CN107105072B - 一种创建arp表项的方法和装置 - Google Patents

Abstract

本申请提供一种创建ARP表项的方法和装置，应用于网关设备，其中所述网关设备上预配置了若干认证网段。所述方法包括：当接收到业务报文时，获取所述业务报文的目的IP；当所述目的IP在所述预配置的若干认证网段中的任一网段内时，查询与所述目的IP对应的本地主机是否为已完成接入认证的本地主机；如果是，学习并创建与所述目的IP对应的ARP表项。采用本申请提供的技术方案，可以避免大量无效ARP表项占满ARP表项的存储空间，导致正常业务报文的ARP表项无法正常学习。

Description

一种创建ARP表项的方法和装置

技术领域

本申请涉及网络通信技术领域，特别涉及一种创建ARP表项的方法和装置。

背景技术

在网络中，一个设备要和另一个设备进行通信时，需要知道目的设备的MAC地址，然而本端设备只知道目的设备的IP地址，此时，本端设备就会触发ARP(AddressResolution Protocol，地址解析协议)学习，获取目的设备的MAC地址，并根据获取到的目的设备的MAC地址与目的设备的IP地址创建ARP表项，所述ARP表项中保存了IP地址与MAC地址的映射关系。

其中，所述ARP学习是指在网络中广播携带目的IP地址的ARP请求报文。当所述目的设备与本端设备不在同一个局域网时，本端设备可以将单播报文发送至网关设备。当网关设备接收到单播报文时，就可以基于所述单播报文中的目的IP地址创建ARP表项。其中，此时创建生成的ARP表项中没有包括MAC地址。然后网关设备可以触发ARP学习机制，广播携带所述目的IP地址的ARP请求报文，并在接收到ARP响应报文后，将所述ARP响应报文中携带的MAC地址写入所述ARP表项中。

当所述单播报文的目的IP地址不存在或者是离散时，那么网关设备建立的ARP表项就变成了无效的ARP表项。通常，网关设备上直连了若干范围大小不同的网段。当所述目的IP在范围比较大的网段内时，如果网关设备接收到大量所述单播报文，网关设备就会创建大量的无效ARP表项。然而，网关设备上用于存储ARP表项的空间有限。当所述存储ARP表项的空间中存储了大量无效的ARP表项，导致所述空间中无法继续存储其它ARP表项时，就会使正常业务报文的ARP表项无法正常学习，从而影响正常的业务。

发明内容

有鉴于此，本申请提供一种创建ARP表项的方法和装置，应用于网关设备。采用本申请提供的技术方法，可以解决离散IP的泛洪报文造成无效ARP表项占满ARP表项存储空间的情况。

具体地，本申请是通过如下技术方案实现的：

一种创建ARP表项的方法，应用于网关设备，所述网关设备上预配置了若干认证网段，包括：

当接收到业务报文时，获取所述业务报文的目的IP；

当所述目的IP在所述预配置的若干认证网段中的任一网段内时，查询与所述目的IP对应的本地主机是否为已完成接入认证的本地主机；

如果是，学习并创建与所述目的IP对应的ARP表项。

一种创建ARP表项的装置，应用于网关设备，所述网关设备上预配置了若干认证网段，包括：

获取单元，用于当接收到业务报文时，获取所述业务报文的目的IP；

查询单元，用于当所述目的IP在所述预配置的若干认证网段中的任一网段内时，查询与所述目的IP对应的本地主机是否为已完成接入认证的本地主机；

学习单元，用于如果是，学习并创建与所述目的IP对应的ARP表项。

当需要上网的本地主机的IP在网关设备预配置的若干认证网段中的任一网段内时，网关设备可以对所述本地主机进行接入认证。在接入认证成功后，网关设备可以保存所述本地主机的IP与MAC的绑定关系。当网关设备接收到所述本地主机发送的业务报文时，网关设备可以从所述业务报文中获取到目的IP。然后，网关设备可以判断所述目的IP是否在所述预配置的若干认证网段中的任一网段内。如果是，网关设备可以查询本地保存的IP与MAC的绑定关系中是否存在与所述目的IP对应的IP与MAC的绑定关系。如果存在，那么说明与所述目的IP对应的本地主机已经完成了接入认证，网关设备可以创建与所述目的IP对应的ARP表项。如果不存在，那么说明与所述目的IP对应的本地主机没有完成接入认证，网关设备可以将所述业务报文进行丢弃。

因此，当网关设备检测出接收到的业务报文的目的IP在会产生大量无效ARP表项的网段内时，网关设备可以通过查询本地是否保存了与所述目的IP对应的IP与MAC的绑定关系。如果存在，那么可以确定所述业务报文为已知单播报文。网关设备只有确定所述业务报文为已知单播报文后，才会创建与所述目的IP对应的ARP表项，从而可以避免大量无效ARP表项占满ARP表项的存储空间，导致正常业务报文的ARP表项无法正常学习。

附图说明

图1为本申请实施例示例性示出的一种创建ARP表项的方法流程图；

图2为本申请实施例示例性示出的一种创建ARP表项的场景示意图；

图3为本申请一种创建ARP表项的装置所在网关设备的一种硬件结构图；

图4为本申请实施例实施例示出的一种创建ARP表项的装置。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

在现有技术中，有三种方法来限制无效ARP表项的数量，分别为基于源IP的无效ARP表项数目的限制、基于端口的ARP表项数目的限制、基于VLAN的ARP表项数目的限制。

1)、基于源IP的无效ARP表项数目的限制

在该方法中，当网关设备接收到业务报文时，网关设备可以基于所述业务报文的目的IP地址创建ARP表项。其中，此时所述ARP表项中不包含与所述目的IP对应的MAC地址。网关设备可以触发ARP表项的学习机制，广播携带所述目的IP地址的ARP请求报文。当网关设备接收到所述ARP请求报文的响应报文时，从所述响应报文中读取MAC地址，将所述MAC地址添加至所述ARP表项中。

其中，如果所述业务报文的目的IP为离散的或者不存在的，那么网关设备基于所述目的IP创建的ARP表项就变成了无效的ARP表项。当网关设备接收到大量所述业务报文时，那么网关设备就会创建很多无效的ARP表项。其中，所述网关设备上预先针对源IP设置了无效ARP表项的阈值。如果所述业务报文从同一源IP发送至同一目的IP，网关设备可以实时检测为业务报文中的目的IP创建的ARP表项数量。当所述ARP表项数量超过预先针对所述源IP设置的无效ARP表项的阈值时，不再为所述目的IP创建ARP表项，从而减少无效ARP表项在ARP表项存储空间的存储。

然而，如果接收到大量不同源IP发送的业务报文，所述业务报文的目的IP地址均为离散的或者不存在的，那么网关设备仍然会创建大量的无效ARP表项，大量所述ARP表项仍然会占满ARP表项的存储空间，从而影响到正常的业务报文无法创建与学习ARP表项。

2)、基于端口的ARP表项数目的限制

在该方法中，当网关设备接收到业务报文时，网关设备可以基于所述业务报文的目的IP地址创建ARP表项。其中，此时所述ARP表项中不包含与所述目的IP对应的MAC地址。网关设备可以触发ARP表项的学习机制，广播携带所述目的IP地址的ARP请求报文。当网关设备接收到所述ARP请求报文的响应报文时，从所述响应报文中读取MAC地址，将所述MAC地址添加至所述ARP表项中。

其中，如果所述业务报文的目的IP为离散的或者不存在的，那么网关设备基于所述目的IP创建的ARP表项就变成了无效的ARP表项。当网关设备接收到大量所述业务报文时，那么网关设备就会创建很多无效的ARP表项。其中，所述网关设备上预先针对接收业务报文的端口设置了无效ARP表项的阈值。如果所述业务报文从同一端口接收到，并发送至同一目的IP，网关设备可以实时检测为业务报文中的目的IP创建的ARP表项数量。当所述ARP表项数量超过预先针对接收业务报文的端口设置的无效ARP表项的阈值时，不再为所述目的IP创建ARP表项，从而减少无效ARP表项在ARP表项存储空间的存储。

然而，如果从大量不同端口接收到业务报文，所述业务报文的目的IP地址均为离散的或者不存在的，那么网关设备仍然会创建大量的无效ARP表项，大量所述ARP表项仍然会占满ARP表项的存储空间，从而影响到正常的业务报文无法创建与学习ARP表项。

3)、基于VLAN的ARP表项数目的限制

在该方法中，当网关设备接收到业务报文时，网关设备可以基于所述业务报文的目的IP地址创建ARP表项。其中，此时所述ARP表项中不包含与所述目的IP对应的MAC地址。网关设备可以触发ARP表项的学习机制，广播携带所述目的IP地址的ARP请求报文。当网关设备接收到所述ARP请求报文的响应报文时，从所述响应报文中读取MAC地址，将所述MAC地址添加至所述ARP表项中。

其中，如果所述业务报文的目的IP为离散的或者不存在的，那么网关设备基于所述目的IP创建的ARP表项就变成了无效的ARP表项。当网关设备接收到大量所述业务报文时，那么网关设备就会创建很多无效的ARP表项。其中，所述网关设备上预先针对发送业务报文的本地主机所属的VLAN设置了无效ARP表项的阈值。如果发送所述业务报文的本地主机属于同一个VLAN，并发送至同一目的IP，网关设备可以实时检测为所述业务报文创建的ARP表项的数量。当所述ARP表项数量超过预先针对发送业务报文的本地主机所属的VLAN设置的无效ARP表项的阈值时，不再为所述目的IP创建ARP表项，从而减少无效ARP表项在ARP表项存储空间的存储。

然而，如果接收到大量属于不同VLAN的本地主机发送的业务报文，所述业务报文的目的IP地址均为离散的或者不存在的，那么网关设备仍然会创建大量的无效ARP表项，大量所述ARP表项仍然会占满ARP表项的存储空间，从而影响到正常的业务报文无法创建与学习ARP表项。

其中，上述三种限制无效ARP表项的方法均是根据某个特性降低无效ARP表项的数量，并不能完全解决无效ARP表项占满ARP表项存储空间的问题。

为了解决现有技术中的问题，本申请提出了一种创建ARP表项的方法，应用于网关设备。所述方法包括：当接收到业务报文时，获取所述业务报文的目的IP；当所述目的IP在所述预配置的若干认证网段中的任一网段内时，查询与所述目的IP对应的本地主机是否为已完成接入认证的本地主机；如果是，学习并创建与所述目标IP对应的ARP表项。

当需要上网的本地主机的IP在网关设备预配置的若干认证网段中的任一网段内时，网关设备可以对所述本地主机进行接入认证。在接入认证成功后，网关设备可以保存所述本地主机的IP与MAC的绑定关系。当网关设备接收到所述本地主机发送的业务报文时，网关设备可以从所述业务报文中获取到目的IP。然后，网关设备可以判断所述目的IP是否在所述预配置的若干认证网段中的任一网段内。如果是，网关设备可以查询本地保存的IP与MAC的绑定关系中是否存在与所述目的IP对应的IP与MAC的绑定关系。如果存在，那么说明与所述目的IP对应的本地主机已经完成了接入认证，网关设备可以创建与所述目的IP对应的ARP表项。如果不存在，那么说明与所述目的IP对应的本地主机没有完成接入认证，网关设备可以将所述业务报文进行丢弃。

因此，当网关设备检测出接收到的业务报文的目的IP在会产生大量无效ARP表项的网段内时，网关设备可以通过查询本地是否保存了与所述目的IP对应的IP与MAC的绑定关系。如果存在，那么可以确定所述业务报文为已知单播报文。网关设备只有确定所述业务报文为已知单播报文后，才会创建与所述目的IP对应的ARP表项，从而可以避免大量无效ARP表项占满ARP表项的存储空间，导致正常业务报文的ARP表项无法正常学习。

以下通过具体的实施例和示意图对本申请提出的技术方法进行描述。

请参见图1，图1为本申请实施例示例性示出的一种创建ARP表项的方法流程图。具体执行以下步骤：

步骤101：当接收到业务报文时，获取所述业务报文的目的IP；

步骤102：当所述目的IP在所述预配置的若干认证网段中的任一网段内时，查询与所述目的IP对应的本地主机是否为已完成接入认证的本地主机；

步骤103：如果是，学习并创建与所述目的IP对应的ARP表项。

在本申请中，网关设备开启了接入认证功能，当需要上网的本地主机的IP在网关设备预配置的若干认证网段中的任一网段内时，网关设备可以对所述本地主机进行接入认证。当本地主机接入认证成功后，网关设备可以保存分配给所述本地主机的IP与MAC的绑定关系。当网关设备接收到业务报文时，网关设备可以判断所述目的IP是否在所述预配置的若干认证网段内。如果是，可以查询所述业务报文的目的IP对应的本地主机是否为已完成接入认证的本地主机。如果是，学习并创建与所述目的IP对应的ARP表项。如果否，将所述业务报文进行丢弃。

在网络中，当网关设备接收到的业务报文的目的IP为离散或者不存在时，网关设备才会产生无效的ARP表项。其中，当所述目的IP所属的网段比较大时，网关设备会产生大量的无效ARP表项。

因此，为了避免网关设备产生大量的无效ARP表项，网关设备可以对属于大网段的本地主机进行验证。具体地，用户可以预先在网关设备上配置若干认证网段。其中，所述认证网段为需要进行接入认证的本地主机所属的网段。

需要说明的是，所述认证网段可以是用户预配置的，用户可以根据需求对所述认证网段进行调整，比如，用户也可以将网段范围小的网段预先配置到所述网关设备上，在本申请中，对网关设上预配置的所述若干认证网段的数量及大小不进行限定。

在示出的一种实施方式中，当任何本地主机需要上网时，网关设备可以检测所述本地主机的IP是否在所述预配置的认证网段中的任一网段内。如果是，网关设备需要对所述本地主机进行接入认证。在实现时，网关设备可以向发送所述业务报文的本地主机发送接入认证消息。当所述本地主机接收到所述接入认证消息后，所述本地主机可以向网关设备发送接入认证请求报文；其中，所述接入认证请求报文中携带了所述本地主机的认证信息。比如，所述认证信息可以包括分配给所述本地主机的源IP地址、MAC地址等信息。

在网关设备接收到所述本地主机发送的所述接入认证请求报文时，网关设备可以基于预先配置的认证机制对所述接入认证请求报文进行验证。其中，所述认证机制可以采用任何可实施的认证机制，在这里不对网关设备上预先配置的认证机制进行限定。比如，所述认证机制可以是Portal认证机制，也可以是远程拨号认证机制等。

当网关设备对所述本地主机发送的接入认证请求报文验证通过后，网关设备可以从所述接入认证请求报文中读取分配给所述本地主机的源IP地址与MAC地址。然后，网关设备可以建立分配给所述本地主机的IP与MAC之间的绑定关系，并将所述绑定关系保存于本地。其中，所述网关设备本地保存的若干绑定关系中的IP，均在所述网关设备上预配置的若干认证网段中。

由于本地主机在完成接入认证后，所述本地主机不会一直处于在线状态。当用户不再上网时，所述本地主机就会下线。如果所述本地主机处于下线状态，其它本地主机在向所述本地主机发送消息时，所述本地主机也无法响应于其它本地主机。此外，为了节约网关设备中保存IP与MAC的绑定关系的存储空间，所述网关设备可以在所述本地主机下线时，可以将与所述本地主机对应的IP与MAC的绑定关系进行删除。

在实现时，一种可选的实施方式为：网关设备在所述本地主机完成接入认证后，可以周期性向所述本地主机发送保活报文，检测所述本地主机是否已经下线。如果网关设备在向所述本地主机发送了保活报文后，没有接收到所述本地主机发送的响应报文，则说明所述本地主机已经下线。如果网关设备在向所述本地主机发送了保活报文后，接收到所述本地主机发送的响应报文，则说明所述本地主机在线。

另一种可选的实施方式为：网关设备在所述本地主机完成接入认证后，可以通过检测分析所述本地主机的流量状态来判断所述本地主机是否下线。如果在预设的时长内，网关设备没有接收到所述本地主机发送的流量，则可以确定所述本地主机下线；如果在预设的时长内，网关设备接收到所述本地主机发送的流量，则可以确定所述本地主机在线，并在接收到所述本地主机发送的流量后，更新所述预设的时长。

其中，在本申请中，对网关设备检测所述本地主机是否下线的方法不进行限定。

在本申请示出的实施例中，网关设备可以周期性检测本地主机的状态。如果网关设备检测到任一本地主机已经下线了，网关设备可以删除与所述本地主机对应的已保存的IP与MAC的绑定关系。当所述本地主机再次需要上网时，所述本地主机需要重新进行接入认证。

当网关设备接收到所述本地主机发送的业务报文时，网关设备可以读取所述业务报文的目的IP。然后，网关设备可以判断所述目的IP是否在所述预配置的若干认证网段中的任一网段内。如果是，网关设备可以将查询本地保存的IP与MAC的绑定关系中是否存在与所述目的IP对应的绑定关系。如果是，确定与所述目的IP对应的本地主机已经完成了接入认证；如果否，确定与所述目的IP对应的本地主机没有完成接入认证。

如果所述目的IP不在所述预配置的若干认证网段中的任一网段内，网关设备可以直接创建与所述目的IP对应的ARP表项，此时所述ARP表项中包含了所述目的IP，但没有包含与所述目的IP对应的MAC。然后，网关设备可以触发针对所述目的IP的ARP学习，自动获取与所述目的IP对应的MAC，并将获取到的MAC添加至所述ARP表项中。

在本申请的实施例中，如果网关设备确定与所述目的IP对应的本地主机已经完成了接入认证，网关设备可以为所述目的IP创建ARP表项。由于，与所述目的IP对应的本地主机在完成接入认证后，网关设备已经保存了所述目的IP与MAC的绑定关系，因此，网关设备可以从与所述目的IP对应的IP与MAC的绑定关系中读取到与所述目的IP对应的MAC，然后将所述MAC添加到为所述目的IP对应的ARP表项中。

如果网关设备确定与所述目的IP对应的本地主机未完成接入认证，网关设备可以将接收到所述业务报文进行丢弃。

为了能够更加形象地了解本申请提出的技术方法，以下通过具体的应用场景为例对本申请提出的技术方法进行描述。

请参见图2，图2为本申请实施例示例性示出的一种创建ARP表项的场景示意图。

假设有5个本地主机接入网关设备，所述5个本地主机分别为A，B，C，D，E，所述网关设备的IP地址为192.168.1.1/24。其中，分配给所述本地主机A，B，C，D，E的IP地址分别为192.168.1.2，192.168.1.3，192.168.1.4，192.168.1.5，192.168.1.6，所述本地主机A，B，C，D，E的MAC地址分别为00-23-5A-15-99-42，00-23-5A-15-99-43，00-23-5A-15-99-44，00-23-5A-15-99-45，00-23-5A-15-99-46。

假设，所述网关设备上预配置了192.168.1.0/24的认证网段。当本地主机A需要上网时，由于本地主机A的IP在192.168.1.0/24的网段内，所述网关设备需要对本地主机A进行接入认证。本地主机A可以向网关设备发送接入认证请求报文；其中，所述接入认证请求中携带了本地主机的源IP与MAC。网关设备在接收到本地主机A发送的接入认证请求报文后，可以对所述接入认证请求报文进行验证。当验证通过，网关设备可以读取所述接入认证请求报文中携带的本地主机A的源IP与MAC，即192.168.1.2和00-23-5A-15-99-42。然后，网关设备可以建立192.168.1.2与00-23-5A-15-99-42之间的绑定关系，并将所述绑定关系保存于本地。

如果网关设备已经保存了192.168.1.5与00-23-5A-15-99-45的绑定关系，没有保存192.168.1.6与00-23-5A-15-99-46的绑定关系。在这样的情况下，如果网关设备接收到本地主机A发送的业务报文；其中，所述业务报文的目的IP为192.168.1.5，由于192.168.1.5在认证网段192.168.1.0/24内，所述网关设备可以查询本地是否保存了与192.168.1.5对应的IP与MAC的绑定关系。由于网关设备本地保存了192.168.1.5与00-23-5A-15-99-45的绑定关系，因此网关设备可以将为192.168.1.5创建ARP表项，并从192.168.1.5与00-23-5A-15-99-45的绑定关系中读取00-23-5A-15-99-45，然后将00-23-5A-15-99-45添加至为192.168.1.5创建的ARP表项中。

如果网关设备接收到本地主机A发送的业务报文；其中，所述业务报文的目的IP为192.168.1.6，由于192.168.1.6在认证网段192.168.1.0/24内，所述网关设备可以查询本地是否保存了与192.168.1.6对应的IP与MAC的绑定关系。由于网关设备本地没有保存192.168.1.6与00-23-5A-15-99-46的绑定关系，因此网关设备可以将接收到的所述业务报文进行丢弃。

由以上本申请提出的技术方法可以看出，当需要上网的本地主机的IP在网关设备预配置的若干认证网段中的任一网段内时，网关设备可以对所述本地主机进行接入认证。在接入认证成功后，网关设备可以保存所述本地主机的IP与MAC的绑定关系。当网关设备接收到所述本地主机发送的业务报文时，网关设备可以从所述业务报文中获取到目的IP。然后，网关设备可以判断所述目的IP是否在所述预配置的若干认证网段中的任一网段内。如果是，网关设备可以查询本地保存的IP与MAC的绑定关系中是否存在与所述目的IP对应的IP与MAC的绑定关系。如果存在，那么说明与所述目的IP对应的本地主机已经完成了接入认证，网关设备可以创建与所述目的IP对应的ARP表项。如果不存在，那么说明与所述目的IP对应的本地主机没有完成接入认证，网关设备可以将所述业务报文进行丢弃。

因此，当网关设备检测出接收到的业务报文的目的IP在会产生大量无效ARP表项的网段内时，网关设备可以通过查询本地是否保存了与所述目的IP对应的IP与MAC的绑定关系。如果存在，那么可以确定所述业务报文为已知单播报文。网关设备只有确定所述业务报文为已知单播报文后，才会创建与所述目的IP对应的ARP表项，从而可以避免大量无效ARP表项占满ARP表项的存储空间，导致正常业务报文的ARP表项无法正常学习。

与前述一种创建ARP表项的方法的实施例相对应，本申请还提供了一种创建ARP表项的装置的实施例。

本申请一种创建ARP表项的装置的实施例可以应用在网关设备上。装置实施例可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在网关设备的处理器将非易失性存储器中对应的计算机程序指令读取到内存中运行形成的。从硬件层面而言，如图3所示，为本申请一种创建ARP表项的装置所在网关设备的一种硬件结构图，除了图3所示的处理器、内存、网络接口、以及非易失性存储器之外，实施例中装置所在的网关设备通常根据该创建ARP表项的实际功能，还可以包括其他硬件，对此不再赘述。

请参见图4，图4为本申请实施例实施例示出的一种创建ARP表项的装置，应用于网关设备。所述装置包括：获取单元410，查询单元420，学习单元430。

其中，所述获取单元410，用于当接收到业务报文时，获取所述业务报文的目的IP；

所述查询单元420，用于当所述目的IP在所述预配置的若干认证网段中的任一网段内时，查询与所述目的IP对应的本地主机是否为已完成接入认证的本地主机；

所述学习单元430，用于如果是，学习并创建与所述目的IP对应的ARP表项。

在本申请实施示出的装置中，所述网关设备开启了认证功能，所述装置还包括：

判断单元，用于判断发送所述业务报文的本地主机的IP是否在所述预配置的若干认证网段中的任一网段内；

发送单元，用于向发送所述业务报文的本地主机发送接入认证消息；

认证单元，用于响应于本地主机发送的接入认证请求报文，对所述客户端进行接入认证；

保存单元，用于当认证成功后，在本地保存分配给所述本地主机的IP与MAC的绑定消息。

其中，在本申请中的实施例中，本地主机会出现下线的情况。当任一本地主机下线时，网关设备会将与所述本地主机对应的已保存的IP与MAC的绑定关系进行删除，因此，所述装置还包括：

删除单元，用于当任一本地主机下线时，删除与所述本地主机对应的已保存的IP与MAC的绑定关系。

在本申请的实施例中，所述查询单元420具体用于：

查询本地是否已保存与所述目的IP对应的IP与MAC的绑定关系；

如果存在，确定与所述目的IP对应的本地主机为已完成接入认证的本地主机；

如果不存在，确定与所述目的IP对应的本地主机为未完成接入认证的本地主机。

另外，在本申请的实施例中，所述装置还包括：

丢弃单元，用于如果与所述目的IP对应的本地主机为未完成接入认证的本地主机，将所述业务报文进行丢弃。

上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims (4)

1.一种创建ARP表项的方法，应用于网关设备，其特征在于，所述网关设备上预配置了若干认证网段，包括：

当接收到业务报文时，获取所述业务报文的目的IP；

当所述目的IP在所述预配置的若干认证网段中的任一网段内时，查询与所述目的IP对应的本地主机是否为已完成接入认证的本地主机，包括：查询本地是否已保存与所述目的IP对应的IP与MAC的绑定关系；如果存在，确定与所述目的IP对应的本地主机为已完成接入认证的本地主机；如果不存在，确定与所述目的IP对应的本地主机为未完成接入认证的本地主机；其中，针对完成接入认证的任一本地主机，本地保存有分配给所述任一本地主机的IP与MAC的绑定关系；

如果是，学习并创建与所述目的IP对应的ARP表项；否则，丢弃接收到的业务报文；

周期性检测已完成接入认证的本地主机的状态；当检测到任一本地主机已经下线时，删除检测到的本地主机的IP与MAC的绑定关系。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

判断发送所述业务报文的本地主机的IP是否在所述预配置的若干认证网段中的任一网段内；

如果是，向发送所述业务报文的本地主机发送接入认证消息；

响应于本地主机发送的接入认证请求报文，对客户端进行接入认证；

当认证成功后，在本地保存分配给所述本地主机的IP与MAC的绑定关系。

3.一种创建ARP表项的装置，应用于网关设备，其特征在于，所述网关设备上预配置了若干认证网段，包括：

获取单元，用于当接收到业务报文时，获取所述业务报文的目的IP；

查询单元，用于当所述目的IP在所述预配置的若干认证网段中的任一网段内时，查询与所述目的IP对应的本地主机是否为已完成接入认证的本地主机，包括：查询本地是否已保存与所述目的IP对应的IP与MAC的绑定关系；如果存在，确定与所述目的IP对应的本地主机为已完成接入认证的本地主机；如果不存在，确定与所述目的IP对应的本地主机为未完成接入认证的本地主机；其中，针对完成接入认证的任一本地主机，本地保存有分配给所述任一本地主机的IP与MAC的绑定关系；

学习单元，用于如果是，学习并创建与所述目的IP对应的ARP表项；否则，丢弃接收到的业务报文；

删除单元，用于周期性检测已完成接入认证的本地主机的状态；当检测到本地主机已经下线时，删除检测到的本地主机的IP与MAC的绑定关系。

4.根据权利要求3所述的装置，其特征在于，所述装置还包括：

判断单元，用于判断发送所述业务报文的本地主机的IP是否在所述预配置的若干认证网段中的任一网段内；

发送单元，用于向发送所述业务报文的本地主机发送接入认证消息；

认证单元，用于响应于本地主机发送的接入认证请求报文，对客户端进行接入认证；

保存单元，用于当认证成功后，在本地保存分配给所述本地主机的IP与MAC的绑定关系。

Images