CN103023779B - 一种数据报文处理方法及装置 - Google Patents

Abstract

本发明公开一种数据报文处理方法及装置，该方法包括：接收到数据报文后，检测所述数据报文是否为带标签的数据报文，得到检测结果；根据所述检测结果确定所述数据报文为不带标签的数据报文时，则获取接收所述数据报文的第一端口的端口配置信息；当所述端口配置信息中包含预设命令参数，则根据所述预设命令参数丢弃所述数据报文。应用本发明提供的方法及装置，实现了增强虚拟局域网数据安全性的技术效果。

Description

一种数据报文处理方法及装置

技术领域

本发明涉及网络通讯领域，尤其涉及一种数据报文处理方法及装置。

背景技术

在通信技术领域，虚拟局域网(vlan)是一种将局域网设备从逻辑上划分成一个个网段，从而实现虚拟工作组的新兴数据交换技术。这一新兴技术主要应用于交换机数据报文转发中。数据报文分为不打标签报文(untag)和打标签报文(tag)两种。不打标签报文就是普通的以太网报文，打标签报文是在以太网标准帧中插入了4字节虚拟局域网标签信息的报文，如图1所示。网络数据报文则是通过交换机端口转接达到数据传送和接收的目的。

交换机端口有三种链路类型：Access、Hybrid和Trunk，Access类型的端口只能属于一个虚拟局域网，一般用于连接计算机的端口；Trunk类型的端口可以允许多个带有虚拟局域网信息标签的数据通过，可以接收和发送多个带有虚拟局域网信息标签的数据报文，一般用于交换机之间连接的端口；Hybrid类型的端口可以允许多个带有虚拟局域网信息标签的数据通过，可以接收和发送多个带有虚拟局域网信息标签的数据报文，可以用于交换机之间连接，也可以用于连接用户的计算机。

通常，带有所属虚拟局域网标签信息的报文会通过属于对应虚拟局域网的端口转发。而对于不带标签信息的报文，则通过缺省端口转发。缺省端口的虚拟局域网号对应端口所属的虚拟局域网，Access端口只属于一个虚拟局域网，所以它的缺省虚拟局域网号就是它所在的虚拟局域网，不用设置；Hybrid端口和Trunk端口属于多个虚拟局域网，所以需要设置端口缺省虚拟局域网号。默认情况下，Hybrid端口和Trunk端口的缺省虚拟局域网号为1。如果设置了端口的缺省虚拟局域网号，当端口接收到不带虚拟局域网标签信息的报文后，则将报文转发到属于缺省虚拟局域网的端口；当端口发送带有虚拟局域网标签信息的报文时，如果该报文的虚拟局域网值与端口缺省的虚拟局域网值相同，则系统将去掉报文的标签信息，然后再发送该报文。

但本申请发明人在实现本申请实施例中发明技术方案的过程中，发现上述技术至少存在如下技术问题：

缺省端口的存在使某些不带标签信息报文可以在不同虚拟局域网内自由转发。但也带来了很多安全隐患，例如局域网跳跃攻击，利用双层虚拟局域网标签进行攻击，如果攻击者位于虚拟局域网10，受侵犯者位于虚拟局域网20，两个交换机间以trunk方式连接，端口的缺省虚拟局域网值是10。攻击者发送双标签报文，外部标签为虚拟局域网10标签信息，内部标签为虚拟局域网20标签信息，由于外部标签与缺省虚拟局域网值一致，故第一个交换机将去掉外部标签，将只有一层标签属于虚拟局域网20的报文传递出去，第二个交换机就会将报文转发给属于虚拟局域网20的攻击对象。

发明内容

本申请实施例通过提供一种数据报文处理方法及装置，解决了现有技术中普通以太网数据报文在不同虚拟局域网内自由转发的技术问题，实现了增强虚拟局域网数据安全性的技术效果。

所述一种报文处理方法包括：接收到数据报文后，检测所述数据报文是否为带标签的数据报文，得到检测结果；

根据所述检测结果确定所述数据报文为不带标签的数据报文时，则获取接收所述数据报文的第一端口的端口配置信息；

当所述端口配置信息中包含预设命令参数，则根据所述预设命令参数丢弃所述数据报文。

所述装置，包括：

检测单元，用于接收到数据报文后，检测所述数据报文是否为带标签的数据报文，得到检测结果；

配置信息获取单元，用于根据所述检测结果确定所述数据报文为不带标签的数据报文时，则获取接收所述数据报文的第一端口的端口配置信息；

数据报文处理单元，用于当所述端口配置信息中包含预设命令参数，则根据所述预设命令参数丢弃所述数据报文。

本申请实施例中提供的一个或多个技术方案，至少具有如下技术效果或优点：

1、由于在选中端口配置switchport tag trunk native vlan enable命令，所以，有效解决了普通untag报文在虚拟局域网内自由传播的问题，从而实现了选中trunk端口具有拦截普通untag数据报文属性的技术效果。

2、由于在交换机上配置default vlan disable命令，该命令对交换机上所有端口起作用，所以，有效解决了普通untag数据报文在虚拟局域网内自由传播，从而实现了所有端口具有拦截普通untag数据报文属性的技术效果。

附图说明

图1是802.1Q的帧格式示意图；

图2是本发明实施例一，配置第一命令和第二命令的处理流程图；

图3是本发明实施例二，配置第一命令的处理流程图；

图4是本发明实施例三，配置第二命令的处理流程图；

图5是本发明提供一种数据报文处理装置的结构示意图。

具体实施方式

本发明实施例所提供的方法是设置交换机端口的属性参数，然后根据所述属性参数选择性的转发或丢弃数据报文，从而达到增加网络安全性的目的。在本发明实施例中设置交换机端口的属性参数的具体实现方式可以包括以下两种：

一、从交换机的多个端口中选择，至少一个端口，设置与选中端口对应的第一命令。

在本发明实施例中，设置第一命令(switchport tag trunk native vlan enable命令)的端口在接收到初始数据报文为不带标签的数据报文以后将对该数据报文做丢弃处理。根据以上设置，有效解决了不带标签数据报文在虚拟局域网内自由传播的技术问题，从而实现了选中端口拦截不带标签数据报文的技术效果。

二、在交换机上配置第二命令(default vlan disable)，该第二命令对交换机所有端口起作用。

对于初始报文是不带标签的数据报文，当端口接收到所述不带标签数据报文后，由于端口本身自带属性，端口将会对所述不带标签数据报文打上缺省标签，使所述不带标签报文成为带有缺省标签的数据报文。针对这类被打上缺省标签的数据报文，由于端口配置所述第二命令，交换机芯片通过识别报文头中的标志位知道所述带标签数据报文的缺省标签是由交换机打上的，所以，所述接收端口将会对所述带有缺省标签的数据报文做丢弃处理。

在本发明实施例中，所述Default vlan命令是对所有端口有效，该Default vlan命令设置在网络处理器芯片的公共寄存器中。

需要说明的是，针对以上两种配置，可以根据具体需求同时配置或者选择性的配置。

本发明实施例提供一种数据报文处理方法，具体包括：

端口接收到数据报文后，检测所述数据报文是否为带标签的数据报文，得到检测结果；

根据所述检测结果确定所述数据报文为不带标签的数据报文时，则获取接收所述数据报文的第一端口的端口配置信息；

所述预设命令参数包括第一命令，所述第一命令与端口一一对应。则所述获取接收所述数据报文的第一端口的端口配置信息的方式可以是：查询第一端口对应的端口表获取所述第一端口对应的端口配置信息。

所述预设命令参数包括第二命令，所述第二命令对应多个端口。则获取接收所述数据报文的第一端口的端口配置信息的方式可以是：查询网络处理器公共寄存器获取所述第一端口对应的端口配置信息。

当所述端口配置信息中包含预设命令参数，则根据所述预设命令参数丢弃所述数据报文。

所述预设命令参数包括第一命令和/或第二命令，所述端口配置信息中包含预设命令参数，则根据所述预设命令参数丢弃所述数据报文包括：

根据所述配置信息确定所述第一端口是否配置第一命令，如果是，则丢弃所述数据报文；否则当确定所述数据报文的标签为缺省标签，则判断所述第一端口是否配置第二命令，如果是，则丢弃所述数据报文。

为了使本申请所属技术领域中的技术人员更清楚地理解本发明，下面结合附图，通过具体实施例对本发明技术方案作详细描述。

如图2所示，实施例一，本发明实施例提供一种数据报文处理方法，该实施例中当前转发数据报文的交换机设置第一命令和第二命令，具体的实现方法包括：

步骤101：端口接收到数据报文后，判断所述数据报文是否为不带标签的报文，如果是，则进入步骤103；否则进入步骤102。

数据报文分为不带标签数据报文(untag)和带标签数据报文(tag)两种，其中，检测数据报文是否为带标签的数据报文的实现方式为：

接收到数据报文后，检测所述数据报文的标志位，如果所述标志位存在vlan标签，则该数据报文为tag数据报文(即带标签的报文)；否则，该报文为untag数据报文(即不带标签的报文)。

步骤102：根据带标签数据报文中的标签，对所述带标签报文进行普通二层转发。

步骤103：获取接收所述数据报文的第一端口的配置信息；

在本发明实施例中，因为用户可以在交换机的操作界面对交换机的每个端口(port)设置不同的服务要求(即每个端口的配置信息)，这些针对每个port的服务要求通过表格的形式进行存储形成了port表，所以本发明实施例中，可以查询所述port表获取每个端口的配置信息。

在本实施例中，查询所述port表获得端口的属性和配置信息，该配置信息中包括端口有无配置switchport tag trunk native vlan enable命令。

步骤104：根据所述配置信息确定所述第一端口是否配置第一命令，如果是，则进入步骤105；否则进入步骤106。

在本发明实施例中，配置第一命令(switchport tag trunk native vlanenable)后，可以实现对双层标签的局域网跳跃攻击进行阻止，具体实现可以通过以下方式：

实现局域网跳跃攻击时，需要满足的一个条件是其数据包的最外层vlan标签要与trunk端口的native vlan一致，这样，trunk才能剥离标签。

当交换机缺省vlan对应的第一trunk端口配置switchport tag命令后，第一trunk端口不再属于原来的native vlan，故当双层标签最外层vlan是native vlan时，则该报文不会被转发出去，而是直接丢弃。

当双层报文最外层vlan不是native vlan而是trunk端口所属的其他vlan时，该trunk端口不会剥离标签，正常转发。

步骤105：丢弃所述数据报文。

在步骤101判断接收到的数据报文为untag数据报文后，由于端口本身自带属性，接收数据报文的端口会将接收到的untag数据报文打上缺省vlan标签。在打上缺省vlan标签后，在数据报文的其他比特位标示该标签为交换机打上的。

则该实施的方法还包括：

步骤106：确定所述数据报文的标签为缺省标签，则判断所述第一端口是否配置第二命令(default vlan disable)，如果是，则进入步骤105，否则，按照现有的转发流程转发所述数据报文。

在本发明实施例中，default vlan disable命令一旦配置，所有端口的defaultvlan都失效，即该命令是针对所有端口的，所以该配置信息保存在网络处理器公共寄存器中；则该步骤106中判断端口是否配置第二命令(default vlan disable)的具体实现包括：

从网络处理器公共寄存器中查看有无配置default vlan disable命令，命令default vlan disable可在网络处理器公共寄存器中某一位得知。

所述按照现有的转发流程转发所述数据报文包括：

数据报文从Access接口发出时，交换机先剥离数据报文的VLAN Tag，然后再发出。

数据报文从Trunk接口发出时，比较端口的native vlan和发送报文的vlan信息，如果相等则剥离vlan信息，再发送，如果不相等则直接发送。

数据报文从Hybrid接口发出时，交换机先判断VLAN在本接口的属性是Untag还是Tag，如果是Untag，先剥离数据报文的VLAN Tag，再发送；如果是Tag，直接发送数据报文。

上述本申请实施例中的技术方案，至少具有如下的技术效果或优点：

交换机端口拦截了不带标签数据报文，避免不带标签数据报文在虚拟局域网内自由转发的问题。

如图3所示，实施例二，该实施例中交换机的几个端口设置第一命令，具体的实现方法包括：

步骤201：端口接收到数据报文后，判断所述数据报文是否为不带标签的报文，如果是，则进入步骤203；否则进入步骤202。

数据报文分为不带标签数据报文(untag)和带标签数据报文(tag)两种，其中，检测数据报文是否为带标签的数据报文的实现方式为：

接收到数据报文后，检测所述数据报文的标志位，如果所述标志位存在vlan标签，则该数据报文为tag数据报文(即带标签的报文)；否则，该报文为untag数据报文(即带打标签的报文)。

步骤202：根据带标签数据报文中的标签，对所述带标签报文进行普通二层转发。

步骤203：获取接收所述数据报文的第一端口的配置信息；

在本发明实施例中，因为用户可以在交换机的操作界面对交换机的每个端口(port)设置不同的服务要求(即每个端口的配置信息)，这些针对每个port的服务要求通过表格的形式进行存储形成了port表，所以本发明实施例中，可以查询所述port表获取每个端口的配置信息。

在本实施例中，查询所述port表获得端口的属性和配置信息，该配置信息中包括端口有无配置switchport tag trunk native vlan enable命令。

步骤204：根据所述配置信息确定所述第一端口是否配置第一命令，如果是，则进入步骤205；否则，按照现有的转发流程转发所述数据报文。

在本发明实施例中，配置第二命令(default vlan disable)后，可以实现对双层标签的局域网跳跃攻击进行阻止，具体实现可以通过以下方式实现：

实现局域网跳跃攻击时，需要满足的一个条件是其数据包的最外层vlan标签要与trunk端口的native vlan一致，这样，trunk才能剥离标签。

当交换机的缺省vlan对应的第一trunk端口配置switchport tag命令后，第一trunk端口则不属于原本的native vlan，故当双层标签最外层vlan是native vlan时，则该报文不会被转发出去，而是直接丢弃。

当双层报文最外层vlan不是native vlan而是trunk端口所属的其他vlan时，该trunk端口不会剥离标签，正常转发。

步骤205：丢弃所述数据报文。

上述本申请实施例中的技术方案，至少具有如下的技术效果或优点：

交换机的设定端口拦截了不带标签数据报文，避免不带标签数据报文在虚拟局域网内自由转发的问题。

如图4所示，实施例三，该实施例中当前转发数据报文的交换机设置第二命令，具体的实现方法包括：

步骤301：端口接收到数据报文后，判断所述数据报文是否为不带标签的报文，如果是，则进入步骤303；否则进入步骤302。

数据报文分为不带标签数据报文(untag)和带标签数据报文(tag)两种，其中，检测数据报文是否为带标签的数据报文的实现方式为：

接收到数据报文后，检测所述数据报文的标志位，如果所述标志位存在vlan标签，则该数据报文为tag数据报文(即带标签的报文)；否则，该报文为untag数据报文(即不带标签的报文)。

步骤302：根据带标签数据报文中的标签，对所述带标签报文进行普通二层转发。

在步骤301判断接收到的数据报文为untag数据报文后，由于端口本身自带属性，交换机会将接收到的untag数据报文打上缺省vlan标签。在打上缺省vlan标签后，在数据报文的其他比特位标示该标签为交换机打上的。

则该实施的方法还包括：

步骤303：确定所述数据报文的标签为缺省标签，则判断接收所述数据报文的第一端口是否配置第二命令(defeult vlan disable)，如果是，则进入步骤304，否则，按照现有的转发流程转发所述数据报文。

在本发明实施例中，default vlan disable命令一旦配置，所有端口的defaultvlan都失效，即该命令是针对所有端口的，所以该配置信息保存在网络处理器全局寄存器中；则该步骤303中判断端口是否配置第二命令(default vlan disable)的具体实现包括：

从网络处理器全局寄存器中查看有无配置default vlan disable命令，命令default vlan disable可在全局寄存器中某一位得知。

步骤304：丢弃所述数据报文。

如图5所示，本发明实施例提供一种数据报文处理装置，包括：

检测单元401，用于接收到数据报文后，检测所述数据报文是否为带标签的数据报文，得到检测结果。

配置信息获取单元402，用于根据所述检测结果确定所述数据报文为不带标签的数据报文时，则获取接收所述数据报文的第一端口的端口配置信息。

为了达到获取端口配置信息跟好的效果，

查询第一端口对应的端口表获取所述第一端口对应的端口配置信息；

配置信息获取单元还用于查询网络处理器获取所述第一端口对应的端口配置信息。

数据报文处理单元403，用于当所述端口配置信息中包含预设命令参数，则根据所述预设命令参数丢弃所述数据报文。

为了更好的获得预设命令参数信息，则所述数据报文处理单元403还根据所述配置信息确定所述第一端口是否配置第一命令，如果是，则丢弃所述数据报文；

否则当确定所述数据报文的标签为缺省标签，则判断所述第一端口是否配置第二命令，如果是，则丢弃所述数据报文。

以上对本发明所提供的一种增强虚拟局域网安全性的网络配置方法进行了详细介绍，通过在选中trunk端口配置switchport tag trunk native vlan enable命令，有效解决了普通数据报文在虚拟局域网内自由传播，从而实现了选中trunk端口具有拦截普通数据报文属性的技术效果；通过在交换机上配置default vlan disable命令，该命令对交换机上所有端口起作用，有效解决了普通数据报文在虚拟局域网内自由传播，从而实现了所有端口具有拦截普通数据报文属性的技术效果。本发明有效解决了普通数据报文在虚拟局域网内自由传播的问题，从而实现了拦截不带标签数据报文的技术效果。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (8)

1.一种数据报文处理方法，其特征在于，包括：

接收到数据报文后，检测所述数据报文是否为带标签的数据报文，得到检测结果；

根据所述检测结果确定所述数据报文为不带标签的数据报文时，则获取接收所述数据报文的第一端口的端口配置信息；

当所述端口配置信息中包含预设命令参数，则根据所述预设命令参数丢弃所述数据报文；

其中，所述预设命令参数包括第一命令和/或第二命令，所述端口配置信息中包含预设命令参数，则根据所述预设命令参数丢弃所述数据报文包括：根据所述配置信息确定所述第一端口是否配置第一命令，如果是，则丢弃所述数据报文；否则当确定所述数据报文的标签为缺省标签，则判断所述第一端口是否配置第二命令，如果是，则丢弃所述数据报文。

2.如权利要求1所述的方法，其特征在于，所述预设命令参数包括第一命令，所述第一命令与端口一一对应。

3.如权利要求2所述的方法，其特征在于，所述获取接收所述数据报文的第一端口的端口配置信息包括：

查询第一端口对应的端口表获取所述第一端口对应的端口配置信息。

4.如权利要求1所述的方法，其特征在于，所述预设命令参数包括第二命令，所述第二命令对应多个端口。

5.如权利要求4所述的方法，其特征在于，所述获取接收所述数据报文的第一端口的端口配置信息包括：

查询网络处理器公共寄存器获取所述第一端口对应的端口配置信息。

6.一种数据报文处理装置，其特征在于，包括：

检测单元，用于接收到数据报文后，检测所述数据报文是否为带标签的数据报文，得到检测结果；

配置信息获取单元，用于根据所述检测结果确定所述数据报文为不带标签的数据报文时，则获取接收所述数据报文的第一端口的端口配置信息；

数据报文处理单元，用于当所述端口配置信息中包含预设命令参数，则根据所述预设命令参数丢弃所述数据报文；

其中，所述预设命令参数包括第一命令和/或第二命令，数据报文处理单元还根据所述配置信息确定所述第一端口是否配置第一命令，如果是，则丢弃所述数据报文；否则当确定所述数据报文的标签为缺省标签，则判断所述第一端口是否配置第二命令，如果是，则丢弃所述数据报文。

7.如权利要求6所述的数据报文处理装置，其特征在于，配置信息获取单元还用于查询第一端口对应的端口表获取所述第一端口对应的端口配置信息。

8.如权利要求6所述的数据报文处理装置，其特征在于，配置信息获取单元还用于查询网络处理器器公共寄存器获取所述第一端口对应的端口配置信息。