CN108306805B - 端口安全机制下的端口迁移控制方法及装置 - Google Patents

Abstract

本发明提供一种端口安全机制下的端口迁移控制方法及装置，该方法包括：当检测到终端从第一端口迁移至第二端口时，对从所述第二端口接收到的所述终端发送的报文进行硬件丢弃；当所述终端在所述第一端口下线时，取消对从所述第二端口接收到的所述终端发送的报文的硬件丢弃。应用本发明实施例可以实现端口安全机制下的端口迁移。

Description

端口安全机制下的端口迁移控制方法及装置

技术领域

本发明涉及网络通信技术领域，尤其涉及端口安全机制下的端口迁移控制方法及装置。

背景技术

端口安全是一种基于MAC(Media Access Control，媒体访问控制)地址对网络接入进行控制的安全机制，其通过检测端口收到的数据帧中的源MAC地址来控制非授权设备或主机对网络的访问。

端口安全的主要功能是通过定义各种端口安全模式，让设备学习到合法的源MAC地址，以达到相应的网络管理效果。启动了端口安全功能之后，当发现非法报文时，系统将触发相应特性，并按照预先指定的方式进行处理，既方便用户的管理又提高了系统的安全性。

然而实践发现，在现有端口安全机制下，当某安全用户发生端口迁移，如用户终端1从交换设备的端口1迁移至端口2时，交换设备在端口1学习到的用户终端1的MAC表项会由于从端口2接收到的用户终端1的报文而一直处于刷新状态，导致用户终端1无法在端口1下线，进而，用户终端1无法在端口2上线。

发明内容

本发明提供一种端口安全机制下的端口迁移控制方法及装置，以解决现有端口安全机制下无法实现端口迁移的问题。

根据本发明实施例的第一方面，提供一种端口安全机制下的端口迁移控制方法，包括：

当检测到终端从第一端口迁移至第二端口时，对从所述第二端口接收到的所述终端发送的报文进行硬件丢弃；

当所述终端在所述第一端口下线时，取消对从所述第二端口接收到的所述终端发送的报文的硬件丢弃。

根据本发明实施例的第二方面，提供一种端口安全机制下的端口迁移控制装置，包括：

检测单元，用于检测终端的端口迁移；

接收单元，用于接收终端发送的报文；

控制单元，用于当所述检测单元检测到终端从第一端口迁移至第二端口时，对所述接收单元从所述第二端口接收到的所述终端发送的报文进行硬件丢弃；

所述控制单元，还用于当所述终端在所述第一端口下线时，取消对所述接收单元从所述第二端口接收到的所述终端发送的报文的硬件丢弃。

应用本发明实施例，当检测到终端从第一端口迁移至第二端口时，对从第二端口接收到的终端发送的报文进行硬件丢弃；当终端在第一端口下线时，取消对从第二端口接收到的终端发送的报文的硬件丢弃，实现了端口安全机制下的端口迁移。

附图说明

图1是本发明实施例提供的一种端口安全机制下的端口迁移控制方法的流程示意图；

图2是本发明实施例提供的一种具体应用场景的架构示意图；

图3是图2所示的应用场景下的一种端口安全机制下的端口迁移控制方法的流程示意图；

图4是本发明实施例提供的一种端口安全机制下的端口迁移控制的结构示意图；

图5是本发明实施例提供的另一种端口安全机制下的端口迁移控制的结构示意图；

图6是本发明实施例提供的另一种端口安全机制下的端口迁移控制的结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明实施例中的技术方案，并使本发明实施例的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明实施例中技术方案作进一步详细的说明。

请参见图1，为本发明实施例提供的一种端口安全机制下的端口迁移控制方法的流程示意图，其中，该端口安全机制下的端口迁移控制方法可以应用于交换设备，如图1所示，该端口安全机制下的端口迁移控制方法可以包括以下步骤：

步骤101、当检测到终端从第一端口迁移至第二端口时，对从第二端口接收到的该终端发送的报文进行硬件丢弃。

本发明实施例中，第一端口和第二端口并不特指某两个固定的端口，而是可以指代交换设备上任意两个用户侧端口，本发明实施例后续不再复述。

本发明实施例中，当交换设备检测到终端从第一端口迁移至第二端口时，为了避免交换设备在第一端口学习到的该终端的MAC表项由于从第二端口接收到的该终端发送的报文而一直处于刷新状态，进而导致终端无法在第一端口下线，在终端在第一端口下线之前，交换设备需要拒绝根据从第二端口接收到的该终端发送的报文而刷新在第一端口学习到的终端的MAC表项。

相应地，在本发明实施例中，当交换设备检测到终端从第一端口迁移至第二端口时，交换设备可以对从第二端口接收到的该终端发送的报文进行硬件丢弃。

在本发明其中一个实施例中，上述检测到终端从第一端口迁移至第二端口，包括：

当从第二端口接收到终端发送的报文时，根据该报文的源MAC地址和VLAN标识进行MAC表项查询；

若存在匹配的第一目标MAC表项，且第一目标MAC表项中的端口标识为第一端口的端口标识，则确定该终端从第一端口迁移至第二端口。

在该实施例中，当交换设备从第二端口接收到终端发送的报文时，根据该报文的源MAC地址和VLAN(Virtual Local Area Network，虚拟局域网)标识查询本地的MAC表项，以确定是否存在匹配的MAC表项。其中，该匹配的MAC表项包括的MAC地址为该终端的MAC地址，VLAN标识为该终端的VLAN标识。

若交换设备查询到匹配的MAC表项，则交换设备可以进一步获取该MAC表项中的端口标识；若该MAC表项(本文中可以称为第一目标MAC表项)中端口标识为第一端口的端口标识，则交换设备可以确定该终端从第一端口迁移至第二端口。

需要说明的是，当交换设备查询到的匹配的MAC表项中端口标识为第二端口的端口标识，或交换设备未查询到匹配的MAC表项时，其可以按照现有端口安全机制中的相关实现进行处理，其具体实现在此不做赘述。

步骤120、当该终端在第一端口下线时，取消对从第二端口接收到的该终端发送的报文的硬件丢弃。

本发明实施例中，由于交换设备对从第二端口接收到的该终端发送的报文进行硬件丢弃，因此，交换设备在第一端口上学习到的该终端的MAC表项(即上述第一目标MAC表项)将会一直处于未刷新状态，当到达预设老化时间时，交换设备可以删除该第一目标MAC表项，进而该终端可以在第一端口成功下线。

本发明实施例中，为了保证终端在第一端口下线之后，能够在第二端口上线，交换设备需要在终端在第一端口下线之后，允许根据从第二端口接收到的该终端发送的报文进行MAC地址学习。

相应地，当终端在第一端口下线时，交换设备需要取消从第二端口接收到的该终端发送的报文的硬件丢弃，从而，交换设备从第二端口接收到该终端发送的报文时，可以在未查询到匹配的MAC表项时，进行MAC地址学习，以生成第二目标MAC表项；其中，该第二目标MAC表项的MAC地址和VLAN标识为终端的MAC地址和VLAN标识，端口标识为第二端口的端口标识。

可见，在图1所示的方法流程中，通过在检测到终端从第一端口迁移到第二端口时，对从第二端口接收到的该终端发送的报文进行硬件丢弃，避免交换设备根据从第二端口接收到的该终端发送的报文对在第一端口学习到的该终端的MAC表项进行刷新，从而保证了发生端口迁移时，终端能够在原端口正常下线；此外，当终端在第一端口下线时，取消从第二端口接收到的该终端发送的报文的硬件丢弃，从而保证了该终端能够在第二端口正常上线，进而，实现了端口安全机制下的端口迁移。

在本发明其中一个实施例中，上述对从第二端口接收到的该终端发送的报文进行硬件丢弃，可以包括：

生成目标ACL表项，该目标ACL表项的匹配项为该终端的MAC地址、VLAN标识以及第二端口的端口标识，动作项为对与匹配项匹配的报文进行硬件丢弃；

对与该目标ACL匹配的报文进行硬件丢弃；

相应地，上述取消对从第二端口接收到的该终端发送的报文进行硬件丢弃，包括：

删除目标ACL表项。

在该实施例中，当交换设备检测到终端从第一端口迁移至第二端口时，交换设备可以生成一条用于对从第二端口接收到的该终端发送的报文进行硬件丢弃的ACL(AccessControl List，访问控制列表)表项(本文中称为目标ACL表项)；其中，该目标ACL表项的匹配项为该终端的MAC地址、VLAN标识以及第二端口的端口标识，动作项为对与匹配项匹配的报文进行硬件丢弃。

当交换设备从第二端口接收到该终端发送的报文时，由于该报文的源MAC地址、VLAN标识以及入端口标识与目标ACL表项匹配，因此，交换设备可以对该报文进行丢弃该报文，该报文不会进入交换阶段，相应地，交换设备在第一端口学习到的该终端的MAC表项可以正常老化，该终端可以在第一端口正常下线。

当交换设备确定终端在第一端口下线时，交换设备可以删除上述目标ACL表项，进而，交换设备从第二端口接收到该终端发送的报文时，可以正常处理，从而，终端能够在第二端口上线。

为了使本领域技术人员更好地理解本发明实施例提供的技术方案，下面结合具体应用场景对本发明实施例提供的技术方案进行说明。

请参见图2，为本发明实施例提供的一种应用场景的架构示意图，如图2所示，在该应用场景中，用户终端220(假设MAC地址为MAC1，VLAN标识为VLAN 100)先在交换设备210的端口211(假设端口标识为port 211)上线，并在一定时间后，由端口211迁移至端口212(假设端口标识为port212)，交换设备210使能端口安全机制下的端口自动学习MAC地址功能。

如图3所示，基于图2所示的场景，本发明实施例提供的端口安全机制下的端口迁移控制方法可以包括以下步骤：

步骤310、当交换设备210从端口211接收到用户终端220发送的报文，且未查询到匹配的MAC表项时，进行MAC地址学习。

在该实施例中，当交换设备210从端口211接收到用户终端220发送的报文时，交换设备210可以根据该报文的源MAC地址和VLAN标识查询本地保存的MAC表项，若不存在匹配的MAC表项，则进行MAC地址学习。

其中，交换设备210在端口211学习到的用户终端220的MAC表项(下文中称为第一MAC表项)如表1所示：

表1

MAC地址	VLAN标识	端口标识	刷新标识
				MAC1	VLAN 100	Port 211	1

其中，刷新标识的值为1时，表明MAC表项为刷新状态；刷新标识的值为0时，表明MAC表项为未刷新状态。

在该实施例中，交换设备210生成第一MAC表项之后，可以启动对应的老化定时器，当老化定时器超时，且第一MAC表项的刷新标识的值为0时，交换设备210删除第一MAC表项；当老化定时器超时，且第一MAC表项的刷新标识的值为1时，交换设备210重置该老化定时器。

步骤320、当交换设备210检测到用户终端220从端口211迁移到端口212时，生成第一ACL表项。

在该实施例中，当交换设备210从端口212接收到用户终端220的报文时，根据该报文的源MAC地址(MAC1)和VLAN标识(VLAN 100)查询本地的MAC表项，发现存在匹配的MAC表项(即第一MAC表项)。

由于第一MAC表项中的端口标识(port 211)与报文的入端口(port 212)不相同，因此，交换设备210确定用户终端220从端口211迁移至端口212。

其中，交换设备210从端口212接收到的该用户终端220发送的报文可以直接丢弃。

此时，交换设备210可以生成第一ACL表项，其格式如表2所示：

表2

在该实施例中，当交换设备210再从端口212接收到用户终端220发送的报文时，由于报文的源MAC地址为MAC1，VLAN标识为VLAN 100，入端口为的端口标识为port 212，即与第一ACL表项匹配，因此，交换设备210丢弃该报文，从而，该报文不会进入交换阶段，第一MAC表项一直得不到刷新，进而，第一MAC表项的刷新标识的值被置为0。

当交换设备210为第一MAC表项启动的老化定时器超时时，交换设备210读取第一MAC表项的刷新标识的值，发现值为0，因此，交换设备210删除第一MAC表项，用户终端220从端口211下线。

步骤330、当用户终端220从端口211下线时，交换设备210删除第一ACL表项。

步骤340、当交换设备210从端口212接收到用户终端220发送的报文，且未查询到匹配的MAC表项时，进行MAC地址学习。

在该实施例中，当交换设备210从端口212接收到用户终端220发送的报文时，交换设备210可以根据该报文的源MAC地址和VLAN标识查询本地保存的MAC表项，若不存在匹配的MAC表项，则进行MAC地址学习，用户终端210在端口212成功上线，成功从端口211迁移至端口212。

其中，交换设备210在端口212学习到的用户终端220的MAC表项(下文中称为第二MAC表项)如表3所示：

表3

MAC地址	VLAN标识	端口标识	刷新标识
				MAC1	VLAN 100	Port 212	1

在该实施例中，交换设备210生成第二MAC表项之后，可以启动对应的老化定时器，当老化定时器超时，且第二MAC表项的刷新标识的值为0时，交换设备210删除第二MAC表项；当老化定时器超时，且第二MAC表项的刷新标识的值为1时，交换设备210重置该老化定时器。

通过以上描述可以看出，在本发明实施例提供的技术方案中，当检测到终端从第一端口迁移至第二端口时，对从第二端口接收到的终端发送的报文进行硬件丢弃；当终端在第一端口下线时，取消对从第二端口接收到的终端发送的报文的硬件丢弃，实现了端口安全机制下的端口迁移。

请参见图4，为本发明实施例提供的一种端口安全机制下的端口迁移控制装置的结构示意图，其中，该装置可以应用于上述方法实施中的交换设备，如图4所示，该端口安全机制下的端口迁移控制装置可以包括：

检测单元410，用于检测终端的端口迁移；

接收单元420，用于接收终端发送的报文；

控制单元430，用于当检测单元410检测到终端从第一端口迁移至第二端口时，对所述接收单元420从所述第二端口接收到的所述终端发送的报文进行硬件丢弃；

控制单元430，还用于当所述终端在所述第一端口下线时，取消对接收单元420从所述第二端口接收到的所述终端发送的报文的硬件丢弃。

在可选实施例中，检测单元410，用于当接收单元420从第二端口接收到所述终端发送的报文时，根据该报文的源MAC地址和VLAN标识进行MAC表项查询；若存在匹配的第一目标MAC表项，且所述第一目标MAC表项中的端口标识为所述第一端口的端口标识，则确定所述终端从所述第一端口迁移至所述第二端口。

请一并参见图5，为本发明实施例提供的另一种端口安全机制下的端口迁移控制装置的结构示意图，如图5所示，在图4所示端口安全机制下的端口迁移控制装置的基础上，图5所示的端口安全机制下的端口迁移控制装置还可以包括：

生成单元440，用于生成目标访问控制列表ACL表项，所述目标ACL表项的匹配项为所述终端的MAC地址、VLAN标识以及所述第二端口的端口标识，动作项为对与所述匹配项匹配的报文进行硬件丢弃；

控制单元430，具体用于对与所述目标ACL匹配的报文进行硬件丢弃；

控制单元430，还用于当所述终端在所述第一端口下线时，删除所述目标ACL表项。

请一并参见图6，为本发明实施例提供的另一种端口安全机制下的端口迁移控制装置的结构示意图，如图6所示，在图4所示端口安全机制下的端口迁移控制装置的基础上，图6所示的端口安全机制下的端口迁移控制装置还可以包括：

表项维护单元450，用于在控制单元430取消对从所述第二端口接收到的所述终端发送的报文的硬件丢弃之后，若接收单元420从所述第二端口接收到所述终端发送的报文，且未查询到匹配的MAC表项，则进行MAC地址学习，以生成第二目标MAC表项；其中，所述第二目标MAC表项的MAC地址和VLAN标识为所述终端的MAC地址和VLAN标识，端口标识为所述第二端口的端口标识。

在可选实施例中，表项维护单元450，还用于启动对应所述第二目标MAC表项的老化定时器；当所述老化定时器超时时，若所述第二目标MAC表项的刷新标识为第一标识值，则删除所述第二目标MAC表项；若所述第二目标MAC表项的刷新标识为第二标识值，则重置所述老化定时器。

上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本发明方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

由上述实施例可见，当检测到终端从第一端口迁移至第二端口时，对从第二端口接收到的终端发送的报文进行硬件丢弃；当终端在第一端口下线时，取消对从第二端口接收到的终端发送的报文的硬件丢弃，实现了端口安全机制下的端口迁移。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本发明的其它实施方案。本申请旨在涵盖本发明的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本发明的一般性原理并包括本发明未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本发明的真正范围和精神由下面的权利要求指出。

应当理解的是，本发明并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本发明的范围仅由所附的权利要求来限制。

Claims (10)

1.一种端口安全机制下的端口迁移控制方法，其特征在于，包括：

当检测到终端从第一端口迁移至第二端口时，对从所述第二端口接收到的所述终端发送的报文进行硬件丢弃；

当所述终端在所述第一端口下线时，取消对从所述第二端口接收到的所述终端发送的报文的硬件丢弃。

2.根据权利要求1所述的方法，其特征在于，所述检测到终端从第一端口迁移至第二端口，包括：

当从第二端口接收到所述终端发送的报文时，根据该报文的源MAC地址和虚拟局域网VLAN标识进行MAC表项查询；

若存在匹配的第一目标MAC表项，且所述第一目标MAC表项中的端口标识为所述第一端口的端口标识，则确定所述终端从所述第一端口迁移至所述第二端口。

3.根据权利要求1所述的方法，其特征在于，所述对从所述第二端口接收到的所述终端发送的报文进行硬件丢弃，包括：

生成目标访问控制列表ACL表项，所述目标ACL表项的匹配项为所述终端的MAC地址、VLAN标识以及所述第二端口的端口标识，动作项为对与所述匹配项匹配的报文进行硬件丢弃；

对与所述目标ACL匹配的报文进行硬件丢弃；

所述取消对从所述第二端口接收到的所述终端发送的报文进行硬件丢弃，包括：

删除所述目标ACL表项。

4.根据权利要求1所述的方法，其特征在于，所述取消对从所述第二端口接收到的所述终端发送的报文的硬件丢弃之后，还包括：

当从所述第二端口接收到所述终端发送的报文，且未查询到匹配的MAC表项时，进行MAC地址学习，以生成第二目标MAC表项；其中，所述第二目标MAC表项的MAC地址和VLAN标识为所述终端的MAC地址和VLAN标识，端口标识为所述第二端口的端口标识。

5.根据权利要求4所述的方法，其特征在于，所述第二目标MAC表项还包括刷新标识，当所述刷新标识的值为第一标识值时，表明所述第二目标MAC表项为未刷新状态，当所述刷新标识的值为第二标识值时，表明所述第二目标MAC表项为刷新状态；

所述进行MAC地址学习之后，还包括：

启动对应所述第二目标MAC表项的老化定时器；

当所述老化定时器超时时，若所述第二目标MAC表项的刷新标识为第一标识值，则删除所述第二目标MAC表项；若所述第二目标MAC表项的刷新标识为第二标识值，则重置所述老化定时器。

6.一种端口安全机制下的端口迁移控制装置，其特征在于，包括：

检测单元，用于检测终端的端口迁移；

接收单元，用于接收终端发送的报文；

控制单元，用于当所述检测单元检测到终端从第一端口迁移至第二端口时，对所述接收单元从所述第二端口接收到的所述终端发送的报文进行硬件丢弃；

所述控制单元，还用于当所述终端在所述第一端口下线时，取消对所述接收单元从所述第二端口接收到的所述终端发送的报文的硬件丢弃。

7.根据权利要求6所述的装置，其特征在于，

所述检测单元，用于当所述接收单元从第二端口接收到所述终端发送的报文时，根据该报文的源MAC地址和虚拟局域网VLAN标识进行MAC表项查询；若存在匹配的第一目标MAC表项，且所述第一目标MAC表项中的端口标识为所述第一端口的端口标识，则确定所述终端从所述第一端口迁移至所述第二端口。

8.根据权利要求6所述的装置，其特征在于，所述装置还包括：

生成单元，用于生成目标访问控制列表ACL表项，所述目标ACL表项的匹配项为所述终端的MAC地址、VLAN标识以及所述第二端口的端口标识，动作项为对与所述匹配项匹配的报文进行硬件丢弃；

所述控制单元，具体用于对与所述目标ACL匹配的报文进行硬件丢弃；

所述控制单元，还用于当所述终端在所述第一端口下线时，删除所述目标ACL表项。

9.根据权利要求6所述的装置，其特征在于，所述装置还包括：

表项维护单元，用于在所述控制单元取消对从所述第二端口接收到的所述终端发送的报文的硬件丢弃之后，若所述接收单元从所述第二端口接收到所述终端发送的报文，且未查询到匹配的MAC表项，则进行MAC地址学习，以生成第二目标MAC表项；其中，所述第二目标MAC表项的MAC地址和VLAN标识为所述终端的MAC地址和VLAN标识，端口标识为所述第二端口的端口标识。

10.根据权利要求9所述的装置，其特征在于，

所述表项维护单元，还用于启动对应所述第二目标MAC表项的老化定时器；当所述老化定时器超时时，若所述第二目标MAC表项的刷新标识为第一标识值，则删除所述第二目标MAC表项；若所述第二目标MAC表项的刷新标识为第二标识值，则重置所述老化定时器。

Images