CN106130985A - 一种报文处理方法及装置 - Google Patents

Abstract

本发明提供一种报文处理方法及装置，该方法包括：接收多个ARP报文；根据各个ARP报文的发送端IP地址查找ARP表项；将命中ARP表项的ARP报文存入第一队列，将未命中ARP表项的ARP报文存入第二队列；其中所述第一队列的调度优先级低于所述第二队列的调度优先级；将所述第一队列和所述第二队列中的ARP报文上送处理器学习。本发明通过区分队列以及预设队列的调度优先级，降低ARP攻击对正常ARP学习的影响。

Description

一种报文处理方法及装置

技术领域

本发明涉及网络通信技术领域，尤其涉及一种报文处理方法及装置。

背景技术

ARP(Address Resolution Protocol，地址解析协议)是一种根据IP(InternetProtocol，网际协议)地址获取物理地址的协议。网络设备通过接收对端设备发送的ARP报文学习对端设备的物理地址，生成基于对端设备IP地址和物理地址的ARP表项，从而根据ARP表项中记录的物理地址完成对IP报文的封装转发给对端设备。

当网络设备在ARP表项学习过程中受到ARP攻击时，常常由于处理大量的ARP攻击报文，而无法及时处理正常的ARP报文，甚至将正常的ARP报文丢弃，影响ARP学习。

发明内容

有鉴于此，本发明提供一种报文处理方法及装置。

具体地，本发明是通过如下技术方案实现的：

本发明提供一种报文处理方法，该方法包括：

接收多个地址解析协议ARP报文；

根据各个ARP报文的发送端网际协议IP地址查找ARP表项；

将命中ARP表项的ARP报文存入第一队列，将未命中ARP表项的ARP报文存入第二队列；其中所述第一队列的调度优先级低于所述第二队列的调度优先级；

将所述第一队列和所述第二队列中的ARP报文上送处理器学习。

本发明还提供一种报文处理装置，该装置包括：

接收模块，用于接收多个地址解析协议ARP报文；

查找单元，用于根据各个ARP报文的发送端网际协议IP地址查找ARP表项；将命中ARP表项的ARP报文存入第一队列，将未命中ARP表项的ARP报文存入第二队列；其中所述第一队列的调度优先级低于所述第二队列的调度优先级；

发送单元，用于将所述第一队列和所述第二队列中的ARP报文上送处理器学习。

由以上描述可以看出，本发明通过区分队列(命中ARP表项的ARP报文存入第一队列，将未命中ARP表项的ARP报文存入第二队列)以及设置队列的调度优先级，提高未命中ARP表项的ARP报文(通常为未学习过的ARP报文或表项老化后重新学习的ARP报文)的上送速度，降低ARP攻击报文对正常ARP学习报文的影响。

附图说明

图1是本发明一示例性实施例示出的一种报文处理方法流程图；

图2是本发明另一示例性实施例示出的一种报文处理方法流程图；

图3是本发明一示例性实施例示出的一种应用于转发芯片的报文处理装置的结构示意图；

图4是图3中报文处理装置收到ARP报文后的处理过程示意图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本发明相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本发明的一些方面相一致的装置和方法的例子。

在本发明使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本发明。在本发明和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本发明可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本发明范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

ARP是一种根据IP地址获取物理地址的协议。网络设备在向对端设备发送IP报文之前，获取对端设备的物理地址，根据该物理地址对IP报文进行封装后转发给对端设备。

网络设备获取对端设备物理地址的过程即为ARP学习过程，具体为，接收对端设备发送的ARP报文(ARP请求报文/ARP响应报文)，将ARP报文上送CPU(Central ProcessingUnit，中央处理器)处理，CPU根据ARP报文携带的对端设备的物理地址和IP地址生成ARP表项，并将该ARP表项同步给网络设备的转发芯片，转发芯片根据该ARP表项封装后续发送给对端设备的IP报文。

网络设备在正常ARP学习过程中，可能接收到大量的ARP攻击报文，这些ARP攻击报文同样上送CPU处理，这将影响正常ARP报文的处理进度，甚至导致正常ARP报文被丢弃，无法完成ARP学习。

针对上述问题，本发明实施例提出一种报文处理方法，该方法将命中ARP表项的ARP报文与未命中ARP表项的ARP报文分别存入具有不同调度优先级的队列，根据调度优先级将不同队列中的ARP报文上送CPU学习。

参见图1，为本发明报文处理方法的一个实施例流程图，该实施例对报文处理过程进行描述。

步骤101，接收多个ARP报文。

网络设备接收的ARP报文可能是正常的ARP学习报文，也可能是ARP攻击报文。无论是ARP学习报文还是ARP攻击报文，对于网络设备来说，都只体现为ARP报文。

网络设备在接收到ARP报文后，首先对ARP报文进行合法性判断。例如，对于接收的ARP请求报文，当该ARP请求报文的目的IP地址匹配入接口的IP地址，且发送端IP地址与网络设备接口地址在同一网段时，认为该ARP请求报文通过了合法性判断；对于接收的ARP响应报文，当该ARP响应报文的以太网头的MAC地址和内层目的MAC地址都匹配网络设备的MAC地址时，认为该ARP响应报文通过了合法性判断。通过合法性判断的ARP报文执行后续处理，而未通过合法性判断的ARP报文直接丢弃。

步骤102，根据各个ARP报文的发送端IP地址查找ARP表项。

网络设备在接收到ARP报文后，将ARP报文与本地记录的ARP表项进行匹配，确认当前ARP报文是否命中ARP表项。具体地，网络设备可从接收的ARP报文中获取发送端IP(sender IP)地址，将该IP地址与ARP表项中的IP地址进行匹配，若匹配成功，则确认ARP报文命中ARP表项；否则，确认ARP报文未命中ARP表项。

步骤103，将命中ARP表项的ARP报文存入第一队列，将未命中ARP表项的ARP报文存入第二队列。

对于接收的ARP报文，网络设备会预留一定的存储空间缓存ARP报文，以下将缓存ARP报文的存储空间称为队列。本发明实施例划分了两个队列：第一队列和第二队列，其中，第一队列用于存放命中ARP表项的ARP报文；第二队列用于存放未命中ARP表项的ARP报文。

网络设备通过步骤102确认ARP报文是否命中ARP表项后，将ARP报文存入对应队列，并为每一个队列设置调度优先级，其中，第一队列的调度优先级低于第二队列的调度优先级。该调度优先级的设置充分利用ARP攻击报文集中大批量的特点，ARP攻击报文因频繁命中ARP表项而存入第一队列，而那些首次进行ARP学习或由于ARP表项老化需要重新学习的ARP报文则会因未命中ARP表项而存入第二队列，因此，通过适当提高第二队列的调度优先级，可以使正常的ARP学习报文优先上送CPU处理，降低ARP攻击报文对正常ARP学习报文的影响。

步骤104，将第一队列和第二队列中的ARP报文上送处理器学习。

按照步骤103中设置的调度优先级完成ARP报文的上送。

在一种实施方式中，该调度优先级可体现为调度比例，例如，设定第一队列和第二队列的调度比例为1:3，则第一队列上送1个ARP报文后，第二队列上送3个ARP报文，如此循环，执行ARP报文上送。

在另一种实施方式中，该调度优先级仅体现为高低之分，即只要调度优先级高的第二队列中有ARP报文，就优先上送第二队列中的ARP报文，在第二队列中没有ARP报文时，上送第一队列中的ARP报文。

当然，也可以将上述两种实施方式结合起来使用，具体可根据现网运行情况动态调整。

本发明实施例还可以根据ARP报文的报文类型(ARP请求报文\ARP响应报文)继续细化队列，具体为，第一队列可包括第一子队列和第二子队列，将命中ARP表项的ARP请求报文存入第一子队列，将命中ARP表项的ARP响应报文存入第二子队列；第二队列可包括第三子队列和第四子队列，将未命中ARP表项的ARP请求报文存入第三子队列，将未命中ARP表项的ARP响应报文存入第四子队列。

在前述第一队列和第二队列的调度优先级的基础上，可进一步设定同一队列中各子队列之间的调度优先级。以采用调度比例设置调度优先级为例，假设第一队列和第二队列的调度比例为1:3，第三子队列和第四子队列的调度比例为2:1，则第一队列上送1个ARP报文，第二队列上送3个ARP报文(第三子队列上送2个ARP请求报文，第四子队列上送1个ARP响应报文)。可见，通过队列细化，可使ARP报文的调度更加灵活，可以根据现网运行情况精细调整。

由上述描述可以看出，本发明将命中ARP表项的ARP报文和未命中ARP表项的ARP报文存入具有不同调度优先级的队列，再按照调度优先级将不同队列中的ARP报文上送CPU处理，可提高正常ARP报文的学习效率。

现以网络设备受ARP攻击为例，详细介绍报文处理过程。参见图2，为本实施例示出的报文处理流程图。

步骤201，接收ARP报文。

步骤202，判断ARP报文是否合法。当ARP报文未通过合法性判断时，转步骤203；当ARP报文通过合法性判断时，转步骤204。

步骤203，丢弃ARP报文。

步骤204，判断ARP报文是否命中ARP表项。当ARP报文命中ARP表项时，转步骤205；当ARP报文未命中ARP表项时，转步骤206。

步骤205，将ARP报文存入A队列。

ARP攻击报文会频繁命中ARP表项，因此，进入A队列；已学习过的正常的ARP报文在命中ARP表项后也会进入A队列。

步骤206，将ARP报文存入B队列。

首次进行ARP学习的ARP报文无法命中ARP表项，因此，进入B队列；已学习过的ARP报文(命中ARP表项的ARP报文)如果由于大量ARP攻击报文的存在而被丢弃(A队列满，无法进入A队列)，则会在对应ARP表项老化后进入B队列。

步骤207，获取预设的调度比例。假设，A队列与B队列的调度比例为1:3。

步骤208，按照调度比例将A队列和B队列中的ARP报文上送CPU学习。

假设，从A队列中选择1个ARP报文上送CPU，则从B队列中连续选择3个ARP报文上送CPU。通过提高B队列的比例，提升正常ARP学习报文的处理效率。

现以网络设备接收大量免费ARP报文为例，详细介绍报文处理过程，具体处理流程参见图2。

步骤201，接收ARP报文。

步骤202，判断ARP报文是否合法。当ARP报文未通过合法性判断时，转步骤203；当ARP报文通过合法性判断时，转步骤204。

步骤203，丢弃ARP报文。

步骤204，判断ARP报文是否命中ARP表项。当ARP报文命中ARP表项时，转步骤205；当ARP报文未命中ARP表项时，转步骤206。

步骤205，将ARP报文存入A队列。

周期性发送的免费ARP报文(用于ARP学习)会命中ARP表项进入A队列。

步骤206，将ARP报文存入B队列。

若大批量免费ARP报文导致A队列溢出，则后续接收到的免费ARP报文被丢弃，最终导致对应ARP表项老化。当再次接收到这些位置靠后的免费ARP报文时，由于未命中ARP表项而进入B队列。

步骤207，获取预设的调度比例。假设，A队列与B队列的调度比例为1:3。

步骤208，按照调度比例将A队列和B队列中的ARP报文上送CPU学习。

通过划分队列，为表项老化的ARP报文预留调度空间，并通过提升B队列的调度比例，快速响应表项老化的ARP报文的学习。

进一步地，如果B队列又分为B1子队列(存放未命中ARP表项的ARP请求报文)和B2子队列(存放未命中ARP表项的ARP响应报文)，由于免费ARP报文为ARP请求报文，因此，会存入B1子队列。此时，可进一步设置B1和B2的调度比例，假设为5:1，即进一步提升免费ARP报文的处理效率。

与前述报文处理方法的实施例相对应，本发明还提供了报文处理装置的实施例。

图3所示为本发明提供的报文处理装置，应用于网络设备的转发芯片，该报文处理装置包括接收模块、查找单元、发送单元以及存储单元，其中：

存储单元，用于存储ARP表项；

接收模块，用于接收多个地址解析协议ARP报文；

查找单元，用于根据各个ARP报文的发送端网际协议IP地址查找ARP表项；将命中ARP表项的ARP报文存入第一队列，将未命中ARP表项的ARP报文存入第二队列；其中所述第一队列的调度优先级低于所述第二队列的调度优先级；

发送单元，用于将所述第一队列和所述第二队列中的ARP报文上送处理器学习。

进一步地，所述装置还包括：

检查模块，用于在所述查找单元根据各个ARP报文的发送端IP地址查找ARP表项之前，对各个ARP报文进行合法性判断；丢弃未通过合法性判断的ARP报文。

进一步地，所述第一队列包括第一子队列和第二子队列；

所述查找单元，具体用于将命中ARP表项的ARP请求报文存入所述第一子队列，将命中ARP表项的ARP响应报文存入所述第二子队列。

进一步地，所述第二队列包括第三子队列和第四子队列；

所述查找单元，具体用于将未命中ARP表项的ARP请求报文存入所述第三子队列，将未命中ARP表项的ARP响应报文存入所述第四子队列；其中第三子队列的调度优先级高于第四子队列的调度优先级。

上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

图4所示为图3中报文处理装置收到ARP报文后的处理过程，具体内容再次不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本发明方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (8)

1.一种报文处理方法，其特征在于，该方法包括：

接收多个地址解析协议ARP报文；

根据各个ARP报文的发送端网际协议IP地址查找ARP表项；

将命中ARP表项的ARP报文存入第一队列，将未命中ARP表项的ARP报文存入第二队列；其中所述第一队列的调度优先级低于所述第二队列的调度优先级；

将所述第一队列和所述第二队列中的ARP报文上送处理器学习。

2.如权利要求1所述的方法，其特征在于，所述根据各个ARP报文的发送端IP地址查找ARP表项之前，还包括：

对各个ARP报文进行合法性判断；

丢弃未通过合法性判断的ARP报文。

3.如权利要求1所述的方法，其特征在于：所述第一队列包括第一子队列和第二子队列；

将命中ARP表项的ARP请求报文存入所述第一子队列，将命中ARP表项的ARP响应报文存入所述第二子队列。

4.如权利要求1所述的方法，其特征在于：所述第二队列包括第三子队列和第四子队列；

将未命中ARP表项的ARP请求报文存入所述第三子队列，将未命中ARP表项的ARP响应报文存入所述第四子队列；其中第三子队列的调度优先级高于第四子队列的调度优先级。

5.一种报文处理装置，其特征在于，该装置包括：

接收模块，用于接收多个地址解析协议ARP报文；

查找单元，用于根据各个ARP报文的发送端网际协议IP地址查找ARP表项；将命中ARP表项的ARP报文存入第一队列，将未命中ARP表项的ARP报文存入第二队列；其中所述第一队列的调度优先级低于所述第二队列的调度优先级；

发送单元，用于将所述第一队列和所述第二队列中的ARP报文上送处理器学习。

6.如权利要求5所述的装置，其特征在于，所述装置还包括：

检查模块，用于在所述查找单元根据各个ARP报文的发送端IP地址查找ARP表项之前，对各个ARP报文进行合法性判断；丢弃未通过合法性判断的ARP报文。

7.如权利要求5所述的装置，其特征在于：所述第一队列包括第一子队列和第二子队列；

所述查找单元，具体用于将命中ARP表项的ARP请求报文存入所述第一子队列，将命中ARP表项的ARP响应报文存入所述第二子队列。

8.如权利要求5所述的装置，其特征在于：所述第二队列包括第三子队列和第四子队列；

所述查找单元，具体用于将未命中ARP表项的ARP请求报文存入所述第三子队列，将未命中ARP表项的ARP响应报文存入所述第四子队列；其中第三子队列的调度优先级高于第四子队列的调度优先级。