CN102694876A - 确定学习的mac地址有效性的方法、装置及网关设备 - Google Patents

Abstract

本发明公开了一种确定学习的MAC地址有效性的方法、装置及网关设备，用以保证学习到的MAC地址的有效性。其中，确定学习的MAC地址有效性的方法，包括：MAC地址学习单元获得接收到的报文中携带的源介质访问控制MAC地址信息；并将所述MAC地址信息添加至MAC地址表中；MAC地址学习单元向中央处理单元CPU发送MAC地址学习通告消息，所述MAC地址学习通告消息中携带有所述MAC地址信息；所述CPU查找地址解析协议ARP表是否存在所述MAC地址信息；所述CPU根据查找结果，确定所述MAC地址信息的有效性。

Description

确定学习的MAC地址有效性的方法、装置及网关设备

技术领域

本发明涉及数据通信技术领域，尤其涉及一种确定学习的MAC地址有效性的方法、装置及网关设备。

背景技术

介质访问控制（MAC，Media Access Control）地址也称为硬件地址，是识别局域网中网络设备节点的标识，由48比特长、16进制的数字组成；在网络底层的物理传输过程中，通过MAC地址可以实现不同网络设备之间的通信。

以太网是当今现有局域网采用的最通用的通信协议标准，以太网中进行数据传输的过程如下：以太网交换机根据接收到的报文中携带的目标物理地址（MAC地址）将报文转发到特定端口；为此，交换机必须记住对应端口的物理地址信息，这个信息被存储在MAC表中，交换机通过MAC地址学习的方法来填充所述的MAC表。具体的，交换机在接收到报文之后，通过检查所接收到的报文的MAC地址是否存在于MAC地址表中，如果MAC地址表中不存在报文中携带的MAC地址，则学习该MAC地址，创建一条MAC地址与端口互联的记录，并向CPU发送MAC地址学习通告消息，同时学习到的每个MAC地址都具有生存时间（即MAC地址老化时间）；在此种方式，如果在可配置的时间间隔内交换机没有接收到相应的MAC地址，MAC表中的这条记录将过期，从MAC表中删除；当MAC表已满，则在MAC地址表老化之前将无法学习到MAC地址。

现有技术中，交换机对报文的转发过程中，对报文的合法性有一个初步的检查，例如报文的源MAC是否为非法MAC地址的检查，非法MAC地址包括MAC地址全为0的地址、组播MAC地址或者广播MAC地址的情况，报文的目的MAC地址是否为非法MAC地址的检查等；若发现报文的源MAC地址或者目的MAC地址为非法地址时，丢弃该报文；如果报文的源MAC地址或者目的MAC地址为合法MAC地址合法，交换机将学习该报文中携带的源MAC地址，并转发接收到的报文。由于交换机对MAC地址合法的报文没有进行进一步的检查，例如该报文是否为攻击报文，这样，使得非法用户可以通过具有合法MAC地址的报文，占用正常的MAC地址表资源，导致MAC地址表溢出，使得合法用户的报文转发收到影响。

在MAC地址溢出攻击中，攻击者利用以太网交换机MAC地址的源学习功能，使以太网交换机遭受大量的无效MAC地址的攻击；例如，以无效的MAC地址进行泛洪，导致MAC地址表被大量的无效MAC地址填满，导致到达目的端口和来自未知地址的业务将被泛洪到以太网交换机的所有端口，从而引起网络性能的明显下降；另一方面如果攻击者保持无效的MAC地址的泛洪，最后交换机学习到的所有较早的合法MAC地址由于老化将过期，导致所有合法的业务将被淹没；从性能和安全这两个角度来看，MAC地址溢出攻击将会对网络造成重大影响。

针对上述情况，现有技术中存在以下几种解决方案：1）、当MAC地址表容量达到一定的阈值时，关闭交换机的MAC地址学习能力；2）、限制单个端口的地址表容量，由于非法报文的攻击一般是从某个固定的端口进行攻击，因此通过限制单个端口的地址表容量，防止一个端口进来的攻击源把MAC地址表占满，保证合法报文的正常转发；3）、绑定MAC地址和端口的信任关系，通过判断当前学到的MAC地址是否为信任端口的地址，保证MAC地址学习的正确性，防止非法报文对MAC表的攻击；4）、根据预先配置的MAC静态地址表，检查接收到的MAC地址的合法性。

上述解决方案可以分为两类：第一类通过设置MAC表容量的阈值，动态调整MAC地址表的学习能力和地址老化时间；第二类通过预先配置MAC地址表的关联关系，防止非法报文对MAC表的攻击；这两种实现方式虽然可以一定程度上解决MAC地址表溢出的问题，但是在实际的应用中仍然存在一些问题：例如，如何合理设置MAC地址表容量阈值，使得既能防止MAC地址表溢出攻击，又能保证合法报文的正常转发，以及如何合理配置静态MAC地址表等问题。

因此，如何保证学习到的MAC地址的有效性，避免攻击者通过非法报文携带合法MAC地址对网关设备进行MAC地址溢出攻击，成为现有技术亟待解决的技术问题之一。

发明内容

本发明实施例提供一种确定学习的MAC地址有效性的方法、装置及网关设备，用以保证学习到的MAC地址的有效性，避免攻击者通过非法报文通过合法MAC地址对网络设备进行MAC地址溢出攻击。

本发明实施例提供一种MAC地址学习方法，包括：

介质访问控制MAC地址学习单元获得接收到的报文中携带的MAC地址信息；并

将所述MAC地址信息添加至MAC地址表中；

所述MAC地址学习单元向中央处理单元CPU发送MAC地址学习通告消息，所述MAC地址学习通告消息中携带有所述MAC地址信息；

所述CPU查找地址解析协议ARP表是否存在所述MAC地址信息；

所述CPU根据查找结果，确定所述MAC地址信息的有效性。

本发明实施例提供一种MAC地址学习装置，包括MAC地址学习单元和中央处理单元CPU，其中：

MAC地址学习单元，包括：获得子单元，用于获得接收到的报文中携带的源介质访问控制MAC地址信息；学习子单元，用于将所述MAC地址信息添加至MAC地址表中；发送子单元，用于向CPU发送MAC地址学习通告消息，所述MAC地址学习通告消息中携带有所述MAC地址信息；

所述CPU，用于查找地址解析协议ARP表是否存在所述MAC地址信息；并根据查找结果，确定所述MAC地址信息的有效性。

本发明实施例提供一种网关设备，包括上述MAC地址学习装置。

本发明实施例提供的MAC地址学习方法、装置和网关设备，当网关设备的某一端口在接收到报文之后，MAC地址学习单元首先学习该报文中携带的MAC地址信息，并向CPU发送MAC地址学习通告消息，其中携带有学习到的MAC地址信息，使得CPU通过查找MAC地址学习通告消息中携带的MAC地址信息是否存在于ARP表中确定学习到的MAC地址的有效性，避免MAC地址学习单元对不合法报文携带的无效MAC地址进行学习，防止攻击者通过非法报文携带合法的MAC地址对网关设备进行MAC地址溢出攻击。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。

附图说明

图1为本发明实施例中，MAC地址学习方法的实施流程示意图；

图2为本发明实施例中，报文转发过程中，MAC地址学习流程示意图；

图3为本发明实施例中，MAC地址学习装置的结构示意图。

具体实施方式

为了避免攻击者通过非法报文携带合法MAC地址对网关设备进行MAC地址溢出攻击，而使得网关设备学习到无效的MAC地址信息，保证学习到MAC地址的有效性，本发明实施例提供了一种确定学习的MAC地址有效性的方法、装置及设备。

发明人发现，在以太网协议中规定，同一局域网中的一台网络设备要和另一台网络设备进行通信，必须要知道目标网络设备的MAC地址。而在传输控制协议/因特网互联协议（TCP/IP，Transmission Control Protocol/InternetProtocol）协议栈中，网络层和传输层只关心目标设备的IP地址。这就导致在以太网中使用IP协议时，数据链路层的以太网协议接到上层IP协议提供的数据中，只包含目标网络设备的IP地址。因此，需要一种方法，根据目标网络设备的IP地址，获得其MAC地址。这就是地址解析协议（ARP，AddressResolution Protocol）要做的事情。ARP协议是一个位于TCP/IP协议栈中的底层协议，其作用是将IP地址转换为相应的MAC地址，为了实现IP地址到MAC地址的转换，网关设备需要学习ARP表，ARP表中记录了IP地址和MAC地址的映射关系。具体的，ARP表学习机制如下：网关设备在接收到报文之后，若确定当前ARP表中不存在该报文中携带的IP地址与其对应的MAC地址的映射关系时，将向CPU发送ARP学习消息，该ARP学习消息中携带有接收到的报文中携带的IP地址，CPU向与网关设备各端口连接的其它网络设备发送广播消息，广播消息中携带有该IP地址，其它网络设备在接收到广播消息后，确定其中携带的IP地址是否为自身的IP地址，如果是，则向网关设备返回应答消息，在该应答消息中携带有自身的MAC地址，这样，网关设备建立接收到的报文中携带的IP地址及与该IP地址对应的MAC地址之间的映射关系，并添加至自身存储的ARP表中。由于目前已经有多种方法防止非法报文对ARP表进行攻击，因此，能够保证ARP表中数据的正确性。基于此，本发明实施例中，网关设备在进行MAC地址学习时，为了避免遭受MAC地址溢出攻击，在接收到报文之后，首先学习该报文中携带的MAC地址信息，之后通过确定ARP表中是否存在学习到的MAC地址信息，如果存在，则说明接收到的报文为合法报文，则可以确定该报文中携带的MAC地址信息为有效MAC地址信息，转发接收到的报文；如果不存在，说明接收到的报文为非法报文，该报文携带的MAC地址信息为无效MAC地址信息，需要删除学习到的MAC地址信息，并丢弃接收到的报文。

以下结合说明书附图对本发明的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明，并且在不冲突的情况下，本发明中的实施例及实施例中的特征可以相互组合。

实施例一

基于上述分析，如图1所示，为本发明实施例提供的MAC地址学习方法的实施流程示意图，可以包括以下步骤：

S101、MAC地址学习单元获得接收到的报文中携带的MAC地址信息；

S102、MAC地址学习单元将获得的MAC地址信息添加至MAC地址表中；

具体实施时，网关设备的某一端口在接收到报文之后，MAC地址学习单元提取该报文中携带的MAC地址信息，其中，该MAC地址信息可以为报文中携带的源MAC地址信息，并判断报该MAC地址信息是否存在MAC地址表中，如果不存在，则学习该报文中携带的MAC地址信息，即将该MAC地址信息添加到MAC表中。

S103、MAC地址学习单元向CPU发送MAC地址学习通告消息，该MAC地址学习通告中携带有学习到的MAC地址信息；

S104、CPU查找ARP表是否存在该MAC地址信息；

S105、CPU根据查找结果，确定学习到的MAC地址信息的有效性

具体的，若ARP表中存在该MAC地址信息时，CPU确定学习到的MAC地址信息有效，并指示接收到报文的端口转发接收到的报文。这是因为，如果ARP表中存在学习到的MAC地址，说明携带该MAC地址的报文为合法报文，该MAC地址信息为有效MAC地址信息，因此，可以转发接收到的报文。

实施例二

具体实施时，若ARP表中不存在学习到的MAC地址时，CPU可直接确定学习到的地址信息无效。

具体实施中，由于进行ARP表学习和MAC地址学习时，分别会向CPU发送ARP学习请求和MAC地址学习通告消息，但是，MAC地址学习通告消息和ARP学习请求到达CPU的先后顺序不确定，若ARP学习请求先于MAC地址学习通告消息到达CPU，在这种情况下，如果当前接收到的报文为合法报文，CPU将执行ARP学习操作，这样，可以保证ARP表中已经存在相应的MAC地址，此时，当MAC地址学习请求到达CPU之后，查找ARP表时，能够保证学习到的MAC地址存在于ARP表中，从而，CPU可以直接确定学习到的MAC地址信息为有效MAC地址信息；若MAC地址学习通告消息先于ARP学习请求到达CPU，在这种情况下，由于ARP学习请求还没有到达CPU，因此，ARP表中没有相应的MAC地址信息，此时，如果直接确定学习到的MAC地址信息无效，将产生由于ARP学习请求消息滞后而引起判断结果错误的问题，即将有效MAC地址信息作为无效MAC地址信息进行处理。

较佳地，为了避免上述问题，本发明实施例中，采用延时判断的方法，即若判断出学习到的MAC地址信息不存在于ARP表中时，CPU延时一定时长后再次执行一次查找操作，延时时长可以根据实际需要确定，例如可以设置为50ms，具体实施时，一般控制在100ms以下。从而，本发明实施例提供的确定学习的MAC地址有效性的方法，还可以包括以下步骤：

步骤一、若ARP表中不存在学习到的MAC地址信息，CPU等待第一预设时长后，再次查找ARP表中是否存在MAC地址学习单元学习到的MAC地址信息；

步骤二、若等待第一预设时长后，ARP表中存在学习到的MAC地址信息时，确定学习到的MAC地址信息有效，并指示相应端口转发接收到的报文。

步骤三、若在等待第一预设时长后，ARP表中仍然不存在学习到的MAC地址信息时，则确定学习到的MAC地址信息无效，这种情况下，需要从MAC地址表中删除学习到的MAC地址信息，并指示相应端口丢弃接收到的报文。这样，能够避免无效地址信息占用MAC地址表容量，导致MAC地址表溢出。

为了更好地理解本发明实施例，以下对报文转发过程中，网关设备学习MAC地址的流程进行详细说明，如图2所示，可以包括以下步骤：

S201、网关设备某一端口接收到报文，MAC地址学习单元获得该报文中携带的MAC地址信息；

S202、MAC地址学习单元学习该报文中携带的MAC地址信息；

具体的，在学习MAC地址信息之前，可以先判断该MAC地址信息是否存在于MAC地址表中，如果不存在，执行MAC地址学习操作，将该报文中携带的MAC地址信息添加至MAC地址表中。

S203、MAC地址学习单元向CPU发送MAC地址学习通告消息；

具体的，在将接收到的报文中携带的MAC地址添加至MAC地址表中之后，MAC地址学习单元向CPU发送MAC地址学习通告消息，在该MAC地址学习通告消息中携带有学习到的MAC地址信息；

S204、CPU查找ARP表；

S205、CPU判断ARP表中是否存在学习到的MAC地址信息，如果是，执行步骤S206，否则，执行步骤S207；

S206、确定学习到的MAC地址信息有效，流程结束；

具体实施时，CPU在确定学习到的MAC地址信息有效之后，可以指示接收到报文的端口转发该报文。

S207、等待预设时长；

S208、再次判断ARP表中是否存在学习到的MAC地址信息，如果是，执行步骤S206，否则，执行步骤S209；

S209、CPU确定学习到的MAC地址信息无效；

S210、CPU删除MAC地址表中学习到的该MAC地址信息，并指示接收到报文的端口丢弃接收到的报文。

具体实施时，可能有多个端口同时向CPU发送ARP学习请求，这样，CPU可以在处理完成所有端口发送的ARP学习请求之后，再对ARP表进行更新。也可以在处理完成任一端口发送的ARP学习请求之后，即对ARP表进行更新，本发明对此不作限定。

本发明实施例中，由于网关设备上已经存在多种方法来避免非法报文对ARP表进行攻击的处理，因此，能够保证ARP表中数据的准确性，这样，在进行MAC地址学习时，通过确定学习到的MAC地址是否存在于ARP表中，来确定学习到的MAC地址是否为合法报文携带的MAC地址，从而，能够保证学习到的MAC地址的有效性，防止攻击者通过非法报文携带合法MAC地址对网关设备进行MAC地址溢出攻击，避免由于MAC地址表被无效MAC地址沾满而导致的网络性能下降，保证了合法报文的正常转发。

基于同一发明构思，本发明实施例中还提供了一种确定学习的MAC地址有效性的装置及网关设备，由于该装置及设备解决问题的原理与学习的MAC地址有效性的方法相似，因此该装置及设备的实施可以参见方法的实施，重复之处不再赘述。

如图3所示，为本发明实施例中，确定学习的MAC地址有效性的装置的结构示意图，包括MAC地址学习单元301和CPU 302（中央处理单元），其中：

MAC地址学习单元301，包括：获得子单元3011，用于获得接收到的报文中携带的MAC地址信息；学习子单元3012，用于将该MAC地址信息添加至MAC地址表中；发送子单元3013，用于向CPU发送MAC地址学习通告消息，该MAC地址学习通告消息中携带有该MAC地址信息；

CPU 302，用于查找地址解析协议ARP表是否存在所述MAC地址信息；并根据查找结果，确定学习到的MAC地址信息的有效性。

具体实施时，学习子单元3012将MAC地址信息添加至MAC地址表中之前，可以先确定该MAC地址信息不存在于MAC地址表。

具体实施时，CPU 302可以用于在ARP表中存在学习到的MAC地址信息时，确定学习到的MAC地址信息有效。

具体实施时，CPU 302，还可以用于在所述ARP表中不存在所述MAC地址信息时，确定所述MAC地址信息无效；或者在ARP表中不存在该MAC地址信息时，等待第一预设时长后，再次查找ARP表中是否存在该MAC地址信息；以及在等待第一预设时长后，ARP表中存在该MAC地址信息时，确定该MAC地址信息有效。

具体实施时，CPU302还可以用于在等待第一预设时长后，ARP表中仍然不存在该MAC地址信息时，确定该MAC地址信息无效。

具体实施时，CPU 302，还可以用于在确定该MAC地址无效后，从MAC地址表中删除该MAC地址信息。

具体实施时，上述确定学习的MAC地址有效性的装置可以设置在网关设备中，例如三层交换机中，当然也可以设置在新增设备中，本发明对此不作限定。

本发明实施例提供的MAC地址学习方法、装置和网关设备，当网关设备的某一端口在接收到报文之后，MAC地址学习单元首先学习该报文中携带的MAC地址信息，并向CPU发送MAC地址学习通告消息，其中携带有学习到的MAC地址信息，使得CPU通过查找MAC地址学习通告消息中携带的MAC地址信息是否存在于ARP表中确定学习到的MAC地址的有效性，避免MAC地址学习单元对不合法报文携带的无效MAC地址进行学习，防止攻击者通过非法报文携带合法的MAC地址对网关设备进行MAC地址溢出攻击。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质（包括但不限于磁盘存储器、CD-ROM、光学存储器等）上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备（系统）、和计算机程序产品的流程图和／或方框图来描述的。应理解可由计算机程序指令实现流程图和／或方框图中的每一流程和／或方框、以及流程图和／或方框图中的流程和／或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (11)

1.一种确定学习的MAC地址有效性的方法，其特征在于，包括：

介质访问控制MAC地址学习单元获得接收到的报文中携带的MAC地址信息；并

将所述MAC地址信息添加至MAC地址表中；

所述MAC地址学习单元向中央处理单元CPU发送MAC地址学习通告消息，所述MAC地址学习通告消息中携带有所述MAC地址信息；

所述CPU查找地址解析协议ARP表是否存在所述MAC地址信息；

所述CPU根据查找结果，确定所述MAC地址信息的有效性。

2.如权利要求1所述的方法，其特征在于，所述CPU根据查找结果，确定所述MAC地址信息的有效性，具体包括：

若所述ARP表中存在所述MAC地址信息时，所述CPU确定所述MAC地址信息有效。

3.如权利要求1所述的方法，其特征在于，所述CPU根据查找结果，确定所述MAC地址信息的有效性，具体包括：

若所述ARP表中不存在所述MAC地址信息，所述CPU确定所述MAC地址信息无效；或者

若所述ARP表中不存在所述MAC地址信息，所述CPU等待第一预设时长后，再次查找所述ARP表中是否存在所述MAC地址信息；以及若等待第一预设时长后，所述ARP表中存在所述MAC地址信息时，所述CPU确定所述MAC地址信息有效。

4.如权利要求3所述的方法，其特征在于，还包括：

若等待第一预设时长后，所述ARP表中仍然不存在所述MAC地址信息时，所述CPU确定所述MAC地址信息无效。

5.如权利要求4所述的方法，其特征在于，还包括：

所述CPU确定所述MAC地址信息无效后，从MAC地址表中删除所述MAC地址信息。

6.一种确定学习的MAC地址有效性的装置，其特征在于，包括MAC地址学习单元和中央处理单元CPU，其中：

MAC地址学习单元，包括：获得子单元，用于获得接收到的报文中携带的源介质访问控制MAC地址信息；学习子单元，用于将所述MAC地址信息添加至MAC地址表中；发送子单元，用于向CPU发送MAC地址学习通告消息，所述MAC地址学习通告消息中携带有所述MAC地址信息；

所述CPU，用于查找地址解析协议ARP表是否存在所述MAC地址信息；并根据查找结果，确定所述MAC地址信息的有效性。

7.如权利要求6所述的装置，其特征在于，

所述CPU，具体用于在所述ARP表中存在所述MAC地址信息时，确定所述MAC地址信息有效。

8.如权利要求6所述的装置，其特征在于，

所述CPU，具体用于在所述ARP表中不存在所述MAC地址信息时，确定所述MAC地址信息无效；或者在所述ARP表中不存在所述MAC地址信息时，等待第一预设时长之后，再次查找所述ARP表中是否存在所述MAC地址信息，若所述ARP表中存在所述MAC地址信息时，确定所述MAC地址信息有效。

9.如权利要求8所述的装置，其特征在于，

所述CPU，还用于在等待第一预设时长后，所述ARP表中仍然不存在所述MAC地址信息时，确定所述MAC地址信息无效。

10.如权利要求9所述的装置，其特征在于，

所述CPU，还用于在确定所述MAC地址信息无效后，从MAC地址表中删除所述MAC地址信息。

11.一种网关设备，其特征在于，包括权利要求6至权利要求10任一权利要求所述的装置。

Images