CN107579957A - 一种动态主机配置协议数据包过滤方法和系统 - Google Patents

Abstract

本发明公开了一种动态主机配置协议数据包过滤方法和系统，应用于无线接入点，所述方法包括：S10：丢弃部分从广域网接口收到的动态主机配置协议报文；S20：选择广域网接口或无线接口转发未被丢弃的动态主机配置协议报文。本发明能够明确转发路径，过滤DHCP垃圾广播数据包和虚假DHCP数据包，从而实现网络洁净以及网络资源的合理利用。

Description

一种动态主机配置协议数据包过滤方法和系统

技术领域

本发明涉及无线局域网络，特别涉及一种动态主机配置协议数据包过滤方法和系统。

背景技术

网络通信中，为了简化IP地址的配置操作，防止IP地址的冲突，并且由于IP资源有限，不能给每台连接到互联网上的主机配置一个固定的IP地址，因此通常使用动态主机配置协议(Dynamic Host Configuration Protocol，DHCP)方式对连接网络的主机配置临时的、唯一的IP地址。

由于IP地址是被分配的，而且是由主机连接网络时发出需要上网的数据包告知DHCP服务器，才有可能收到IP地址分配，期间，如果数据包的安全性不高，被截取或者被其他终端伪造，那么最终就无法获取到IP地址。所以这个过程需要设置自己的识别过滤机制，过滤垃圾报文和虚假报文，防止外来数据盗取攻击，同时尽量简化数据包转发过程，提高转发效率。

DHCP监听(DHCP Snooping)技术就是一种DHCP的安全机制的体现，通过监控DHCP用户和DHCP服务器之间的DHCP报文，建立和维护DHCP Snooping绑定表，在转发报文时，利用绑定表对地址解析协议(Address Resolution Protocol，ARP)报文、网际协议(InternetProtocol，IP)报文进行检查，过滤非法报文，实现网络安全功能。DHCP Snooping绑定表包含用户IP地址、媒体接入控制(Media Access Control，MAC)地址、入端口号和虚拟局域网(Virtual LAN，VLAN)号等信息。理解上述监听技术后，其实我们也可以利用DHCP数据包交互的必经过程，过滤数据包，减少不必要的转发，节约网络资源。

如公开号为CN103888481B的发明专利公开了“一种局域网DHCP数据包过滤方法”，该方法通过在网卡驱动与协议驱动之间的中间层对局域网中发送到DHCP客户机的网络数据包进行过滤，以此设计了包括网络数据包采集、网络数据包筛选、DHCP数据包分析、网络数据包处理四个过滤步骤，从发送到DHCP客户机的数据包中逐步分离出DHCP数据包，并对DHCP数据包进行分析，接收指定DHCP服务器发送的合法数据包，丢弃非法DHCP服务器发送的数据包，从而实现DHCP客户机从指定的DHCP服务器获取IP地址，防止非法DHCP服务器为DHCP客户机分配IP地址，只是实现过程相对复杂。

又如公开号为CN103944867A的专利文献公开了一种“动态主机配置协议报文的处理方法、装置和系统”，接收携带有虚拟机的MAC地址信息的第一DHCP请求报文；对第一DHCP请求报文进行解封装处理后发送至DHCP服务器；接收DHCP服务器发送的第一DHCP响应报文；其中，第一DHCP响应报文为广播报文，并且携带有分配给虚拟机的IP地址；封装第一DHCP响应报文为第二DHCP响应报文；其中，第二DHCP响应报文为单播报文，发送第二DHCP响应报文至对端隧道端点设备，以此实现了隧道协议中以单播形式发送DHCP响应报文，提高了网络资源的利用率，但是没有识别虚假报文的能力，可能会将虚假报文封装转发。

发明内容

本发明要解决的技术问题是针对上述现有技术的不足，提供一种能够过滤垃圾报文和虚假报文，减少不必要的数据包广播转发，净化网络，节约网络资源的动态主机配置协议数据包过滤方法和系统。

为了实现上述目的，本发明采用的技术方案为：

一种动态主机配置协议数据包过滤方法，应用于无线接入点，所述方法包括：

S10：丢弃部分从广域网接口收到的动态主机配置协议报文；过滤掉通过广域网接口收到的各类动态主机配置协议垃圾报文。

S20：选择广域网接口或无线接口转发未被丢弃的动态主机配置协议报文。指定转发路径，便于追踪查源以及提高转发效率，节约网络资源。

进一步地，所述步骤S10之前还包括：

S01：保存用户的物理地址以及用户关联时接入的无线接口信息，以此创建用户信息记录项。

进一步地，所述步骤S10中包括：

S11：根据动态主机配置协议报文中的用户物理地址信息，查看所述用户信息记录项中是否存在对应的物理地址，若不存在，则丢弃，若存在，则执行步骤S20。

进一步地，所述步骤S10中包括：

S11：判断动态主机配置协议报文类型；

S12：若为动态主机配置协议请求类报文，则全部丢弃；若为动态主机配置协议应答类报文，则根据动态主机配置协议应答类报文中的用户物理地址信息，查看所述用户信息记录项中是否存在对应的物理地址，若不存在，则丢弃，若存在，则执行步骤S20。

进一步地，所述步骤S20中包括：

若报文类型为动态主机配置协议请求类报文，则从广域网接口转发所述动态主机配置协议请求类报文；

若报文类型为动态主机配置协议应答类报文，则根据动态主机配置协议应答类报文中用户物理地址，在包含有相对应的物理地址的所述用户信息记录项中查看对应无线接口，并从对应无线接口处转发所述动态主机配置协议应答类报文。

一种动态主机配置协议数据包过滤系统，应用于无线接入点，所述系统包括：

丢弃模块：用于丢弃部分从广域网接口收到的动态主机配置协议报文；

转发模块：用于选择广域网接口或无线接口转发未被丢弃的动态主机配置协议报文。

进一步地，所述系统还包括：

创建模块：用于保存用户的物理地址以及用户关联时接入的无线接口信息，以此创建用户信息记录项。

进一步地，所述丢弃模块包括：

查看单元：用于根据动态主机配置协议报文中的用户物理地址信息，查看所述用户信息记录项中是否存在对应的物理地址。

进一步地，所述丢弃模块包括：

判断单元：用于判断动态主机配置协议报文类型；

查看单元：用于若为动态主机配置协议应答类报文，则根据动态主机配置协议应答类报文中的用户物理地址信息，查看所述用户信息记录项中是否存在对应的物理地址。

进一步地，所述转发模块包括：

广域网接口转发单元：用于若报文类型为动态主机配置协议请求类报文，则从广域网接口转发所述动态主机配置协议请求类报文；

无线接口转发单元：用于若报文类型为动态主机配置协议应答类报文，则根据动态主机配置协议应答类报文中用户物理地址，在包含有相对应的物理地址的所述用户信息记录项中获取对应无线接口，并从对应无线接口处转发所述动态主机配置协议应答类报文。

采用上述技术方案后，本发明的有益效果是：

(1)通过丢弃部分从广域网接口收到的动态主机配置协议报文，可以过滤掉通过广域网接口收到的各类动态主机配置协议垃圾广播报文；

(2)通过选择广域网接口或无线接口转发未被丢弃的动态主机配置协议报文，以指定转发路径的方式转发报文，便于追踪查源以及减少不必要的广播转发提高转发效率，节约网络资源；

(3)通过创建用户信息记录项，根据用户信息记录项信息比对，可以过滤掉部分虚假攻击类的动态主机配置协议报文。

附图说明

为了更清楚地说明本发明实施例或现有技术的技术方案，附图如下：

图1为本发明实施例1中提供的一种动态主机配置协议数据包过滤方法流程图；

图2为本发明实施例2中提供的一种动态主机配置协议数据包过滤方法流程图；

图3为本发明实施例3中提供的一种动态主机配置协议数据包过滤方法流程图；

图4为本发明实施例5中提供的一种动态主机配置协议数据包过滤系统结构示意图。

具体实施方式

以下是本发明的具体实施例并结合附图，对本发明的技术方案作进一步的描述，但本发明并不限于这些实施例。

无线接入点(AP)通过WAN口连接交换机并通过以太网和DHCP服务器(DHCPServer)等通信；而STA则通过AP创建的多个无线接口与AP通信。

动态主机配置协议(Dynamic Host Configuration Protocol，DHCP)中，DHCP请求类报文包括DHCP Discover、DHCP Request、DHCP Decline、DHCP Release以及DHCP Inform等；DHCP应答类报文包括DHCP Offer、DHCP NAK以及DHCP ACK等。

其中DHCP Discover、DHCP Request以及DHCP Offer等是广播包，因此会引起以下情况：

(1)通过广域网接口(以下均称WAN口)收到很多DHCP垃圾广播报文，如DHCP请求类广播报文、非本AP下STA的DHCP应答类广播报文。

(2)通过WAN口收到本AP下STA的DHCP应答类广播报文，这些报文被通过AP的各个无线接口进行广播转发。

(3)通过无线接口收到STA的DHCP请求类广播报文，这些报文被通过AP的WAN口以及其他无线接口进行广播转发。

本发明依据上述可能出现的影响数据转发浪费网络资源的问题，设计出相应的过滤转发机制，以期过滤垃圾报文以及减少不必要的广播转发，从而净化网络，节约网络资源。

实施例1

如图1所示，本实施例提供一种动态主机配置协议数据包过滤方法，应用于无线接入点(AP)，所述方法包括：

S10：丢弃部分从广域网接口(WAN口)收到的DHCP报文；能够过滤掉通过WAN口收到的各类DHCP垃圾报文。

在实际DHCP交互过程中，AP的WAN口会接收到很多DHCP垃圾广播报文，本步骤中设置AP将这些垃圾报文识别并丢弃，从而减少这类垃圾报文的转发和资源占用。

S20：选择WAN口或无线接口转发未被丢弃的DHCP报文。

本步骤中AP接收了相关报文后需要给予回应，根据DHCP报文类型的不同，报文来源以及转发对象都会影响转发路径的选择，因此不能盲目断定DHCP报文的转发路径，需要根据实际报文携带信息以及交互需求选择出最正确的路径，保证以后信息关系的良好对应。例如由于DHCP请求类报文是STA向DHCP服务器请求IP地址用的，应答类报文是DHCP服务器向STA的回复，所以请求类报文肯定是由STA发向DHCP服务器的，肯定是只可能从WAN口出，不能从WAN口进，所以设置选择路径如下：若收到DHCP请求类报文时，只通过WAN口进行转发，不通过无线接口进行广播转发；若收到DHCP应答类报文时，只通过无线接口进行转发。指定了报文的转发路径，便于AP出现问题时追踪查源，提高了转发效率，节约了网络资源。

综上所述，本实施例提供的方法为报文的处理减少了不必要的转发，节约了网络资源。

实施例2

如图2所示，本实施例与之前实施例的区别在于，本实施例提供一种还能够过滤虚假报文的方法，所述步骤S10之前还包括：

S01：保存用户的MAC以及用户关联时接入的无线接口信息，以此创建用户信息记录项。

本步骤的详细实现过程如下：STA找到AP的无线网络名(SSID)并关联AP的SSID，AP会收到STA上线的CLIENT_IN消息，STA1上线(STA关联上AP)后，AP会创建一个与STA对应的用户信息记录项，其中保存有STA的物理地址(也就是MAC地址)以及STA与AP关联所用的无线接口信息，此处无线接口由AP1创建,每个STA与AP通信时，均会被分配到一个无线接口，同一个无线接口下可以有多个不同STA。

AP创建了用户信息记录项，可以方便AP出现问题时进行跟踪分析，还可以方便后期信息交互时核对相关信息，过滤虚假信息数据包，具体表现为只有当信息交互中含有与用户信息记录项相同的信息，才会被AP认可放行，继续执行下一步操作；就好比是只有对的钥匙，才能开门。

进一步地，所述步骤S10中包括：

S11：根据DHCP报文中的用户MAC信息，查看所述用户信息记录项中是否存在对应的MAC，若不存在，则丢弃，若存在，则执行步骤S20。

MAC是识别用户的关键信息，一些攻击者简单的虚假报文无法伪造详细的与所述用户信息记录项中相同的MAC，通过核对MAC就可以实现过滤部分虚假报文的作用。

实施例3

如图3所示，本实施例与实施例2的区别在于，本实施例提供另外一种能够过滤虚假报文的方法，所述步骤S10中包括：

S11：判断DHCP报文类型；由于DHCP报文转发对象的相对稳定性，本步骤中判断DHCP报文类型只需判断两类，一是DHCP请求类报文，二是DHCP应答类报文。

S12：若为DHCP请求类报文，则全部丢弃；需要说明的是，根据步骤S10可知，丢弃的是从WAN口收到的DHCP报文；这是因为DHCP请求类报文是STA向DHCP服务器请求IP地址用的，应答类报文是DHCP服务器向STA的回复，所以请求类报文肯定是由STA发向DHCP服务器的，肯定是只可能从WAN口出，不能从WAN口进，所以从WAN进来的请求类报文不符合转发要求，故全部丢弃；另外，若为DHCP应答类报文，则根据DHCP应答类报文中的用户MAC信息，查看所述用户信息记录项中是否存在对应的MAC，若不存在，则丢弃，若存在，则执行步骤S20。

本实施例考虑到DHCP请求类报文不会从WAN口进，故提供另外一种能够过滤虚假报文的方法，采用更加直接明了的方法过滤DHCP报文。

实施例4

本实施例与实施例3的区别在于，本实施例提供DHCP报文更详细的转发方法，所述步骤S20中包括：

若报文类型为DHCP请求类报文，则从WAN口转发所述DHCP请求类报文；

一般请求类报文都是由STA发出到AP，然后需要AP转发给DHCP Server，而AP是通过WAN口连接交换机并通过以太网和DHCP Server通信，所以从此接口转发DHCP请求类报文最为准确保险而且不多余转发DHCP请求类报文，节省出网络资源供其他设备信息交互。

若报文类型为DHCP应答类报文，则根据DHCP应答类报文中用户MAC，在包含有相对应的MAC的所述用户信息记录项中查看对应无线接口，并从对应无线接口处转发所述DHCP应答类报文。

MAC地址用来定义网络设备的位置，就是网络中表明身份信息的部分，AP中存储有合法建立连接的STA的MAC信息，本步骤核对收到的DHCP应答类报文中携带的MAC，确认该应答报文的归属STA，然后从之前保存的用户信息记录项中查询归属STA对应连接的无线接口，并从此无线接口处转发DHCP应答类报文给归属STA，实现一对一传输，而不是给所有的STA广播该报文，导致网络资源的占用与浪费。

实施例5

如图4所示，本实施例提供一种动态主机配置协议数据包过滤系统，应用于无线接入点，所述系统为利用上述实施例提供的方法衍生而成的系统，所述系统包括：

丢弃模块100：用于丢弃部分从WAN口收到的DHCP报文；能够过滤掉通过WAN口收到的各类DHCP垃圾报文。

转发模块200：用于选择WAN口或无线接口转发未被丢弃的DHCP报文，通过指定转发路径，简化信息转发，在AP出现问题时便于追踪查源以及提高转发效率，节约网络资源。

所述系统还包括：

创建模块300：用于保存用户的MAC以及用户关联时接入的无线接口信息，以此创建用户信息记录项，便于后期核对用户信息，防止虚假DHCP报文趁机欺骗，导致数据交换失败或者网络资源恶意耗竭。

所述丢弃模块100包括：

查看单元：用于根据DHCP报文中的用户MAC信息，查看所述用户信息记录项中是否存在对应的MAC；如果不存在就丢弃，存在则转发。

或者更加优化地，将报文根据报文类型分类处理，这样的话所述丢弃模块100包括：

判断单元110：用于判断DHCP报文类型；

查看单元120：用于若为DHCP应答类报文，则根据DHCP应答类报文中的用户MAC信息，查看所述用户信息记录项中是否存在对应的MAC。

具体的丢弃模块100工作原理：首先判断单元110判断从WAN口收到的DHCP报文的类型，如果是请求类就全部丢弃，如果是应答类，就先由查看单元120查看，如果不存在就丢弃。能够更加直接明了的过滤掉不需要不合法的数据包。

所述转发模块200包括：

WAN口转发单元210：用于若报文类型为DHCP请求类报文，则从WAN口转发所述DHCP请求类报文；

无线接口转发单元220：用于若报文类型为DHCP应答类报文，则根据DHCP应答类报文中用户MAC，在包含有相对应的MAC的所述用户信息记录项中获取对应无线接口，并从对应无线接口处转发所述DHCP应答类报文。

所述转发模块200依据报文类型的不同，选择各自不同的转发路径，这也是由报文自身的转发需求决定的。

综上所述，本实施例提供的系统通过减少不必要的广播转发，实现信息快速完整交互，能够过滤垃圾DHCP广播数据包和虚假DHCP报文,净化网络，最终实现网络资源的合理分配和利用。

本文中所描述的具体实施例仅仅是对本发明精神作举例说明。本发明所属技术领域的技术人员可以对所描述的具体实施例做各种各样的修改或补充或采用类似的方式替代，但并不会偏离本发明的精神或者超越所附权利要求书所定义的范围。

Claims (10)

1.一种动态主机配置协议数据包过滤方法，其特征在于，应用于无线接入点，所述方法包括：

S10：丢弃部分从广域网接口收到的动态主机配置协议报文；

S20：选择广域网接口或无线接口转发未被丢弃的动态主机配置协议报文。

2.根据权利要求1所述的一种动态主机配置协议数据包过滤方法，其特征在于，所述步骤S10之前还包括：

S01：保存用户的物理地址以及用户关联时接入的无线接口信息，以此创建用户信息记录项。

3.根据权利要求2所述的一种动态主机配置协议数据包过滤方法，其特征在于，所述步骤S10中包括：

S11：根据动态主机配置协议报文中的用户物理地址信息，查看所述用户信息记录项中是否存在对应的物理地址，若不存在，则丢弃，若存在，则执行步骤S20。

4.根据权利要求2所述的一种动态主机配置协议数据包过滤方法，其特征在于，所述步骤S10中包括：

S11：判断动态主机配置协议报文类型；

S12：若为动态主机配置协议请求类报文，则全部丢弃；若为动态主机配置协议应答类报文，则根据动态主机配置协议应答类报文中的用户物理地址信息，查看所述用户信息记录项中是否存在对应的物理地址，若不存在，则丢弃，若存在，则执行步骤S20。

5.根据权利要求1所述的一种动态主机配置协议数据包过滤方法，其特征在于，所述步骤S20中包括：

若报文类型为动态主机配置协议请求类报文，则从广域网接口转发所述动态主机配置协议请求类报文；

若报文类型为动态主机配置协议应答类报文，则根据动态主机配置协议应答类报文中用户物理地址，在包含有相对应的物理地址的所述用户信息记录项中查看对应无线接口，并从对应无线接口处转发所述动态主机配置协议应答类报文。

6.一种动态主机配置协议数据包过滤系统，其特征在于，应用于无线接入点，所述系统包括：

丢弃模块：用于丢弃部分从广域网接口收到的动态主机配置协议报文；

转发模块：用于选择广域网接口或无线接口转发未被丢弃的动态主机配置协议报文。

7.根据权利要求6所述的一种动态主机配置协议数据包过滤系统，其特征在于，所述系统还包括：

创建模块：用于保存用户的物理地址以及用户关联时接入的无线接口信息，以此创建用户信息记录项。

8.根据权利要求7所述的一种动态主机配置协议数据包过滤系统，其特征在于，所述丢弃模块包括：

查看单元：用于根据动态主机配置协议报文中的用户物理地址信息，查看所述用户信息记录项中是否存在对应的物理地址。

9.根据权利要求7所述的一种动态主机配置协议数据包过滤系统，其特征在于，所述丢弃模块包括：

判断单元：用于判断动态主机配置协议报文类型；

查看单元：用于若为动态主机配置协议应答类报文，则根据动态主机配置协议应答类报文中的用户物理地址信息，查看所述用户信息记录项中是否存在对应的物理地址。

10.根据权利要求6所述的一种动态主机配置协议数据包过滤系统，其特征在于，所述转发模块包括：

广域网接口转发单元：用于若报文类型为动态主机配置协议请求类报文，则从广域网接口转发所述动态主机配置协议请求类报文；

无线接口转发单元：用于若报文类型为动态主机配置协议应答类报文，则根据动态主机配置协议应答类报文中用户物理地址，在包含有相对应的物理地址的所述用户信息记录项中获取对应无线接口，并从对应无线接口处转发所述动态主机配置协议应答类报文。