CN102882861B - 基于解析dhcp报文实现防ip地址欺诈的方法 - Google Patents

Abstract

一种基于解析DHCP报文实现防IP地址欺诈的方法，涉及无源光网络上防IP地址欺诈领域，包括如下步骤：S1.光网络终端将其转发的DHCP报文捕获至CPU，解析注册的DHCP报文，获取光网络终端下联用户获取的用户IP地址IP_N，所述用户IP地址IP_N为用户和DHCP服务器IP租约正式生效时的IP地址；S2.光网络终端将所述用户IP地址IP_N产生访问控制列表，绑定到合法端口，同时设置拦截来自其余用户端口、源IP地址为用户IP地址IP_N的报文。该方法动态的获取用户端口的合法IP地址表，动态的生成端口的IP地址白名单和黑名单，实现了防IP地址欺诈的功能。

Description

基于解析DHCP报文实现防IP地址欺诈的方法

技术领域

本发明涉及无源光网络上防IP地址欺诈领域，具体来讲是一种基于解析DHCP报文实现防IP地址欺诈的方法。

背景技术

GPON(Gigabit-CapablePON，吉兆比特无源光网络)技术是基于ITU-TG.984.x标准的最新一代宽带无源光综合接入标准，具有众多优点，被大多数运营商视为实现接入网业务宽带化、综合化改造的理想技术。GPON系统可以为用户提供数据、语音、IPTV等多种业务，真正实现三网融合。

互联网充满着各种安全威胁，其中之一就是IP地址欺诈，IP地址欺诈技术就是伪造某台主机的IP地址的技术。通过IP地址的伪装，使得某台主机能够伪装成另外一台主机，而伪装后主机往往具有某种特权或者被另外的主机所信任。

防止IP地址欺诈的第一步就是阻止能造成风险的IP地址。虽然攻击者可以使用任何IP地址进行欺诈，但使用网络上用户正在使用的有效IP地址进行欺诈，往往最有效果，也是我们最需要防范的IP地址欺诈行为。最简单的防IP地址欺诈的方法就是静态的创建一个ACL(ACCESSCONTROLLIST，访问控制列表)，绑定到用户端口，对来自用户端口的IP报文进行过滤，以达到防IP地址欺诈的目的。但是目前的网络运用中，用户的IP通常都是使用DHCP(DynamicHostConfigurationProtocol，动态主机配置协议)动态获取的，这就造成了无法获得一个静态的ACL列表，如何解决这个问题，动态的实现防IP地址欺诈，就需要将创建ACL列表和用户动态获取IP这二者紧密联系起来。

发明内容

针对现有技术中存在的缺陷，本发明的目的在于提供一种基于解析DHCP报文实现防IP地址欺诈的方法，动态的获取用户端口的合法IP地址表，动态的生成端口的IP地址白名单和黑名单，实现了防IP地址欺诈的功能。

为达到以上目的，本发明采取的技术方案是：基于解析DHCP报文实现防IP地址欺诈的方法，包括如下步骤：S1.光网络终端将其转发的DHCP报文捕获至CPU，解析注册的DHCP报文，获取光网络终端下联用户获取的用户IP地址IP_N，所述用户IP地址IP_N为用户和DHCP服务器IP租约正式生效时的IP地址；S2.光网络终端将所述用户IP地址IP_N产生访问控制列表，绑定到合法端口，同时设置拦截来自其余用户端口、源IP地址为用户IP地址IP_N的报文。

在上述技术方案的基础上，用户使用DHCP协议第一次获取IP地址，用户首先发送一个DHCP发现报文，网络上多台DHCP服务器回复给用户DHCP回复报文，用户挑选其中一个DHCP回复报文，并向网络发送一个DHCP请求报文，通知所有DHCP服务器它将指定接受所挑选的那台DHCP服务器提供的IP地址租约。

在上述技术方案的基础上，当DHCP服务器接收到用户发送的DHCP请求报文后，回复一个DHCP响应报文，确认用户的一个IP租约正式生效；当用户收到DHCP服务器回复的DHCP响应报文，表明IP租约正式生效，此时的IP地址为用户IP地址IP_N。

在上述技术方案的基础上，所述步骤S1的详细步骤为：S11.解析出DHCP请求报文，记录DHCP请求报文中的用户请求序列号ID_n，同时获取DHCP请求报文的用户端口号Port_n，生成一个用户序列号-用户端口号表项，添加到一个记录表中；S12.解析出DHCP响应报文，记录DHCP响应报文中的用户响应序列号ID_m、用户IP地址IP_N及其租用时间T_n，查找所述记录表中是否存在与用户响应序列号ID_m相同的用户请求序列号ID_n，若存在，将用户IP地址IP_N和租用时间T_n添加到所述记录表中，在记录表中生成完整的表项，其包含相互匹配的用户端口号Port_n、用户请求序列号ID_n、用户IP地址IP_N和租用时间T_n。S13.解析DHCP释放报文，记录其中的IP地址，查找所述记录表中是否有与IP地址相匹配的用户IP地址IP_N表项，如果有，则删除此用户IP地址IP_N表项；S14.定时刷新所述记录表中的表项，查看是否有租用时间到期的用户IP地址IP_N，如果有，则删除此用户IP地址IP_N表项；。

在上述技术方案的基础上，所述第一次获取IP地址后，整个DHCP协议期间，用户和DHCP服务器之间的DHCP协议交互，依然通过发送DHCP请求报文给DHCP服务器，均使用用户请求序列号ID_n标识。

在上述技术方案的基础上，所述用户在发送DHCP请求报文后，若得不到回应，则重复发送多次DHCP请求报文，但多次发送的DHCP请求报文的用户请求序列号ID_n相同，保存用户请求序列号ID_n时要判断用户端口列表中是否已保存此次记录，如果保存了此次记录，则无需再保存。

在上述技术方案的基础上，在生成用户端口号Port_n的合法用户IP地址IP_N表项的时候，要判断该表项是否存在，若存在，则刷新这个表项的租用时间T_n，若不存在，则增加新的用户IP地址IP_N的表项。

在上述技术方案的基础上，所述步骤S2中，根据所述记录表中的表项，通过表项中的用户端口号Port_n所对应的用户IP地址IP_N生成访问控制列表，在用户端口号Port_n的地址白名单中添加这个用户IP地址IP_N，同时在相同光网络终端的其它用户端口，将所述用户IP地址IP_N设为其他端口的地址黑名单，保证此IP地址IP_N的TCP/IP报文只能从它所绑定的用户端口转发，除该用户端口外的其他端口均不转发此TCP/IP报文。

在上述技术方案的基础上，当所述记录表中有表项删除时，及时更新访问控制列表，更新用户端口的IP地址白名单和黑名单。

在上述技术方案的基础上，设定每个用户IP地址IP_N个数限制，一旦光网络终端端口绑定的用户IP地址IP_N达到了所述个数限制，则新的IP地址覆盖已经存在的用户IP地址IP_N表项。

本发明的有益效果在于：本发明基于解析DHCP报文实现防IP地址欺诈的方法，通过解析DHCP报文，动态的获取用户端口的合法IP地址表，生成ONU(OpticalNetworkUnit，光网络终端)的用户端口的IP地址白名单和黑名单，拦截非法的IP报文，实现防IP地址欺诈的功能。从而可以更好的保证网络安全，保护正常用户的业务不会被相邻的用户影响或盗用。

附图说明

图1为本发明实施例基于解析DHCP报文实现防IP地址欺诈的方法的流程图；

图2为本发明用户首次申请IP时的DHCP协议流程图；

图3为本发明用户续约时的DHCP协议流程图；

图4为本发明实施例的应用系统框图。

具体实施方式

以下结合附图对本发明作进一步详细说明。

本发明基于解析DHCP报文实现防IP地址欺诈的方法，如图1所示，包括步骤：

S1.光网络终端将其转发的DHCP报文捕获至CPU，解析注册的DHCP报文，获取ONU下联用户获取的用户IP地址IP_N，所述用户IP地址IP_N为用户和DHCP服务器IP租约正式生效时的IP地址。

其中，如图2所示，用户使用DHCP协议第一次获取IP地址的整个过程，用户首先发送一个DHCP发现报文(DHCPdiscover报文)，这个报文是一个广播报文，网络上会有多台DHCP服务器回复给用户回复报文(DHCPoffer报文)，用户只会挑选其中一个DHCPoffer报文，通常是挑选最先抵达用户的那个DHCPoffer报文。此时，用户向网络发送一个DHCP请求报文(DHCPrequest报文)，通知所有DHCP服务器它将指定接受所挑选的那台DHCP服务器提供的IP地址租约。当DHCP服务器接收到用户发送的DHCPrequest报文后，回复一个DHCP响应报文(DHCPACK报文)，表明IP租约正式生效，此时的IP地址为用户IP地址IP_N。确认用户的一个IP租约正式生效，也就结束了一个完整的DHCPIP申请过程，这个过程可能发生在用户第一次申请IP地址的过程中，也可能发生在用户申请续约IP地址的过程中。

所述S1的具体步骤如下：

S11.解析出DHCPrequest报文，记录DHCPrequest报文中的用户请求序列号ID_n(TransactionID)，同时获取DHCPrequest报文的用户端口号Port_n，生成一个“用户序列号-用户端口号”表项，添加到一个记录表M中。

S12.解析出DHCPACK报文，记录DHCPACK报文中的用户响应序列号ID_m、用户IP地址IP_N及其租用时间T_n，查找所述记录表M中是否存在与用户响应序列号ID_m相同的用户请求序列号ID_n，若存在，将用户IP地址IP_N和租用时间T_n添加到记录表M中，在记录表M中生成完整的表项，其包含相互匹配的用户端口号Port_n、用户请求序列号ID_n、用户IP地址IP_N和租用时间T_n，即给出这4个表项其中的1个，就能能记录表M中找出与其相互匹配的另外3个表项。

S13.如图2所示，解析DHCP释放报文(DHCPrelease报文)，记录其中的用户IP地址，查找所述记录表中是否有与IP地址相匹配的用户IP地址IP_N表项，如果有，则删除此用户IP地址IP_N表项，原因是用户主动释放IP地址，因此需要删除相应的表项。

S14.定时刷新记录表M中的表项，查看是否有租用时间到期的用户IP地址IP_N，如果有，则删除此用户IP地址IP_N表项。当用户没有主动释放获取的IP，就需要定时刷新纪录表M中的表项来清理这些用户IP地址IP_N表项，避免用户IP地址IP_N表项只会增加，不会减少，最后造成这个IP地址表溢出。

在生成用户端口号Port_n的用户IP地址IP_N表项的时候，需要判断这个表项是否存在，若存在，则刷新这个表项的租用时间T_n；若不存在，则在记录表M中增加新的用户IP地址IP_N的表项。在第一次获取IP地址后，整个DHCP协议期间，用户和DHCP服务器之间的DHCP协议交互，依然通过发送DHCP请求报文给DHCP服务器，均使用用户请求序列号ID_n标识。而DHCP报文的用户请求序列号ID_n是唯一用来标识一次DHCP请求的标识符，在用户发起一次DHCP请求后，整个协议期间，用户和服务器之间的DHCP交互报文都会使用这个用户请求序列号ID_n标识。

实际中可能出现，用户在发送DHCPrequest报文后，一直得不到DHCP服务器回复的DHCPACK报文，这表明用户的请求还没有正式生效，所以还需要定时清理记录表M中长时间没有得到确认的DHCP申请。而用户在发送DHCP请求报文后，若得不到回应，则重复发送多次DHCP请求报文，DHCPrequest报文在得不到回应的情况下可能会重复发送多次，但多次的用户请求序列号ID_n是相同的，保存用户请求序列号ID_n时要判断用户端口列表中是否已保存此次记录，如果保存了此次记录，则无需再保存。

如图3所示，用户在续约IP地址时的协议交互，用户依然是通过发送DHCPrequest报文来续约IP地址。所以，不论是用户第一次申请IP地址，还是用户续约IP地址，都会发送DHCPrequest报文给DHCP服务器，接受DHCP服务器的IP租约。

S2.ONU将用户IP地址IP_N产生ACL例表，绑定到合法端口，同时设置拦截来自其余用户端口、源IP地址为用户IP地址IP_N的报文。其中，根据记录表M中的表项，通过表项中的用户端口号Port_n所对应的用户IP地址IP_N生成ACL列表，在用户端口号Port_n的地址白名单中添加这个用户IP地址IP_N，同时在相同ONU的其它用户端口，将所述IP地址IP_N设为其它端口的地址黑名单，保证此用户IP地址IP_N的DHCP报文只能从它所绑定的用户端口转发，除该用户端口外的其它端口均不转发此DHCP报文。当记录表M中有表项删除时，及时更新ACL列表，更新用户端口的IP地址白名单和黑名单。

为了提高效率，在上述步骤中，可以设定每个用户IP地址IP_N个数限制，一旦ONU端口绑定的用户IP地址IP_N达到了所述个数限制，则新的IP地址可以覆盖已经存在的用户IP地址IP_N表项。

下面通过具体的应用实例对本发明作进一步详细说明。

如图4所示，本实施例的应用系统中，ONU有4个用户端口，分别为UNI(Usernodeinterface，用户接口)1～UNI4口，ONU和OLT(opticallineterminal，光线路终端)组成一个GPON系统，其中PC1和PC2分别是连接到ONU的UNI1口和UNI2口，且属于同一个VLAN(VirtualLocalAreaNetwork，虚拟局域网)中。OLT上联口连接DHCP服务器和PC3，DHCP服务器提供的租用IP范围为192.168.1.1～192.168.1.10，PC3的IP地址设为192.168.1.18。

在实施中，首先关闭ONU的防IP地址欺诈功能，PC1使用DHCP方式从DHCP服务器获取到IP192.168.1.1，然后PC1使用TCP/IP协议访问PC3，此时TCP/IP协议访问一切正常。将PC2设为静态IP模式，IP设为192.168.1.1，在PC2上也是用TCP/IP协议访问PC3，这时可以发现PC1和PC2的都会断断续续出现无法使用TCP/IP协议访问PC3的情况发生，一旦PC1停止使用TCP/IP协议访问PC3，PC2马上就可以持续使用TCP/IP协议访问PC3了，PC2的IP欺诈成功。

打开ONU的防IP地址欺诈功能，同样让PC1重新使用DHCP方式获取到IP192.168.1.1，这时ONU设置拦截UNI2～UNI4口拦截源IP为192.168.1.1的报文，只有UNI1口让IP192.168.1.1的报文通过，这时将PC2电脑的IP设为静态的IP192.168.1.1，然后同时在PC1和PC2上使用TCP/IP协议访问PC3，可以发现PC1使用TCP/IP协议访问PC3不受影响，而PC2则无法使用TCP/IP协议访问PC3。PC1释放掉IP192.168.1.1，这时PC2就可以使用TCP/IP协议访问PC3了。

本发明不局限于上述实施方式，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也视为本发明的保护范围之内。本说明书中未作详细描述的内容属于本领域专业技术人员公知的现有技术。

Claims (4)

1.一种基于解析DHCP报文实现防IP地址欺诈的方法，其特征在于，包括如下步骤：

S1.光网络终端将其转发的DHCP报文捕获至CPU，解析注册的DHCP报文，获取光网络终端下联用户获取的用户IP地址IP_N，所述用户IP地址IP_N为用户和DHCP服务器IP租约正式生效时的IP地址；

其中，用户使用DHCP协议第一次获取IP地址，用户首先发送一个DHCP发现报文，网络上多台DHCP服务器回复给用户DHCP回复报文，用户挑选其中一个DHCP回复报文，并向网络发送一个DHCP请求报文，通知所有DHCP服务器它将指定接受所挑选的那台DHCP服务器提供的IP地址租约；当DHCP服务器接收到用户发送的DHCP请求报文后，回复一个DHCP响应报文，确认用户的一个IP租约正式生效；当用户收到DHCP服务器回复的DHCP响应报文，表明IP租约正式生效，此时的IP地址为用户IP地址IP_N；

步骤S1的详细步骤为：

S11.解析出DHCP请求报文，记录DHCP请求报文中的用户请求序列号ID_n，同时获取DHCP请求报文的用户端口号Port_n，生成一个用户序列号一用户端口号表项，添加到一个记录表中；

S12.解析出DHCP响应报文，记录DHCP响应报文中的用户响应序列号ID_m、用户IP地址IP_N及其租用时间T_n，查找所述记录表中是否存在与用户响应序列号ID_m相同的用户请求序列号ID_n，若存在，将用户IP地址IP_N和租用时间T_n添加到所述记录表中，在记录表中生成完整的表项，其包含相互匹配的用户端口号Port_n、用户请求序列号ID_n、用户IP地址IP_N和租用时间T_n；

S13.解析DHCP释放报文，记录其中的IP地址，查找所述记录表中是否有与IP地址相匹配的用户IP地址IP_N表项，如果有，则删除此用户IP地址IP_N表项；

S14.定时刷新所述记录表中的表项，查看是否有租用时间到期的用户IP地址IP_N，如果有，则删除此用户IP地址IP_N表项；

S2.光网络终端将所述用户IP地址IP_N产生访问控制列表，绑定到合法端口，同时设置拦截来自其余用户端口、源IP地址为用户IP地址IP_N的报文；

步骤S2的详细步骤为：

所述步骤S2中，根据所述记录表中的表项，通过表项中的用户端口号Port_n所对应的用户IP地址IP_N生成访问控制列表，在用户端口号Port_n的地址白名单中添加这个用户IP地址IP_N，同时在相同光网络终端的其它用户端口，将所述用户IP地址IP_N设为其他端口的地址黑名单，保证此IP地址IP_N的TCP/IP报文只能从它所绑定的用户端口转发，除该用户端口外的其他端口均不转发此TCP/IP报文；

当所述记录表中有表项删除时，及时更新访问控制列表，更新用户端口的IP地址白名单和黑名单；

设定每个用户IP地址IP_N个数限制，一旦光网络终端端口绑定的用户IP地址IP_N达到了所述个数限制，则新的IP地址覆盖已经存在的用户IP地址IP_N表项。

2.如权利要求1所述的基于解析DHCP报文实现防IP地址欺诈的方法，其特征在于：所述第一次获取IP地址后，整个DHCP协议期间，用户和DHCP服务器之间的DHCP协议交互，依然通过发送DHCP请求报文给DHCP服务器，均使用用户请求序列号ID_n标识。

3.如权利要求1所述的基于解析DHCP报文实现防IP地址欺诈的方法，其特征在于：所述用户在发送DHCP请求报文后，若得不到回应，则重复发送多次DHCP请求报文，但多次发送的DHCP请求报文的用户请求序列号ID_n相同，保存用户请求序列号ID_n时要判断用户端口列表中是否已保存此次记录，如果保存了此次记录，则无需再保存。

4.如权利要求1所述的基于解析DHCP报文实现防IP地址欺诈的方法，其特征在于：在生成用户端口号Port_n的合法用户IP地址IP_N表项的时候，要判断该表项是否存在，若存在，则刷新这个表项的租用时间T_n，若不存在，则增加新的用户IP地址IP_N的表项。