CN102710811A - 实现dhcp地址安全分配的方法和交换机 - Google Patents

Abstract

本申请公开了一种实现DHCP地址安全分配的方法和交换机：交换机将由DHCP服务器返回的对DHCP客户端的应答报文进行解析，得到DHCP服务器标识；将所述DHCP服务器标识发送给RADIUS服务器，以使得RADIUS服务器根据DHCP服务器标识对DHCP服务器进行认证；接收由RADIUS返回的认证结果，且当认证通过时，将DHCP服务器标识和接收该DHCP服务器返回的应答报文的信任端口进行对应存储；接收到由DHCP客户端发送的请求报文时，根据请求报文中的DHCP服务器标识选择存储的对应信任端口将请求报文单播给DHCP服务器，由该DHCP服务器将IP地址提供给DHCP客户端。应用本发明所述的方法和设备，不仅能够在不需要端口进行配置的情况下，保证DHCP客户端从合法的DHCP服务器获取到IP地址，而且还能够减少广播报文的泛洪。

Description

实现DHCP地址安全分配的方法和交换机

技术领域

本申请涉及网络通信技术领域，特别涉及一种实现动态主机配置协议（DHCP）地址安全分配的方法和交换机。

背景技术

DHCP采用客户端/服务器通信模式，由客户端向服务器提出配置申请，服务器返回为客户端分配的IP地址等相应的配置信息，以实现IP地址等信息的动态配置。

图1给出了现有DHCP的典型应用组网示意图，如图1所示，该组网中包含一台DHCP服务器和多台DHCP客户端（如PC和便携机等），其中，DHCP客户端获取IP地址的过程可参见图2的四个阶段。如图2所示，这四个阶段包括：

（1）发现阶段，即DHCP客户端寻找DHCP服务器的阶段。DHCP客户端以广播方式发送DHCP-DISCOVER报文。

（2）提供阶段，即DHCP服务器提供IP地址的阶段。DHCP服务器接收到DHCP客户端的DHCP-DISCOVER报文后，根据IP地址分配的优先次序选出一个IP地址，与其他参数一起通过DHCP-OFFER报文发送给DHCP客户端。

（3）选择阶段，即DHCP客户端选择IP地址的阶段。如果有多台DHCP服务器向该DHCP客户端发来DHCP-OFFER报文，DHCP客户端只接受第一个收到的DHCP-OFFER报文，然后以广播方式发送DHCP-REQUEST报文，该报文中包含DHCP服务器在DHCP-OFFER报文中分配的IP地址。

（4）确认阶段，即DHCP服务器确认IP地址的阶段。DHCP服务器收到DHCP客户端发来的DHCP-REQUEST报文后，只有DHCP客户端选择的服务器会进行如下操作：如果确认将地址分配给该DHCP客户端，则返回DHCP-ACK报文；否则返回DHCP-NAK报文，表明地址不能分配给DHCP该客户端。

通过上述四个阶段，DHCP客户端即可从DHCP服务器中获取到IP地址。然而，如果组网中存在私自架设的伪DHCP服务器，则可能导致DHCP客户端获取错误的IP地址和网络配置参数，无法正常通信。

为了使DHCP客户端能够通过合法的DHCP服务器获取IP地址，目前通常是通过交换机使能DHCP Snooping来解决这个问题的，其组网示意图可参见图3。如图3所示，DHCP客户端和DHCP服务器通过中间交换机（即这里的交换机）来进行通信，且交换机上连接DHCP服务器的端口被配置为信任端口，其它端口被配置为不信任端口，当交换机上的信任端口接收到DHCP报文时，对接收到的报文正常转发；当交换机上的不信任端口接收到DHCP服务器响应的DHCP-ACK和DHCP-OFFER报文后，丢弃该报文。由此，通过交换机功能也就保证了DHCP客户端只能从合法的DHCP服务器获取IP地址，私自架设的伪DHCP服务器无法为DHCP客户端分配IP地址。

然而，在多个交换机设备级联的组网（如图4所示的组网）中，一方面，为了保证DHCP服务器的合法性，需要在该组网中的每个交换机设备上分别配置信任端口和不信任端口，由于组网中存在大量交换机，也就使得配置工作量大大增加；另一方面，当某个交换机收到DHCP请求报文时，会遍历该交换机设备上的所有信任端口，从信任端口转发报文，当某个交换机设备的信任端口比较多时，会存在一些不应该收到DHCP请求报文的其他设备收到该DHCP请求报文，从而增大了广播报文的泛洪；最后，当组网中DHCP服务器迁移时，交换机是无法感知DHCP服务器的迁移的，为了保证DHCP服务器的合法性，需要在每个交换机上进行更改信任端口不不信任端口的配置，从而大大增加了配置的工作量。

发明内容

有鉴于此，本发明提供了一种实现DHCP地址安全分配的方法，不仅能够在不需要端口进行配置的情况下，保证DHCP客户端从合法的DHCP服务器获取到IP地址，而且还能够减少广播报文的泛洪。

本发明还提供了一种实现DHCP地址安全分配的设备，不仅能够在不需要端口进行配置的情况下，保证DHCP客户端从合法的DHCP服务器获取到IP地址，而且还能够减少广播报文的泛洪。

为了达到上述目的，本发明提出的技术方案为：

一种实现动态主机配置协议（DHCP）地址安全分配的方法，该方法包括：

交换机将接收到的由DHCP服务器返回的对DHCP客户端的应答报文进行解析，得到所述DHCP服务器标识；

交换机将所述DHCP服务器标识发送给RADIUS服务器，以使得RADIUS服务器根据DHCP服务器标识对所述DHCP服务器进行认证；

交换机接收由所述RADIUS服务器返回的认证结果；

当所述认证结果为认证通过时，交换机将接收该DHCP服务器返回的应答报文的端口作为信任端口，并将该DHCP服务器标识和该信任端口进行对应存储；

交换机接收到由DHCP客户端发送的请求报文时，根据所述请求报文中的DHCP服务器标识选择存储的对应信任端口将请求报文单播给对应的DHCP服务器，由该DHCP服务器将IP地址提供给DHCP客户端。

当所述认证结果为认证不通过时，该方法进一步包括：交换机丢弃所述接收到的应答报文。

当所述交换机接收到由DHCP客户端发送的请求报文中没有DHCP服务器标识时，该方法进一步包括：

交换机通过存储的每一个信任端口将请求报文进行转发。

当所述交换机接收到由DHCP客户端发送的请求报文中没有DHCP服务器标识时，该方法进一步包括：

交换机重复执行所述对接收到的DHCP服务器返回的应答报文进行解析、将解析出的DHCP服务器标识发送给RADIUS服务器、接收由RADIUS服务器返回的认证结果、将DHCP服务器标识和接收该DHCP服务器返回应答报文的信任端口进行对应存储的步骤后，根据所述DHCP服务器标识选择存储的对应信任端口将请求报文单播给对应的DHCP服务器，由该DHCP服务器将IP地址提供给DHCP客户端。

所述交换机将DHCP服务器标识和信任端口进行对应存储后，该方法还包括：

交换机通过NQA检测出所述认证通过的DHCP服务器不存在时，删除存储的所述DHCP服务器标识和信任端口；

或，交换机检测出与存储了HDCP服务器标识的DHCP服务器相连端口down时，删除存储的所述DHCP服务器标识和端口；

或，交换机设置所述存储的信任端口的时间，当超过该设定时间时，交换机删除存储的所述DHCP服务器标识和信任端口。

所述DHCP服务器标识为DHCP IP地址或DHCP ID。

一种实现动态主机配置协议（DHCP）地址安全分配的交换机，该交换机包括：解析单元、发送单元、接收单元、存储单元和端口选择单元，其中，

所述解析单元，用于将接收到的由DHCP服务器返回的对DHCP客户端的应答报文进行解析，得到所述DHCP服务器标识；

所述发送单元，用于将所述解析单元解析得到的DHCP服务器标识发送给RADIUS服务器，以使得RADIUS服务器根据DHCP服务器标识对所述DHCP服务器进行认证；

所述接收单元，用于当发送单元将DHCP服务器标识发送给RADIUS服务器认证后，接收由所述RADIUS服务器返回的认证结果；

所述存储单元，用于当所述接收单元接收到的认证结果为认证通过时，将该DHCP服务器返回的应答报文的端口作为信任端口，并将所述解析单元解析得到的DHCP服务器标识和该信任端口进行对应存储；

所述端口选择单元，用于当接收到由DHCP客户端发送的请求报文时，根据所述请求报文中的DHCP服务器标识选择所述存储单元存储的对应信任端口将请求报文单播给对应的DHCP服务器，由该DHCP服务器将IP地址提供给DHCP客户端。

该设备还包括：丢弃单元，用于当所述接收单元接收到的认证结果为认证不通过时，丢弃所述接收到的应答报文。

该设备还包括：端口删除单元，用于当所述存储单元对应存储所述DHCP服务器标识和信任端口后，

通过NQA检测出所述认证通过的DHCP服务器不存在时，删除存储的所述DHCP服务器标识和信任端口；

或，检测出与存储了HDCP服务器标识的DHCP服务器相连端口down时，删除存储的所述DHCP服务器标识和信任端口；

或，设置所述存储的信任端口的时间，当超过该设定时间时，删除存储的所述DHCP服务器标识和信任端口。

所述DHCP服务器标识为DHCP IP地址或DHCP ID。

综上所述，本发明所采用的实现DHCP地址安全分配的方法，是通过由交换机将DHCP服务器返回的应答报文进行解析，将解析出的DHCP服务器标识发送给RADIUS服务器，由RADIUS服务器根据DHCP服务器标识对该DHCP服务器进行认证后，接收由RADIUS服务器返回的认证结果，并在认证通过时，将DHCP服务器标识和接收应答报文的信任端口进行对应存储，从而使得交换机后续接收到的DHCP客户端发送的请求报文时，能够根据请求报文中的DHCP服务器标识选择存储的对应信任端口将请求报文单播给对应的DHCP服务器，进而由该DHCP服务器将IP地址提供给DHCP客户端。由于本发明方法首先通过RADIUS服务器对DHCP服务器进行了认证，并由交换机存储认证通过的DHCP服务器的标识和对应的信任端口，后续接收到DHCP客户端发送的请求报文时，能够根据报文中的DHCP服务器标识选择对应的信任端口将请求报文单播给对应的由RADIUS服务器认证通过的DHCP服务器，由该DHCP服务器为该DHCP客户端提供IP地址。因此，本发明方法无需对交换机上的端口进行配置，即能够从合法的DHCP服务器获取到IP地址，而且，将请求报文单播给DHCP服务器，也就减少了由于广播报文而带来的泛洪。

附图说明

图1为现有DHCP典型应用组网示意图；

图2为现有DHCP客户端从DHCP服务器获取IP地址的过程示意图；

图3为现有具备交换机功能的典型应用组网示意图；

图4为现有多个交换机设备级联的应用组网示意图；

图5为本发明实现DHCP地址安全分配方法的工作流程图；

图6为本发明实现DHCP地址安全分配的交换机结构示意图。

具体实施方式

为了解决本发明提出的技术问题，本发明所述方案的具体实现包括：

交换机将接收到的由DHCP服务器返回的对DHCP客户端的应答报文进行解析，得到所述DHCP服务器标识；交换机将所述DHCP服务器标识发送给RADIUS服务器，以使得RADIUS服务器根据DHCP服务器标识对所述DHCP服务器进行认证；交换机接收由所述RADIUS服务器返回的认证结果；当所述认证结果为认证通过时，交换机将接收该DHCP服务器返回的应答报文的端口作为信任端口，并将该DHCP服务器标识和该信任端口进行对应存储；交换机接收到由DHCP客户端发送的请求报文时，根据所述请求报文中的DHCP服务器标识选择存储的对应信任端口将请求报文单播给对应的DHCP服务器，由该DHCP服务器将IP地址提供给DHCP客户端。

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图及具体实施例对本发明作进一步地详细描述。

图5为本发明实现DHCP地址安全分配方法的工作流程图，如图5所示，该流程包括：

步骤501：交换机在VLAN内广播由DHCP客户端发送的用于申请地址的请求报文。

步骤502：交换机接收由DHCP服务器返回的对请求报文的应答报文。

步骤503：交换机解析所述接收到的应答报文，得到发送该应答报文的DHCP服务器标识。

其中，所述DHCP服务器标识为DHCP IP地址或DHCP ID。

步骤504：交换机将所述解析得到的DHCP服务器标识发送给RADIUS服务器，以使得RADIUS服务器根据DHCP服务器标识对该DHCP服务器进行认证。

在本步骤中，RADIUS服务器如何根据DHCP服务器标识对该DHCP服务器进行认证为现有技术，这里不再赘述。

步骤505：交换机接收由RADIUS服务器返回的认证结果。

步骤506：判断所述接收到的认证结果是否通过，如果是，执行步骤507；否则，执行步骤511。

步骤507：交换机将接收DHCP服务器返回的应答报文的端口作为信任端口，并将该DHCP服务器标识和该信任端口进行对应存储。

在本步骤中，当所述接收到的认证结果为认证通过时，需要对所述解析出的DHCP服务器标识和对应的信任端口进行存储。

需要说明的是，当所述交换机将DHCP服务器标识和信任端口进行对应存储后，还可进行如下处理：

交换机通过NQA检测出所述认证通过的DHCP服务器不存在时，删除存储的所述DHCP服务器标识和信任端口；或，交换机检测出与存储了HDCP服务器标识的DHCP服务器相连端口down时，删除存储的所述DHCP服务器标识和信任端信任口；或，交换机设置所述存储的信任端口的时间，当超过该设定时间时，交换机删除存储的所述DHCP服务器标识和信任端口。

步骤508：交换机将该DHCP服务器返回的应答报文发送给发送了请求报文的DHCP客户端。

步骤509：交换机接收由DHCP客户端发送的请求报文。

步骤510：交换机根据接收到的请求报文中的DHCP服务器标识选择存储的对应的端口将请求报文单播给对应的DHCP服务器，由该DHCP服务器将IP地址提供给DHCP客户端后，结束整个工作流程。

需要说明的是，在本步骤中，当所述交换机接收到的请求报文中没有DHCP服务器标识时，可以有以下两种处理方式：

一是，交换机通过存储的每一个端口将请求报文进行转发；

二是，交换机重复执行步骤501-步骤507的操作，即：重复执行所述对接收到的DHCP服务器返回的应答报文进行解析、将解析出的DHCP服务器标识发送给RADIUS服务器、接收由RADIUS服务器返回的认证结果、将DHCP服务器标识和接收该DHCP服务器返回应答报文的信任端口进行对应存储的步骤后，再根据所述DHCP服务器标识选择存储的对应信任端口将请求报文单播给对应的DHCP服务器，由该DHCP服务器将IP地址提供给DHCP客户端。

步骤511：交换机丢弃所述接收到的应答报文后，结束整个工作流程。

在本步骤中，当所述交换机接收到的认证结果为认证不通过时，丢弃所述接收到的应答报文。

至此，即完成了本发明实现DHCP地址安全分配方法的整个工作流程。

基于上述方法，图6给出了本发明实现DHCP地址安全分配的交换机的结构，如图6所示，该交换机包括：解析单元61、发送单元62、接收单元63、存储单元64和端口选择单元65，其中，

所述解析单元61，用于将接收到的由DHCP服务器返回的对DHCP客户端的应答报文进行解析，得到所述DHCP服务器标识；

所述发送单元62，用于将所述解析单元61解析得到的DHCP服务器标识发送给RADIUS服务器，以使得RADIUS服务器根据DHCP服务器标识对所述DHCP服务器进行认证；

所述接收单元63，用于当发送单元62将DHCP服务器标识发送给RADIUS服务器认证后，接收由所述RADIUS服务器返回的认证结果；

所述存储单元64，用于当所述接收单元63接收到的认证结果为认证通过时，将该DHCP服务器返回的应答报文的端口作为信任端口，并将所述解析单元61解析得到的DHCP服务器标识和接收该信任端口进行对应存储；

所述端口选择单元65，用于当接收到由DHCP客户端发送的请求报文时，根据所述请求报文中的DHCP服务器标识选择所述存储单元64存储的对应信任端口将请求报文单播给对应的DHCP服务器，由该DHCP服务器将IP地址提供给DHCP客户端。

其中，当接收到由DHCP客户端发送的请求报文中没有DHCP服务器标识时，所述端口选择单元65通过所述存储单元64存储的每一个信任端口将请求报文进行转发。

进一步地，该设备还包括丢弃单元66，用于当所述接收单元63接收到的认证结果为认证不通过时，丢弃所述接收到的应答报文。

更进一步地，该设备还包括端口删除单元67，用于当所述存储单元64对应存储所述DHCP服务器标识和信任端口后，

通过NQA检测出所述认证通过的DHCP服务器不存在时，删除存储的所述DHCP服务器标识和信任端口；

或，检测出与存储了HDCP服务器标识的DHCP服务器相连端口down时，删除存储的所述DHCP服务器标识和信任端口；

或，设置所述存储的信任端口的时间，当超过该设定时间时，删除存储的所述DHCP服务器标识和信任端口。

具体地，本实施例中的DHCP服务器标识为DHCP IP地址或DHCP ID。

至此，即得到了本发明所采用的视线DHCP地址安全分配的交换机。图6所述交换机的工作流程具体可参见图5所述方法的工作流程，这里不再赘述。

总之，本发明所采用的实现DHCP地址安全分配的方法，通过由交换机将DHCP服务器返回的应答报文进行解析，将解析出的DHCP服务器标识发送给RADIUS服务器，由RADIUS服务器根据DHCP服务器标识对该DHCP服务器进行认证后，接收由RADIUS服务器返回的认证结果，并在认证通过时，将DHCP服务器标识和接收应答报文的信任端口进行对应存储，从而使得交换机后续接收到的DHCP客户端发送的请求报文时，能够根据请求报文中的DHCP服务器标识选择存储的对应信任端口将请求报文单播给对应的DHCP服务器，进而由该DHCP服务器将IP地址提供给DHCP客户端。由于本发明方法首先通过RADIUS服务器对DHCP服务器进行了认证，并由交换机存储认证通过的DHCP服务器的标识和对应的信任端口，后续接收到DHCP客户端发送的请求报文时，能够根据报文中的DHCP服务器标识选择对应的信任端口将请求报文单播给对应的由RADIUS服务器认证通过的DHCP服务器，由该DHCP服务器为该DHCP客户端提供IP地址。因此，本发明方法无需对交换机上的端口进行配置，即能够从合法的DHCP服务器获取到IP地址，而且，将请求报文单播给DHCP服务器，也就减少了由于广播报文而带来的泛洪。

进一步地，本发明方法还能够由交换机对存储的端口实时进行检测，以保证存储的端口与对应DHCP服务器标识的实效性。

最后，当DHCP服务器迁移时，由于本发明方法并未对交换机上的端口进行设置，也就减少了重新配置端口带来的工作量。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (10)

1.一种实现动态主机配置协议（DHCP）地址安全分配的方法，其特征在于，该方法包括：

交换机将接收到的由DHCP服务器返回的对DHCP客户端的应答报文进行解析，得到所述DHCP服务器标识；

交换机将所述DHCP服务器标识发送给RADIUS服务器，以使得RADIUS服务器根据DHCP服务器标识对所述DHCP服务器进行认证；

交换机接收由所述RADIUS服务器返回的认证结果；

当所述认证结果为认证通过时，交换机将接收该DHCP服务器返回的应答报文的端口作为信任端口，并将该DHCP服务器标识和该信任端口进行对应存储；

交换机接收到由DHCP客户端发送的请求报文时，根据所述请求报文中的DHCP服务器标识选择存储的对应信任端口将请求报文单播给对应的DHCP服务器，由该DHCP服务器将IP地址提供给DHCP客户端。

2.根据权利要求1所述的方法，其特征在于，当所述认证结果为认证不通过时，该方法进一步包括：交换机丢弃所述接收到的应答报文。

3.根据权利要求1所述的方法，其特征在于，当所述交换机接收到由DHCP客户端发送的请求报文中没有DHCP服务器标识时，该方法进一步包括：

交换机通过存储的每一个信任端口将请求报文进行转发。

4.根据权利要求1所述的方法，其特征在于，当所述交换机接收到由DHCP客户端发送的请求报文中没有DHCP服务器标识时，该方法进一步包括：

交换机重复执行所述对接收到的DHCP服务器返回的应答报文进行解析、将解析出的DHCP服务器标识发送给RADIUS服务器、接收由RADIUS服务器返回的认证结果、将DHCP服务器标识和接收该DHCP服务器返回应答报文的信任端口进行对应存储的步骤后，根据所述DHCP服务器标识选择存储的对应信任端口将请求报文单播给对应的DHCP服务器，由该DHCP服务器将IP地址提供给DHCP客户端。

5.根据权利要求1所述的方法，其特征在于，所述交换机将DHCP服务器标识和信任端口进行对应存储后，该方法还包括：

交换机通过NQA检测出所述认证通过的DHCP服务器不存在时，删除存储的所述DHCP服务器标识和信任端口；

或，交换机检测出与存储了HDCP服务器标识的DHCP服务器相连端口down时，删除存储的所述DHCP服务器标识和端口；

或，交换机设置所述存储的信任端口的时间，当超过该设定时间时，交换机删除存储的所述DHCP服务器标识和信任端口。

6.根据权利要求1-5中任一项所述的方法，其特征在于，所述DHCP服务器标识为DHCP IP地址或DHCP ID。

7.一种实现动态主机配置协议（DHCP）地址安全分配的交换机，其特征在于，该交换机包括：解析单元、发送单元、接收单元、存储单元和端口选择单元，其中，

所述解析单元，用于将接收到的由DHCP服务器返回的对DHCP客户端的应答报文进行解析，得到所述DHCP服务器标识；

所述发送单元，用于将所述解析单元解析得到的DHCP服务器标识发送给RADIUS服务器，以使得RADIUS服务器根据DHCP服务器标识对所述DHCP服务器进行认证；

所述接收单元，用于当发送单元将DHCP服务器标识发送给RADIUS服务器认证后，接收由所述RADIUS服务器返回的认证结果；

所述存储单元，用于当所述接收单元接收到的认证结果为认证通过时，将该DHCP服务器返回的应答报文的端口作为信任端口，并将所述解析单元解析得到的DHCP服务器标识和该信任端口进行对应存储；

所述端口选择单元，用于当接收到由DHCP客户端发送的请求报文时，根据所述请求报文中的DHCP服务器标识选择所述存储单元存储的对应信任端口将请求报文单播给对应的DHCP服务器，由该DHCP服务器将IP地址提供给DHCP客户端。

8.根据权利要求7所述的交换机，其特征在于，该设备还包括：丢弃单元，用于当所述接收单元接收到的认证结果为认证不通过时，丢弃所述接收到的应答报文。

9.根据权利要求7所述的交换机，其特征在于，该设备还包括：端口删除单元，用于当所述存储单元对应存储所述DHCP服务器标识和信任端口后，

通过NQA检测出所述认证通过的DHCP服务器不存在时，删除存储的所述DHCP服务器标识和信任端口；

或，检测出与存储了HDCP服务器标识的DHCP服务器相连端口down时，删除存储的所述DHCP服务器标识和信任端口；

或，设置所述存储的信任端口的时间，当超过该设定时间时，删除存储的所述DHCP服务器标识和信任端口。

10.根据权利要求7-9中任一项所述的交换机，其特征在于，所述DHCP服务器标识为DHCP IP地址或DHCP ID。

Images