CN102638390A

CN102638390A - 基于dhcp snooping的三层交换装置及方法

Info

Publication number: CN102638390A
Application number: CN2012100163673A
Authority: CN
Inventors: 梁小冰
Original assignee: Digital China Networks Beijing Co Ltd
Current assignee: Digital China Networks Beijing Co Ltd
Priority date: 2012-01-18
Filing date: 2012-01-18
Publication date: 2012-08-15

Abstract

本发明公开了一种基于DHCP SNOOPING的三层交换装置及方法，该装置与多个虚拟局域网连接，包括：使能模块，对配置的DHCP SNOOPING使能；重定向模块，将源用户终端发送的网络报文请求重定向到中央处理模块；中央处理模块，判断接收到的网络报文的合法性并进行处理，创建DHCP绑定信息表；存储模块，存储DHCP绑定信息表；三层交换模块，接收源用户终端发送的网络报文，根据DHCP绑定信息表，将该报文发送到三层引擎处理，根据目的用户终端的地址转发经过三层引擎处理后的网络报文至目的用户终端。本发明的技术方案增加了DHCP环境中交换机三层表项的学习途径，并有效的保证了表项的稳定和安全。

Description

基于DHCP SNOOPING的三层交换装置及方法

技术领域

本发明涉及计算机数据通信领域，尤其涉及一种基于DHCP SNOOPING的三层交换装置及方法

背景技术

随着数据通信中交换技术的不断提高，具有三层交换功能的设备已经广泛应用，三层交换设备能够跨虚拟局域网线速转发IP报文，这是二层交换设备不具有的优势。

三层交换机在普通交换机上增加三层路由功能，通过交换机和路由器的有机结合实现。三层交换机对首次接收到的数据流软件路由后，产生MAC地址与IP地址的映射表，并进行硬件缓存，当具有相同地址信息的数据流再次通过时，就可以根据此表直接进行快速转发，即“一次路由，多次交换”，有效提高了数据包的转发效率。

现有技术公开号为CN 101594358A的发明专利公开了一种“三层交换方法、装置、系统和宿主机”，该方法包括：接收源虚拟机发送的网络报文；根据预先获取的三层交换信息对所述网络报文进行三层交换处理，生成经过三层交换处理的网络报文、目的虚拟机所在的虚拟链路以及目的虚拟机的三层目的地址；根据所述目的虚拟机的三层目的地址将所述经过三层交换处理的网络报文通过目的虚拟机所在的虚拟链路发送给目的虚拟机。

现有的三层交换功能的实现技术方案，三层交换信息即三层表项，三层表项包括主机路由表项和网段路由表项，主机路由表项指的是前缀32位的路由表项(如1.1.1.1下一跳)，网段路由表项指的是前缀长度小于32位的路由表项(1.0.0.0/8下一跳)。三层表项一般通过ARP(ADDRESS Resolution Protocol)表项生成并下发到交换芯片。由于ARP协议简单，极易受到攻击，也容易产生欺骗，由ARP生成主机路由表项也变得不稳定，这样会造成网络流量的不正常转发，给用户带来极大的不便。

DHCP(动态地址解析协议)是一种自动为用户分配IP地址以及其他选项(如网关、DNS)的协议，广泛应用于局域网中，DHCP简化了网络的部署、也易于网络的维护。DHCP SNOOPING是一种监听DHCP请求过程的私有协议，它在交换装置中使用，将每一个成功获取IP的用户生成一个DHCP绑定信息。DHCP SNOOPING可以开启多项防护机制来避免DHCP欺骗和攻击，如通过设置可信端口防止网络中私自搭建DHCP服务器，通过设置端口绑定数量来防止大量请求DHCP。通过DHCP SNOOPING创建了一个安全稳定的DHCP环境。

为了保证三层表项的稳定和安全，本发明提出一种基于DHCP SNOOPING的三层交换装置及方法。

发明内容

为克服现有技术中存在的缺陷和不足，本发明提出一种基于DHCP SNOOPING的三层交换装置及方法，DHCP SNOOPING监听用户的DHCP请求过程，并将DHCPSNOOPING绑定信息转化为硬件三层转发信息，实现跨虚拟局域网的网络报文转发。采用本发明的技术方案增加了DHCP环境中交换机三层表项的学习途径，并有效的保证了表项的稳定和安全。

本发明公开一种基于DHCP SNOOPING的三层交换装置，该装置与多个虚拟局域网连接，包括：

使能模块，对配置的DHCP SNOOPING使能；

重定向模块，将源用户终端发送的网络报文请求重定向到中央处理模块；

中央处理模块，判断接收到的网络报文的合法性并进行处理，创建DHCPSNOOPING的绑定信息表；

存储模块，存储DHCP SNOOPING的绑定信息表；

三层交换模块，接收源用户终端发送的网络报文，根据DHCP SNOOPING的绑定信息表，将该报文发送到三层引擎处理，根据目的用户终端的地址转发经过三层引擎处理后的网络报文至目的用户终端。

进一步地，所述DHCP SNOOPING的绑定信息包括用户的IP地址、MAC地址、接入端口、接入虚拟局域网和租期。

进一步地，所述三层交换模块包括三层交换芯片；所述三层交换芯片包括：

设置模块，设置DHCP绑定数目上限及可信端口；

三层引擎处理模块，根据DHCP SNOOPING的绑定信息查找下一跳信息，下发三层引擎处理后的路由表项。

进一步地，所述下一跳信息包括下一跳的目的MAC地址、出端口、出虚拟局域网。

进一步地，所述三层引擎包括主机路由表项和网络路由表项。

本发明还公开一种基于DHCP SNOOPING的三层交换方法，包括如下步骤：

S1：使能模块对配置的DHCP SNOOPING使能，重定向模块将DHCP网络报文重定向到中央处理模块；

S2：DHCP SNOOPING监听用户的DHCP请求并进行绑定数目限制判定，创建REQUEST绑定信息；

S3：收到DHCP ACK，查询REQUEST绑定信息，创建DHCP SNOOPING的绑定信息表并存储；

S4：三层交换模块接收源用户终端发送的网络报文，根据DHCP SNOOPING的绑定信息表，将该报文发送到三层引擎处理，根据目的用户终端的地址转发经过三层引擎处理后的网络报文至目的用户终端。

进一步地，所述步骤S2中创建REQUEST绑定信息的过程为：三层交换模块收到DHCP请求后，将DHCP请求报文中的MAC地址、接收报文的端口和虚拟局域网信息，保存到该用户的REQUEST绑定信息中。

进一步地，所述步骤S3中创建DHCP SNOOPING的绑定信息过程为：三层交换模块收到DHCP ACK后，查询REQUEST绑定信息，如存在相同用户MAC，从DHCP ACK中取出IP地址和租期，加上REQUEST绑定中MAC地址、接入端口和虚拟局域网，创建DHCP用户的绑定信息并保存，同时删除REQUEST绑定。

进一步地，所述步骤S4中三层引擎处理过程为：根据DHCP SNOOPING的绑定信息表，下发主机路由表项，以DHCP绑定中的IP地址作为目的主机，绑定信息的MAC地址，接入端口和接入虚拟局域网，分别对应主机路由表项下一跳的目的MAC地址(DMAC)、出端口、出虚拟局域网。

进一步地，当接收到源用户终端的IP网络报文时，根据网络报文的目的地址查找DHCP SNOOPING的绑定信息表，下发三层引擎处理后的路由表项，以绑定信息中的IP地址为目的主机，根据下一跳信息封装报文的二层信息，转发跨虚拟局域网的IP网络报文。

本发明公开一种基于DHCP SNOOPING的三层交换装置及方法，通过DHCPSNOOPING监听用户的DHCP请求过程，创建DHCP SNOOPING绑定信息表，并将DHCP SNOOPING绑定信息转化为硬件三层转发信息，实现跨虚拟局域网的网络报文转发。采用本发明的技术方案增加了DHCP环境中交换机三层表项的学习途径，有效保证了表项的稳定和安全。

附图说明

图1为本发明基于DHCP SNOOPING的三层交换装置原理框图；

图2为本发明基于DHCP SNOOPING的三层交换装置示意图；

图3为本发明基于DHCP SNOOPING的三层交换方法流程图。

具体实施方式

为详细说明本发明的技术内容、所实现目的及效果，以下结合实施方式并配合附图予以详细说明。

本发明的技术原理：本发明通过DHCP SNOOPING监听用户的DHCP请求过程，创建DHCP SNOOPING绑定信息表，并将DHCP SNOOPING绑定信息转化为硬件三层转发信息，实现跨虚拟局域网的网络报文转发。

参见图1，为本发明基于DHCP SNOOPING的三层交换装置原理框图，该三层交换装置包括使能模块、重定向模块、中央处理模块、存储模块和三层交换模块，三层交换模块包括设置模块和三层引擎处理模块，其中，使能模块对配置的DHCP SNOOPING使能，源用户终端发送DHCP请求给三层交换模块，DHCPSNOOPING对源用户终端的DHCP请求进行监听，由重定向模块将DHCP请求重定向至中央处理模块，中央处理模块判断接收到的网络报文的合法性并进行处理，创建DHCP SNOOPING绑定信息表；设置模块对DHCP绑定数目进行判断并设置可信端口；三层交换模块根据DHCP SNOOPING绑定信息，将网络报文转发给三层引擎处理模块，三层引擎处理模块下发主机路由表项，三层交换模块根据主机路由表项信息，跨虚拟局域网转发网络报文。

参见图2，为本发明基于DHCP SNOOPING的三层交换装置示意图。整个装置的具体工作过程如下：源用户终端dhcp client发送DHCP请求，使能模块对配置的DHCP SNOOPING使能，三层交换模块接收到源用户终端的DHCP请求，DHCPSNOOPING对源用户终端的DHCP请求进行监听，并且重定向模块将DHCP请求重定向到中央处理模块，中央处理模块对接收到的DHCP请求的合法性进行判断，将DHCP请求中转到DHCP服务器。DHCP服务器根据收到的DHCP请求进行响应，并通过交换机的三层交换模块将DHCP响应返回给用户终端，用户终端收到DHCP响应后发送DHCP REQUEST，DHCP服务器根据收到的DHCP REQUEST并进行响应，分配IP地址及相关配置信息给用户终端；三层交换模块收到DHCP ACK后，查询DHCPREQUEST绑定信息，如存在相同用户MAC，从DHCP ACK中取出IP地址和租期，加上REQUEST绑定中MAC地址、接入端口和虚拟局域网，创建DHCP绑定信息并保存。当源用户终端发送DHCP报文时，三层交换模块的设置模块对绑定数目进行判断并设置可信端口，根据DHCP SNOOPING绑定信息，将DHCP请求转发给三层引擎处理模块，三层引擎处理模块下发主机路由表项，三层交换模块根据主机路由表项信息，跨虚拟局域网转发网络报文。

其中，DHCP SNOOPING的绑定信息是根据DHCP SNOOPING监听用户DHCP请求而建立的绑定信息表；监听用户DHCP请求而建立的绑定信息，是根据DHCP请求报文中的MAC地址以及接收报文的端口和VLAN，保存到该用户的绑定信息中，待收到DHCP响应后，再取出其中的IP地址，保存到绑定信息中；DHCP SNOOPING绑定信息包括用户的IP地址、MAC地址、接入端口、接入虚拟局域网和租期等。

三层引擎处理模块包括主机路由表项和网络路由表项，主机路由表项是前缀为32位的主机IP地址，三层交换模块通过三层引擎处理后下发主机路由表项，根据主机路由表项信息实现跨虚拟局域网的网络报文转发。主机路由表项以DHCP绑定中的IP地址作为目的主机，绑定信息的MAC地址，接入端口和接入VLAN(虚拟局域网)，分别对应主机路由表项下一跳的目的MAC地址(DMAC)、出端口、出vlan(虚拟局域网)。

参见图3，为本发明基于DHCP SNOOPING的三层交换方法流程图。该方法具体步骤如下：

S1：使能模块对配置的DHCP SNOOPING使能，重定向模块将DHCP网络报文重定向到中央处理模块。

使能模块对DHCP SNOOPING使能，用户终端发送DHCP请求，DHCP SNOOPING对DHCP请求进行监听，重定向模块将DHCP请求报文重定向到中央处理模块，中央处理模块对接收到的DHCP请求的合法性进行判断并进行处理。其中，DHCP请求报文包括MAC地址以及接收报文的端口和VLAN。

S2：DHCP SNOOPING监听用户的DHCP请求并进行绑定数目限制判定，创建REQUEST绑定信息，并转发DHCP请求至可信端口。

用户终端通过广播的方式在网络中发送一个DHCP请求，DHCP请求包括源用户终端IP地址，目标地址，源用户终端的MAC地址，以方便DHCP服务器确定是哪一台客户机发出的请求。

三层交换模块收到DHCP请求后，DHCP SNOOPING监听用户的DHCP请求，三层交换模块的设置模块对DHCP请求绑定数目限制进行判断，对中央处理模块判断为合法的DHCP请求设置为可信端口，中央处理模块将DHCP请求中转到DHCP服务器，当DHCP服务器收到用户终端请求IP地址的信息，就在自己的地址库中，查找是否有合法的IP地址提供给用户终端。如果有，DHCP服务器就将此IP地址做上标记，广播DHCP响应。此处，DHCP响应信息包括：DHCP用户终端的的MAC地址，用来正确表示用户终端；DHCP SERVER提供的合法的IP地址、子网掩码、租约期、服务器标识符(DHCP SERVER IP ADDRESS)等。

DHCP用户终端从接收到的第一个DHCP响应中选择IP地址，创建DHCP REQUEST绑定信息，并将DHCP REQUEST广播到所有的DHCP SERVER。

DHCP REQUEST的信息包括：为用户终端提供IP配置的DHCP SERVER的标识符(SERVER IP ADDRESS)。DHCP SERVER检查服务器标识符字段，以确定他们是否被选择为指定的用户终端提供IP。如果用户终端接收了IP地址，则发出IP地址的DHCP SERVER将该地址保留，不再提供给另一个客户机。

本技术方案中，三层交换模块收到DHCP请求后，将DHCP请求报文中的MAC地址、接收报文的端口和虚拟局域网信息，保存到该用户的EQUEST绑定信息中。

S3：收到从可信端口返回的DHCP ACK，查询REQUEST绑定信息，创建DHCPSNOOPING的绑定信息表并存储。

DHCP SERVER接收到DHCP REQUEST后，以DHCP ACK(DHCP acknowledge)消息的形式向用户终端广播成功的确认。

三层交换模块收到DHCP ACK后，查询REQUEST绑定信息，如存在相同用户MAC，从DHCP ACK中取出IP地址和租期，加上REQUEST绑定中MAC地址、接入端口和虚拟局域网，创建DHCP用户的绑定信息并保存，同时删除REQUEST绑定。

三层引擎处理过程为：根据DHCP SNOOPING的绑定信息表，下发主机路由表项，以DHCP绑定中的IP地址作为目的主机，绑定信息的MAC地址，接入端口和接入虚拟局域网，分别对应主机路由表项下一跳的目的MAC地址(DMAC)、出端口、出虚拟局域网。

当接收到源用户终端的IP网络报文时，根据网络报文的目的地址查找DHCPSNOOPING的绑定信息表，下发三层引擎处理后的路由表项，以绑定信息中的IP地址为目的主机，根据下一跳信息封装报文的二层信息，转发跨虚拟局域网的IP网络报文。

本发明另一实施例实现的详细步骤如下：

1)在装置中配置DHCP SNOOPING并使能，DHCP报文重定向至交换装置CPU；

2)DHCP SNOOPING设置交换机端口的DHCP绑定数目上限，设置可信端口；

3)交换机收到的用户DHCP请求报文，为用户创建一个临时的REQUEST绑定，根据DHCP请求报文中的MAC地址以及接收报文的端口和VLAN，保存到该用户的REQUEST绑定信息中，并将DHCP请求报文转发至可信端口；

4)从可信端口收到DHCP ACK后，查询临时的REQUEST绑定，如果存在相同用户MAC，则创建DHCP用户的绑定信息，从ACK中取出IP地址和租期，以及REQUEST绑定中MAC地址、接入端口和VLAN，均保存到DHCP绑定信息中，同时删除临时的REQUEST绑定；

5)根据DHCP SNOOPING的绑定信息，下发主机路由表项，以DHCP绑定中的IP地址作为目的主机，绑定信息的MAC地址，接入端口和接入VLAN(虚拟局域网)，分别对应主机路由表项下一跳的目的MAC地址(DMAC)、出端口、出vlan(虚拟局域网)；

6)收到一个IP报文，根据目的地址查找交换芯片三层表，命中三层主机路由表项，根据下一跳封装报文的二层信息并转发报文。

下面以具体实施例对工作过程进行说明：站点A和站点B为DHCP用户终端，通过DHCP SNOOPING使能，创建DHCP SNOOPING的绑定表，三层交换模块根据DHCPSNOOPING的绑定表，下发主机路由表项，站点A和站点B通过三层交换机进行通信。站点A和站点B所在网段都属于交换机上的直连网段，若站点A和站点B不在同一子网内，发送站点A首先要向其“缺省网关”发出DHCP请求报文，而“缺省网关”的IP地址就是三层交换机上站点A所属VLAN的IP地址。

当发送站点A对“缺省网关”的IP地址广播出一个DHCP请求时，重定向模块将DHCP请求重定向到控制CPU，控制CPU判断接收到的DHCP请求合法性并进行处理，创建DHCP SNOOPING的绑定信息表。DHCP SNOOPING的绑定信息表的过程：发送站点A对“缺省网关”的IP地址广播出一个DHCP请求时，DHCP服务器接收到DHCP请求后向站点A返回一个DHCP响应，告诉站点A交换机所在VLAN的MAC地址，站点A收到DHCP响应后发送DHCP REQUEST，进行源MAC地址学习，目的MAC地址查找，同时把站点A的IP地址、MAC地址、与交换机直接相连的端口号等信息保存到REQUEST绑定信息中，并将DHCP请求报文转发至可信端口；交换机收到从可信端口返回的DHCP ACK后，查询REQUEST绑定信息，如存在相同用户MAC，从DHCPACK中取出IP地址和租期，加上REQUEST绑定中MAC地址、接入端口和虚拟局域网，创建DHCP用户的绑定信息并保存，同时删除REQUEST绑定。当源用户终端发送DHCP网络报文时，根据网络报文的目的地址查找交换芯片三层表，下发三层引擎处理后的路由表项，以绑定信息中的IP地址为目的主机，根据下一跳信息封装报文的二层信息，转发跨虚拟局域网的IP网络报文。

交换芯片的三层表也称为三层交换表，指硬件的三层转发表，交换芯片根据报文的目的IP查询三层交换表，实现报文的三层转发。三层表包括主机路由表项和网段路由表项，本技术方案中将DHCP SNOOPING绑定信息下发到三层表中的主机路由表项中，通过三层引擎模块进行查询。主机路由表项以IP地址为索引，里面存放目的IP地址、下一跳MAC地址、端口号等信息。当站点A向站点B发送网路报文时，根据DHCP SNOOPING的绑定信息，下发主机路由表项，以DHCP绑定中的IP地址作为目的主机，绑定信息的MAC地址，接入端口和接入VLAN(虚拟局域网)，分别对应主机路由表项下一跳的目的MAC地址(DMAC)、出端口、出vlan(虚拟局域网)。根据目的地址查找交换芯片三层表，若找到一条匹配表项，就会在对报文进行一些操作(例如根据下一跳封装报文的二层信息)之后将报文从表中指定的端口转发出去。若主机路由表中没有找到匹配表项，则会查找另一个表——网段路由表。网段路由表项存放网段地址、下一跳MAC地址、端口号等信息。在其他网段找到匹配表项，对报文进行一些操作(例如根据下一跳封装报文的二层信息)，将报文从指定的端口跨虚拟局域网转发出去。

有益效果，实施本发明的一种基于DHCP SNOOPING的三层交换装置及方法，增加了DHCP环境中交换机三层表项的学习途径，并有效的保证了表项的稳定和安全。

Claims

1.一种基于DHCP SNOOPING的三层交换装置，该装置与多个虚拟局域网连接，其特征在于，包括：

使能模块，对配置的DHCP SNOOPING使能；

存储模块，存储DHCP SNOOPING的绑定信息表；

2.根据权利要求1所述的基于DHCP SNOOPING的三层交换装置，其特征在于，所述DHCP SNOOPING的绑定信息包括用户的IP地址、MAC地址、接入端口、接入虚拟局域网和租期。

3.根据权利要求1所述的基于DHCP SNOOPING的三层交换装置，其特征在于，所述三层交换模块包括三层交换芯片；所述三层交换芯片包括：

设置模块，设置DHCP绑定数目上限及可信端口；

4.根据权利要求3所述的基于DHCP SNOOPING的三层交换装置，其特征在于，所述下一跳信息包括下一跳的目的MAC地址、出端口、出虚拟局域网。

5.根据权利要求3所述的基于DHCP SNOOPING的三层交换装置，其特征在于，所述三层引擎包括主机路由表项和网络路由表项。

6.一种基于DHCP SNOOPING的三层交换方法，其特征在于，包括如下步骤：

7.根据权利要求6所述的基于DHCP SNOOPING的三层交换方法，其特征在于，所述步骤S2中创建REQUEST绑定信息的过程为：三层交换模块收到DHCP请求后，将DHCP请求报文中的MAC地址、接收报文的端口和虚拟局域网信息，保存到该用户的REQUEST绑定信息中。

8.根据权利要求7所述的基于DHCP SNOOPING的三层交换方法，其特征在于，所述步骤S3中创建DHCP SNOOPING的绑定信息过程为：三层交换模块收到DHCPACK后，查询REQUEST绑定信息，如存在相同用户MAC，从DHCP ACK中取出IP地址和租期，加上REQUEST绑定中MAC地址、接入端口和虚拟局域网，创建DHCP用户的绑定信息并保存，同时删除REQUEST绑定。

9.根据权利要求6所述的基于DHCP SNOOPING的三层交换方法，其特征在于，所述步骤S4中三层引擎处理过程为：根据DHCP SNOOPING的绑定信息表，下发主机路由表项，以DHCP绑定中的IP地址作为目的主机，绑定信息的MAC地址，接入端口和接入虚拟局域网，分别对应主机路由表项下一跳的目的MAC地址(DMAC)、出端口、出虚拟局域网。

10.根据权利要求6至9之一所述的基于DHCP SNOOPING的三层交换方法，其特征在于，当接收到源用户终端的IP网络报文时，根据网络报文的目的地址查找DHCP SNOOPING的绑定信息表，下发三层引擎处理后的路由表项，以绑定信息中的IP地址为目的主机，根据下一跳信息封装报文的二层信息，转发跨虚拟局域网的IP网络报文。