公告报文(RA)；接入交换机用于监听路由器公告报文并根据路由器公告报文(RA)的接收端口信息是否与预先配置的信任端口匹配，判断路由器公告报文的合法性，如为合法的路由器公告报文，接入交换机转发该报文；如为非法的路由器公告报文，接入交换机丢弃该报文；IPv6主机根据合法路由器公告报文内容进行信息配置。

接入交换机包括二层交换机或三层交换机，预先通过配置命令在接入交换机端口上手工指定路由器公告信任端口和非信任端口，所述信任端口为接入交换机上连有路由器的二层物理端口或汇聚端口，其它端口则配置为非信任端口。

接入交换机使能路由器公告安全功能，路由器发出路由器公告报文(RA)，接入交换机监听路由器公告报文，并下发路由器公告报文重定向至接入交换机微处理器(CPU)的规则；接入交换机端口接收路由器公告报文，匹配该下发规则，将路由器公告报文重定向到接入交换机的微处理器CPU，由微处理器对路由器公告报文进行软件解析，记录路由器公告报文的接收端口信息。接入交换机根据路由器公告报文的接收端口信息与预先配置的信任端口进行匹配，判断路由器公告报文的合法性：如果路由器公告报文的接收端口信息匹配任意一个预先配置的信任端口，则认为路由器公告报文合法；如果路由器公告报文的接收端口信息与任意一个预先配置的信任口都不匹配，则认为路由器公告报文非法。对于合法的路由器公告报文，接入交换机转发该报文；对于非法的路由器公告报文，接入交换机丢弃该报文。如合法的路由器公告报文为组播报文，接入交换机则从接收端口(信任端口)所在的虚拟局域网中，向除该接收端口以外的其他端口转发；如合法的路由器公告报文为单播报文，接入交换机则查询邻居表，从目标主机所连的端口转发出去。IPv6主机接收到合法的路由器公告报文，根据路由器公告报文包含的地址前缀、地址生存期、默认路由器地址和路由器生存期等信息生成IPv6地址，完成信息配置。

路由器公告报文的特征为：以太类型为0x86dd(以太首部第17，18字节)，nexthdr类型为58(ipv6首部第6字节)，icmpv6类型(ipv6首部第41字节)为134。接入交换机根据上述特征判断接收报文是否是路由器公告报文，如为路由器公告报文则下发路由器公告报文重定向至接入交换机微处理器(CPU)的规则。

图2为本发明实施例的路由器公告安全接入交换机的结构框图。该接入交换机用于监听路由器公告报文并根据路由器公告报文(RA)的接收端口信息是否与预先配置的信任端口匹配，判断路由器公告报文的合法性，如为合法的路由器公告报文，接入交换机转发该报文；如为非法的路由器公告报文，接入交换机丢弃该报文，保证了路由器公告安全接入网络设备或系统。

所述接入交换机包括设置模块、监听模块、收发模块、重定向模块和判断模块，其中，设置模块用于对接入交换机上信任端口和非信任端口进行配置；监听模块对路由器发出的路由器公告报文进行监听；收发模块用于接收路由器公告报文和对合法路由器公告报文进行转发；重定向模块匹配路由器公告报文重定向的规则，将收发模块接收到的路由器公告报文重定向至微处理器(CPU)；判断模块根据路由器公告报文(RA)的接收端口信息是否与接入交换机上预先配置的信任端口匹配，判断路由器公告报文的合法性。

该接入交换机可以为二层交换机，也可以为三层交换机，其中，设置模块预先通过配置命令在接入交换机端口上手工指定路由器公告信任端口和非信任端口，所述信任端口为接入交换机上连有路由器的二层物理端口或汇聚端口，其他端口则配置为非信任端口。接入交换机开启路由器公告安全功能，监听模块监听路由器发出的路由器公告报文(RA)，下发路由器公告报文重定向至接入交换机微处理器(CPU)的规则；收发模块接收路由器公告报文，匹配该下发规则，不执行硬件转发行为，而是将路由器公告报文重定向到接入交换机的微处理器CPU，由微处理器对路由器公告报文进行软件解析，记录路由器公告报文的接收端口信息；判断模块根据路由器公告报文的接收端口信息是否与预先配置的信任端口进行匹配，判断路由器公告报文的合法性：如果路由器公告报文的接收端口信息匹配任意一个预先配置的信任端口，则认为路由器公告报文合法；如果路由器公告报文的接收端口信息与任意一个预先配置的信任端口都不匹配，则认为路由器公告报文非法。对于合法的路由器公告报文，接入交换机通过收发模块转发该报文；对于非法的路由器公告报文，接入交换机丢弃该报文。如合法的路由器公告报文为组播报文，接入交换机则从接收端口(信任端口)所在的局域网中，向除该接收端口以外的其他端口转发；如合法的路由器公告报文为单播报文，接入交换机则查询邻居表，从目标主机所连的端口转发出去。

图3为本发明实施例的路由器公告安全接入方法的流程图。该方法包括如下步骤：

S1：接入交换机使能路由器公告安全功能，并预先配置信任端口。

接入交换机的设置模块预先通过配置命令在接入交换机端口上手工指定路由器公告信任端口和非信任端口，其中信任端口是指在接入交换机上连有路由器的二层物理端口或者汇聚端口，其他端口则配置为非信任端口。

S2：接入交换机监听路由器发出的路由器公告报文，由重定向模块将该报文重定向到微处理器(CPU)。

接入交换机通过监听模块监听路由器发出的路由器公告报文，下发路由器公告报文重定向至接入交换机微处理器(CPU)的规则；收发模块接收路由器公告报文，匹配该下发规则，不执行硬件转发行为，而是将路由器公告报文重定向到接入交换机的微处理器CPU，由微处理器对路由器公告报文进行软件解析，记录路由器公告报文的接收端口信息。

S3：接入交换机根据路由器公告报文(RA)的接收端口信息是否与预先配置的信任端口匹配，判断路由器公告报文的合法性。

接入交换机的判断模块根据路由器公告报文的接收端口信息是否与预先配置的信任端口进行匹配，判断路由器公告报文的合法性：如果路由器公告报文的接收端口信息匹配任意一个预先配置的信任端口，则认为路由器公告报文合法；如果路由器公告报文的接收端口信息与任意一个预先配置的信任口都不匹配，则认为路由器公告报文非法。

S4：如为合法的路由器公告报文，接入交换机转发该报文；如为非法的路由器公告报文，接入交换机丢弃该报文。

如合法的路由器公告报文为组播报文，接入交换机则从接收端口(信任端口)所在的局域网中，向除该接收端口以外的其他端口转发；如合法的路由器公告报文为单播报文，接入交换机则查询邻居表，从目标主机所连的端口转发出去。

组播报文是一种向多个接收方传送单信息流的通信方式，一份组播报文使用一个组播地址作为目的地址。当路由器以组播方式发送一路由器公告报文时，网络中部署的组播协议为此报文建立一树型路由，接入交换机从组播报文接收端口所在的局域网，向除该接收端口以外的其他端口转发。使用组播方式传递信息，用户的增加不会明显增加网络的负载，减轻了服务器和处理器的负荷。组播报文可以跨网段传输，不需要此报文的用户不能收到此报文，保障了信息安全性。

单播报文是一种一对一传递信息流的通信方式，网络为每份单播报文执行独立的数据转发，形成独立的数据传送通路。多份单播报文形成多条相互独立的传输路径。当路由器以单播方式发送一路由器公告报文时，接入交换机查询邻居表，从目标主机所连的端口转发出去。邻居表是包含了网络中多个路由器之间关系的信息表，路由器发送单播路由器公告报文，接入交换机查询邻居表，查找目标主机所在的路由网络，将报文从目标主机所连接的端口转发出去。单播方式下，网络中传输的信息量和需求信息的用户量成正比，当需要相同的信息的用户量较大时，网络中出现多份相同的信息流，不仅占用处理器资源而且浪费带宽，因此单播方式适合用户量少的网络。

S5：IPv6主机根据合法路由器公告报文内容进行信息配置。

IPv6主机接收到合法的路由器公告报文，根据路由器公告报文包含的地址前缀、地址生存期、默认路由器地址和路由器生存期等信息生成IPv6地址，完成信息配置。

本发明另一实施例的详细步骤如下：

1)在接入交换机上使能路由器公告安全功能，下发路由器公告报文重定向至交换机CPU的规则，其中，匹配路由器公告报文的特征为：以太类型为0x86dd(以太首部第17，18字节)，nexthdr为58(ipv6首部第6字节)，icmpv6类型(ipv6首部第41字节)为134；通过配置命令预先将接入交换机上连有路由器的二层端口或者汇聚端口配置为信任端口；

2)路由器发出路由器公告报文，接入交换机监听路由器公告报文，路由器公告报文到达交换机端口后，匹配下发的规则，不执行硬件转发行为，而是将报文重定向至交换机的微处理器CPU，由微处理器CPU对报文进行软件的解析，记录路由器公告报文的接收端口信息；

3)接入交换机判断路由器公告报文的接收端口是否是信任端口，只要路由器公告报文的接收端口信息匹配任意一个预先配置的信任端口，则认为路由器公告报文合法，接入交换机转发该报文；如果路由器公告报文的接收端口信息没有匹配任一个信任端口，则认为路由器公告报文非法，接入交换机丢弃该报文；交换机转发合法的路由器公告报文，如果报文是组播报文，则从接收端口(信任端口)所在的虚拟局域网中向除该接收端口外的其他端口转发；如果是单播报文，则查询邻居表，从目标主机所连的端口转发出去；

4)IPv6主机收到合法路由器公告报文，根据报文内容配置相应的信息，如地址前缀、默认路由器地址等。

本发明技术方案实现了路由器公告能够安全接入网络设备或系统，防止了恶意路由器公告消息的转发，从而保证路由器公告的合法性，确保网络的正常工作。

Claims (10)

1.一种路由器公告安全接入方法，该方法包括如下步骤：

S1：接入交换机使能路由器公告安全功能，并预先配置信任端口；

S2：接入交换机监听路由器发出的路由器公告报文，由重定向模块将该报文重定向到微处理器(CPU)；

S3：接入交换机根据路由器公告报文(RA)的接收端口信息是否与预先配置的信任端口匹配，判断路由器公告报文的合法性；

S4：如为合法的路由器公告报文，接入交换机转发该报文；如为非法的路由器公告报文，接入交换机丢弃该报文；

S5：IPv6主机根据合法路由器公告报文内容进行信息配置。

2.根据权利要求1所述的路由器公告安全接入方法，其特征在于，所述步骤S2中接入交换机监听路由器公告报文，下发路由器公告报文重定向至微处理器(CPU)的规则，接入交换机的收发模块接收到路由器公告报文，将该报文重定向至微处理器(CPU)。

3.根据权利要求1或2所述的路由器公告安全接入方法，其特征在于，所述步骤S3中如果路由器公告报文的接收端口信息匹配任意一个预先配置的信任端口，则认为路由器公告报文合法；如果路由器公告报文的接收端口信息与任意一个预先配置的信任端口都不匹配，则认为路由器公告报文非法。

4.根据权利要求1所述的路由器公告安全接入方法，其特征在于，所述步骤S4中如合法的路由器公告报文为组播报文，接入交换机则从接收端口所在的局域网中，向除该接收端口以外的其他端口转发；如合法的路由器公告报文为单播报文，接入交换机则查询邻居表，从目标主机所连的端口转发出去。

5.一种路由器公告安全接入系统，所述系统包括IPv6主机、接入交换机和路由器，IPv6主机与接入交换机连接，接入交换机与路由器连接，其中，

所述路由器用于发出路由器公告报文(RA)；

所述接入交换机用于监听路由器公告报文并根据路由器公告报文(RA)的接收端口信息是否与接入交换机上预先配置的信任端口匹配，判断路由器公告报文的合法性，如为合法的路由器公告报文，接入交换机转发该报文；如为非法的路由器公告报文，接入交换机丢弃该报文；

所述IPv6主机根据合法路由器公告报文内容进行信息配置。

6.根据权利要求5所述的路由器公告安全接入系统，其特征在于，所述信任端口为接入交换机上连有路由器的二层物理端口或汇聚端口。

7.根据权利要求5所述的路由器公告安全接入系统，其特征在于，所述接入交换机包括设置模块、监听模块、收发模块、重定向模块和判断模块，其中，

设置模块用于对接入交换机上信任端口和非信任端口进行配置；

监听模块对路由器发出的路由器公告报文进行监听；

收发模块用于接收路由器公告报文和对合法路由器公告报文进行转发；

重定向模块匹配路由器公告报文重定向的规则，将收发模块接收到的路由器公告报文重定向至微处理器(CPU)；

判断模块根据路由器公告报文(RA)的接收端口信息是否与接入交换机上预先配置的信任端口匹配，判断路由器公告报文的合法性。

8.根据权利要求5所述的路由器公告安全接入系统，其特征在于，如合法的路由器公告报文为组播报文，接入交换机则从接收端口所在的局域网中，向除该接收端口以外的其他端口转发；如合法的路由器公告报文为单播报文，接入交换机则查询邻居表，从目标主机所连的端口转发出去。

9.根据权利要求5所述的路由器公告安全接入系统，其特征在于，IPv6主机根据路由器公告报文包含的地址前缀、地址生存期、默认路由器地址和路由器生存期信息生成IPv6地址，完成信息配置。

10.一种路由器公告安全接入装置，该装置为接入交换机，所述接入交换机包括设置模块、监听模块、收发模块、重定向模块和判断模块，其中，

设置模块用于对接入交换机上信任端口和非信任端口进行配置；

监听模块对路由器发出的路由器公告报文进行监听；

收发模块用于接收路由器公告报文和对合法路由器公告报文进行转发；

重定向模块匹配路由器公告报文重定向的规则，将收发模块接收到的路由器公告报文重定向至微处理器(CPU)；

判断模块根据路由器公告报文(RA)的接收端口信息是否与接入交换机上预先配置的信任端口匹配，判断路由器公告报文的合法性。

Images