CN103209092B - 广播风暴抑制方法及系统 - Google Patents

Abstract

本发明公开了一种广播风暴抑制方法及系统，所述方法包括：客户端侧向网关设备发送广播数据包；网关设备接收所述广播数据包，根据广播数据包的类型对所述广播数据包进行筛选，保留设定类型的广播数据包。本发明通过网关设备对广播数据包进行筛选，只保留设定类型的广播数据包，极大减少隧道间的广播报文泛洪，保证系统的稳定运行。

Description

广播风暴抑制方法及系统

技术领域

本发明涉及通信技术领域，尤其涉及一种广播风暴抑制方法及系统。

背景技术

由于网络拓扑的设计和连接问题或其他原因导致广播在网段内大量复制、传播数据帧，并占用大量网络带宽，影响系统性能，导致正常业务不能运行，甚至网络瘫痪，这就是发生了广播风暴。当协议栈运行或网络配置出现错误时也可能导致广播风暴。

地址解析协议(AddressResolutionProtocol，ARP)是获取物理地址的一个传输控制协议/因特网互联协议（TransmissionControlProtocol/InternetProtocol，TCP/IP协议）。某节点的IP地址的ARP请求被广播到网络上后，这个节点会收到确认其物理地址的应答，这样的数据包才能被传送出去。

动态主机配置协议(DynamicHostConfigurationProtocol，DHCP)是一个局域网的网络协议，使用用户数据包协议（UserDatagramProtocol，UDP）协议工作，主要有两个用途：给内部网络或网络服务供应商自动分配IP地址，给用户或者内部网络管理员作为对所有计算机作中央管理的手段。

因为ARP和DHCP之类的协议要使用到广播功能，所以不能在网络中完全禁止广播的使用。虽然可以通过划分许多虚拟局域网（VirtualLocalAreaNetwork，VLAN）来缩小广播域，但是这样会增加网络的复杂性，并带来难以管理的后果。这时所能做的就是利用广播抑制功能管理网络上的广播情况，以防止广播风暴的出现。

如图1的拓扑图所示，在某个无线局域网络(WirelessLocalAreaNetworks，WLAN)中，各个访问节点(AccessPoint，AP)通过3G/4G回传网络与多业务网关设备（如SkspruceGateway系列多业务网关设备，以下简称SKG）连接，AP与SKG之间已建立隧道（Tunnel），分别以T.1、T.2、…、T.N表示。每个AP可有多个服务集标识（ServiceSetIdentifier，SSID），每个SSID对应一个VLAN。

由图1可知，当一个用户U1通过AP1与SKG连接后，所发出的广播包会经过隧道T1和T2被广播到VLAN101的所有用户中。当用户U1从AP1漫游到AP3，两个AP属于不同VLAN，为了保证漫游无缝，用户A的SSID不会切换仍然是Test1，但用户A所属VLAN会依据相应策略切换到VLAN102或VLAN103，这时用户的广播包就会在这些VLAN所属的隧道中广播。当大量用户同时漫游到同一个VLAN中时，该VLAN相应隧道中的广播就会大量增加。

在没有启用SKG的广播抑制功能前，为了避免因隧道中用户大量广播包而造成广播风暴，运营商不得不通过缩小VLAN中的用户数量和扩大VLAN个数的办法，来减少隧道中广播包的数量。但这种做法有个无法避免的缺点，就是可划分的VLAN（1-4096）个数是有限的，而且大量的VLAN也会增加网络复杂性，带来管理上的困难。

因此，在实际网络环境中，随着用户数的增加，网络运营商很可能将面临以下几个问题：

1、网络服务产生的大量广播数据包，在VLAN内泛洪（flooding），影响网络性能，比如网络输入输出系统(Networkbasicinput/outputsystem，NETBIOS)、反向地址转换协议（ReverseAddressResolutionProtocol，RARP）、通用属性注册协议（GenericAttributeRegistrationProtocol，GARP）类型的ARP数据包，和所有终端用户处发出的路由信息协议（RoutingInformationProtocol，RIP）、开放式最短路径优先(OpenShortestPathFirst，OSPF)协议、中间系统到中间系统（Intermediatesystemtointermediatesystem，ISIS）协议、增强内部网关路由线路协议（EnhancedInteriorGatewayRoutingProtocol，EIGRP）、DHCP提供（Offer）、DHCP确认（Acknowledge，ACK）、DHCP否定确认（NegativeAcknowledge，NAK）、网桥协议数据单元（BridgeProtocolDataUnit，BPDU）、思科发现协议（CiscoDiscoveryProtocol，CDP）数据包。

2、DHCP协议决定了其广播的运行机制。随着用户接入数量的增加，网络中的广播包数量将几何增长，极易造成VLAN内的广播包泛洪。

3、网关设备（如SKG）在回复广播请求时，也会进行多次广播，致使VLAN内的所有隧道都会收到广播回复。

4、同一VLAN内不同隧道间的用户相互通信时，也会产生大量的ARP请求报文。

发明内容

（一）要解决的技术问题

本发明要解决的技术问题是：提供一种广播风暴抑制方法及系统，以减少网络中的广播数据包，抑制广播风暴的发生。

（二）技术方案

为解决上述问题，一方面，本发明提供了一种广播风暴抑制方法，包括：

客户端侧向网关设备发送广播数据包；

网关设备接收所述广播数据包，根据广播数据包的类型对所述广播数据包进行筛选，保留设定类型的广播数据包。

优选地，所述客户端侧通过对应的节点以及所述节点与网关设备之间的隧道发送广播数据包。

优选地，所述设定类型的广播数据包包括动态主机配置协议DHCP广播数据包和/或地址解析协议ARP广播数据包。

优选地，所述广播数据包包括DHCP广播数据包；

在所述网关设备接收所述广播数据包的步骤之后还包括：

在所述网关设备侧对所述DHCP广播数据包进行DHCP监听。

优选地，所述DHCP监听的步骤包括：

阻止客户端侧通过对应隧道发送的DHCP广播数据包向其他隧道发送。

优选地，所述DHCP监听的步骤进一步包括：

所述客户端侧发送的DHCP广播数据包为DHCP发现报文和/或DHCP请求报文；

所述网关设备从所述DHCP发现报文和/或DHCP请求报文中提取对应客户端的IP地址、MAC地址和隧道信息；

通过所述对应客户端的IP地址、MAC地址和隧道信息向所述客户端所在的隧道返回对应的DHCP回复报文。

优选地，所述广播数据包包括DHCP广播数据包；

在所述网关设备接收所述广播数据包的步骤之后还包括：

对客户端侧发送的DHCP广播数据包中对应的DHCP报文生成相应的DHCP回复报文；

通过单播报文的方式将所述DHCP回复报文返回给对应的客户端。

优选地，所述客户端侧向网关设备发送的广播数据包包括发向其它隧道对应客户端的ARP广播数据包；

所述网关设备接收所述广播数据包的步骤之后还包括：

网关设备进行ARP代理，以网关设备的MAC地址直接回复客户端。

另一方面，本发明还提供了一种广播风暴抑制系统，包括：

客户端，用于向网关设备发送广播数据包；

网关设备，用于接收所述广播数据包，根据广播数据包的类型对所述广播数据包进行筛选，保留设定类型的广播数据包。

（三）有益效果

本发明通过网关设备对广播数据包进行筛选，只保留设定类型的广播数据包，极大减少隧道间的广播报文泛洪，保证系统的稳定运行。

本发明通过网关设备对广播数据包中的DHCP广播数据包进行DHCP监听，阻止客户端送出的DHCP广播数据包向其他隧道转发，从而控制一个隧道内的广播数据包数量。

本发明网关设备使用单播报文回应DHCPOffer，DHCPACK等协议报文，有效减少广播数据包泛洪。

本发明在同一VLAN内不同隧道间的用户相互通信时，通过使用网关设备进行ARP代理，减少了网络中的ARP广播数据包。

附图说明

图1为现有技术网络的组网拓扑图；

图2为根据本发明实施例一种广播风暴抑制方法的流程图；

图3为根据本发明实施例一种广播风暴抑制方法的广播数据包传递示意图；

图4为根据本发明实施例另一种广播风暴抑制方法的广播数据包传递示意图；

图5为根据本发明实施例又一种广播风暴抑制方法的广播数据包传递示意图；

图6为根据本发明实施例再一种广播风暴抑制方法的广播数据包传递示意图；

图7为根据本发明实施例另一种广播风暴抑制方法的流程图；

图8为根据本发明实施例一种广播风暴抑制系统的结构示意图；

图9为现有技术未进行广播风暴抑制的广播网络中广播数据包流量的示意图；

图10为根据本发明实施例应用在广播网络中的广播数据包流量示意图。

具体实施方式

下面结合附图及实施例对本发明进行详细说明如下。

实施例一：

图2所示为本实施例记载了一种广播风暴抑制方法的流程图，所述方法包括：

S210：客户端侧向网关设备发送广播数据包；

S220：网关设备接收所述广播数据包，根据广播数据包的类型对所述广播数据包进行筛选，保留设定类型的广播数据包。

在本实施例中，所述客户端侧通过对应的节点以及所述节点与网关设备之间的隧道发送广播数据包。

如图3所示，本实施例中编号为200的VLAN中包括四个客户端，分别是：第一客户端U1、第二客户端U2、第三客户端U3、第四客户端U4；其中，第一客户端U1和第二客户端U2通过第一访问节点AP1和第一隧道T1连接至网关设备SKG（在本实施例中，所述网关设备为SKG系列网关设备）；第三客户端U3和第四客户端U4通过第二访问节点AP2和第二隧道T2连接至网关设备SKG。由图2可以看出，第一客户端U1通过第一访问节点AP1和第一隧道T1向网关设备SKG发送广播数据包BP，在该广播数据包BP中可能包括DHCP广播数据包和ARP广播数据包，以及NETBIOS、RARP、GARP类型的ARP数据包和所有终端用户处发出的RIP、OSPF、ISIS、EIGRP、DHCPOffer、DHCPACK、DHCPNAK、BPDU、CDP数据包。

在本实施例中，所述设定类型的广播数据包包括DHCP广播数据包和/或ARP广播数据包；即网关设备SKG只允许DHCP广播数据包和ARP广播数据包通过，丢弃所有NETBIOS、RARP、GARP类型的ARP数据包，和所有终端用户处发出的RIP、OSPF、ISIS、EIGRP、DHCPOffer、DHCPACK、DHCPNAK、BPDU、CDP数据包，使得这些被丢弃的广播数据包不再向外广播，这将极大减少隧道间的广播报文泛洪，保证系统的稳定运行。

实施例二：

本实施例包括实施例一方法的内容，但是，进一步的，本实施例中，客户端发送的广播数据包包括DHCP广播数据包；

在所述网关设备接收所述广播数据包的步骤之后还包括：

在所述网关设备侧对所述DHCP广播数据包进行DHCP监听（DHCPSnooping），阻止客户端侧通过对应隧道发送的DHCP广播数据包向其他隧道发送。

客户端与网关设备进行DHCP报文交换的过程如下：

1）客户端在其子网内广播一个DHCP发现（DHCPDiscover）报文，此报文中包含关于网络地址和租用期选项的值；

2）收到这个报文的网关设备广播一个包含可提供的网络地址和其它配置信息的DHCP提供（DHCPOffer）报文；

3）客户端收到网关设备广播的DHCP提供报文后，向网关设备发送DHCP回复（DHCPRequest）报文。在这个请求报文中包含网关设备标识。假如客户端在定时器超时之前没有收到DHCP提供报文，则重发DHCP发现报文。

4）网关设备在收到DHCP回复报文后，假如可以满足请求报文中的请求则发回一个DHCP确认（DHCPAck）报文作为响应，假如不能满足请求则发回DHCP否定确认（DHCPNAK）报文作为响应。网关设备在DHCP提供报文中提供给客户端的地址不能提供给另外一个客户端，但假如网关设备没有收到客户端的DHCP请求报文则可以把在DHCP提供报文中提供给客户端的地址提供给另外的客户端。

5）客户端在收到包含配置参数的DHCP确认报文后，对报文中提供的配置参数进行检查，同时进行配置。假如客户端收到DHCP否定确认报文则重新开始整个过程。

本实施例中，DHCP监听技术通过建立和维护DHCP监听绑定表（DHCPSnoopingTable）过滤不可信任的DHCP信息，这些信息是指来自不信任区域的DHCP信息。DHCP监听绑定表包含不信任区域的用户MAC地址、IP地址、租用期、VLAN-ID接口等信息。当网关设备开启了DHCP监听后，会对DHCP报文进行监听，并可以从接收到的DHCP请求（DHCPRequest）或DHCP确认（DHCPAck）报文中提取并记录IP地址和MAC地址信息。

其中，如果所述客户端侧发送的DHCP广播数据包为DHCP发现报文和/或DHCP请求报文；

所述网关设备从所述DHCP发现报文和/或DHCP请求报文中提取对应客户端的IP地址、MAC地址和隧道信息；

通过所述对应客户端的IP地址、MAC地址和隧道信息向所述客户端所在的隧道返回对应的DHCP回复报文，所述回复报文包括与所述DHCP发现报文对应的DHCP提供报文，以及与所述DHCP请求报文对应的DHCP确认报文或DHCP否定确认报文。

图4所示为本实施例通过DHCP监听将DHCP回复报文返回到对应隧道的示意图。其中图4所示的网络结构与图3所示的网络结构相同，包括四个用户端，本实施例中以第一客户端U1发出DHCP发现报文（DHCPDiscover）为例。第一客户端U1通过第一访问节点AP1和第一隧道T1发出DHCP发现报文至网关设备SKG，网关设备SKG通过DHCP监听功能从所述DHCP发现报文中提取IP地址、MAC地址和隧道信息，并生成与所述DHCP发现报文对应的DHCP提供报文，根据提取的IP地址、MAC地址和隧道信息将所述DHCP提供报文直接回复到第一客户端U1所在第一隧道T1中，不会蔓延到其他隧道（如第二隧道T2）中去，减少了第一隧道T1以外的其它隧道中的广播数据包数量。

由上可以看出，本实施例在实施例一的基础上，进一步减少了隧道中的广播数据包数量，减少发生广播风暴的可能。

实施例三：

本实施例包括实施例一方法的内容，但是，进一步的，本实施例中，所述广播数据包包括DHCP广播数据包；

在所述网关设备接收所述广播数据包的步骤之后还包括：

对客户端侧发送的DHCP广播数据包中对应的DHCP报文生成相应的DHCP回复报文（与所述DHCP发现报文对应的DHCP提供报文，以及与所述DHCP请求报文对应的DHCP确认报文或DHCP否定确认报文）；

通过单播报文的方式将所述DHCP回复报文返回给对应的客户端。

其中，单播是在网络中从源地到目的地转发单播通信的过程，单播通信是去往一个独特的地址的。在这种情况下，仅有一个发送者，和一个接受者，在本实施例中，该发送者为网关设备，接受者为对应的客户端，此时信息的接收和传递只在这两点之间进行。

图5所示为本实施例中通过单播回复的方式对DHCP广播数据包进行报文回复的示意图。由图5可以看出，本实施例的网络结构与图4所示的网络结构基本相同。与本实施例与图4所示的通过DHCP监听的方式的不同之处在于，本实施例中通过单播回复的方式，第一客户端U1发出的DHCP发现报文发送至网关设备SKG之后，SKG通过单播回复的方式将对应的DHCP提供报文通过第一隧道T1和第一访问节点AP1直接回复到第一客户端U1。而在图3所示的实施例中，与第一客户端U1共享第一隧道T1的第二客户端U2也会收到网关设备SKG返回的DHCP提供报文，因此本实施例进一步减少了网络中的广播数据包数量，有效减少广播报文泛洪。

实施例四：

本实施例包括实施例一方法的内容，但是，进一步的，本实施例中，所述客户端侧向网关设备发送的广播数据包包括发向其它隧道对应客户端的ARP广播数据包；

所述网关设备接收所述广播数据包的步骤之后还包括：

网关设备进行ARP代理（ARPProxy），以网关设备的MAC地址直接回复客户端。即网关设备收到源客户端的ARP请求会使用自己的MAC地址与目标客户端的IP地址对源计算机进行应答。

图6所示为本实施例通过ARP代理在不同隧道间传递ARP广播数据包的示意图。由图6可以看出，本实施例的网络结构与图3所示的网络结构基本相同。第一用户U1通过第一访问节点AP1和第一隧道T1向网关设备SKG发送ARP广播数据包，网关设备SKG作为ARP中继根据第一用户U1的ARP请求（ARPRequest）返回以网关设备SKG的MAC地址作为回应的ARP响应（ARPReply）。当第一用户U1收到来自网关设备SKG的ARPReply后，第一用户U1将发送目的MAC为网关设备SKG、目的IP为第四用户U4的IP报文到网关设备SKG，网关设备SKG收到第一用户U1发送的报文后，会将报文转发到第二隧道T2并发送到第四用户U4。

本实施例适用于客户端需要与不同隧道之间客户端通信的情况。现有技术中，在不同隧道之间客户端进行通信时，根据IP地址判断与另一个客户端处于同一网段，通过不断重复广播ARP来寻找另一个客户端。而本发明通过将网关设备SKG作为ARP中继，保证不同隧道之间的客户端数据业务正常，同时也避免重复广播ARP造成的大量无用广播包。

实施例五：

本实施例中包括实施例一、实施例二中DHCP监听的步骤、实施例三中的单播回复步骤以及实施例四中的ARP代理步骤，如图7所示，本实施例的方法具体包括：

S710：客户端侧向网关设备发送广播数据包；

S720：网关设备接收所述广播数据包，根据广播数据包的类型对所述广播数据包进行筛选，保留设定类型的广播数据包；其中，所述设定类型的广播数据包包括DHCP广播数据包和ARP广播数据包；

S730：在所述网关设备侧对所述DHCP广播数据包进行DHCP监听，阻止客户端侧通过对应隧道发送的DHCP广播数据包向其他隧道发送；

S740：对客户端侧发送的DHCP广播数据包中对应的DHCP报文生成相应的DHCP回复报文，通过单播报文的方式将所述DHCP回复报文返回给对应的客户端；

S750：对客户端侧发向其它隧道对应客户端的ARP广播数据包，网关设备进行ARP代理（ARPProxy），以网关设备的MAC地址直接回复客户端。

本实施例通过多种方式来减少网络中的广播数据包，极大的减少了广播风暴发生的可能性。

实施例六：

图8所示为本实施例记载的一种广播风暴抑制系统，包括：

客户端810，用于向网关设备820发送广播数据包；

网关设备820，用于接收所述广播数据包，根据广播数据包的类型对所述广播数据包进行筛选，保留设定类型的广播数据包。

图9所示为现有技术中未进行广播风暴抑制的广播网络中广播数据包流量的示意图。未进行广播抑制时，广播数据包会泛洪（flooding）到所有隧道，如图9所示，第一客户端U1产生的广播请求（BroadcastRequest）将泛洪到所有的隧道；同时，大量的广播回复（BroadcastRespond）也会在VLAN中传播。

假设网关设备SKG下挂了10000个访问节点，以100个VLAN为例，每个VLAN中包括100个访问节点AP1至APN，每个访问节点包含2个活动用户和18个闲置用户。NetBIOS广播每隔30秒发送一次，ARP广播每隔600秒发送一次，DHCP广播每隔600秒发送一次，在没有开启广播抑制功能时，每秒每个VLAN中广播包的数目如下：

NetBIOS广播包：（100*2）*（100*20）/30=13,333pps

ARP广播包：（100*2）*（100*20）/600=667pps

DHCP广播包：（100*2）*（100*20）/600=667pps

因此，每秒每个板卡中广播包的总数将达到：（13333+667+667）*100VLAN=1,466,700pps。

图10为本实施例广播风暴抑制系统的广播网络流量示意图。本实施例的广播风暴抑制系统采用了实施例五的广播风暴抑制方法。由图10可以看出，当通过网关设备SKG进行广播抑制后，网络中多余的广播包将大大减少，开启广播抑制功能后，每秒每个VLAN中的广播包数目如下：

NetBIOS广播包：10000/30=333pps

ARP广播包：10000/600=15pps

DHCP广播包：10000/600=15pps

即，在本实施例中，进行广播数据包类型筛选后，可以使NetBIOS报文减少到333pps；通过网关设备进行ARP代理功能可以使ARP广播报文减少到15pps；通过网关设备进行DHCP监听功能可以使DHCP广播报文减少到15pps。

每秒每个板卡中广播包的总数为：333+15+15=363pps

对比开启广播抑制功能前后广播包的数量：363/1,466,700=0.0247%

可见在开启广播抑制后，广播数据包的数量减少了99%以上。

本发明大大降低了网络风暴的可能性，实现了稳定的系统性能和业务数据处理能力。

以上实施方式仅用于说明本发明，而并非对本发明的限制，有关技术领域的普通技术人员，在不脱离本发明的精神和范围的情况下，还可以做出各种变化和变型，因此所有等同的技术方案也属于本发明的范畴，本发明的专利保护范围应由权利要求限定。

Claims (6)

1.一种广播风暴抑制方法，其特征在于，包括：

客户端侧向网关设备发送广播数据包；

网关设备接收所述广播数据包，根据广播数据包的类型对所述广播数据包进行筛选，保留设定类型的广播数据包；

其中，所述广播数据包包括：DHCP广播数据包、ARP广播数据包，以及所有终端用户处发出的RIP、OSPF、ISIS、EIGRP、BPDU、CDP数据包；所述设定类型的广播数据包包括：DHCP广播数据包和/或ARP广播数据包；

所述客户端侧发送的广播数据包包括DHCP广播数据包，则在所述网关设备接收所述广播数据包的步骤之后还包括：在所述网关设备侧对所述DHCP广播数据包进行DHCP监听，阻止客户端侧通过对应隧道发送的DHCP广播数据包向其他隧道发送；

其中，所述DHCP监听通过建立和维护DHCP监听绑定表过滤不可信任的DHCP信息，所述信息是指来自不信任区域的DHCP信息；其中，所述DHCP监听绑定表包含不信任区域的用户MAC地址、IP地址、租用期、VLAN-ID接口信息。

2.如权利要求1所述的方法，其特征在于，所述客户端侧通过对应的节点以及所述节点与网关设备之间的隧道发送广播数据包。

3.如权利要求1所述的方法，其特征在于，所述DHCP监听的步骤进一步包括：

所述客户端侧发送的DHCP广播数据包为DHCP发现报文和/或DHCP请求报文；

所述网关设备从所述DHCP发现报文和/或DHCP请求报文中提取对应客户端的IP地址、MAC地址和隧道信息；

通过所述对应客户端的IP地址、MAC地址和隧道信息向所述客户端所在的隧道返回对应的DHCP回复报文。

4.如权利要求1所述的方法，其特征在于，所述客户端侧发送的广播数据包包括DHCP广播数据包；

在所述网关设备接收所述广播数据包的步骤之后还包括：

对客户端侧发送的DHCP广播数据包中对应的DHCP报文生成相应的DHCP回复报文；

通过单播报文的方式将所述DHCP回复报文返回给对应的客户端。

5.如权利要求1所述的方法，其特征在于，所述客户端侧向网关设备发送的广播数据包包括发向其它隧道对应客户端的ARP广播数据包；

所述网关设备接收所述广播数据包的步骤之后还包括：

网关设备进行ARP代理，以网关设备的MAC地址直接回复客户端。

6.一种广播风暴抑制系统，其特征在于，包括：

客户端，用于向网关设备发送广播数据包；

网关设备，用于接收所述广播数据包，根据广播数据包的类型对所述广播数据包进行筛选，保留设定类型的广播数据包；

其中，所述广播数据包包括：DHCP广播数据包、ARP广播数据包，以及所有终端用户处发出的RIP、OSPF、ISIS、EIGRP、BPDU、CDP数据包；所述设定类型的广播数据包包括：DHCP广播数据包和/或ARP广播数据包；

所述客户端侧发送的广播数据包包括DHCP广播数据包，则所述网关设备还用于：对所述DHCP广播数据包进行DHCP监听，阻止客户端侧通过对应隧道发送的DHCP广播数据包向其他隧道发送；

其中，所述DHCP监听通过建立和维护DHCP监听绑定表过滤不可信任的DHCP信息，所述信息是指来自不信任区域的DHCP信息；其中，所述DHCP监听绑定表包含不信任区域的用户MAC地址、IP地址、租用期、VLAN-ID接口信息。