CN110958268B - Arp报文的处理方法和设备 - Google Patents

Abstract

本发明提供了一种ARP报文的处理方法和设备，解决了现有技术中ARP安全依赖ACL资源且软件逻辑复杂的问题。该ARP报文的处理方法包括解析接收的广播ARP报文中的目标IP字段；查找主机路由表中与该目标IP字段匹配的主机路由；判断该匹配的主机路由是否为路由交换机IP地址对应的主机路由；若否，则不执行将该广播ARP报文复制到路由交换机的CPU。

Description

ARP报文的处理方法和设备

技术领域

本发明涉及网络设备技术领域，具体涉及一种ARP报文的处理方法和设备。

背景技术

ARP报文可以分为单播ARP报文和广播ARP报文，其中，广播ARP报文又分为需要路由交换机CPU处理、以及不需要路由交换机CPU处理的两种。对于路由交换芯片，在收到ARP报文后，会在VLAN中做二层转发。如果是单播ARP报文并且路由交换芯片中已经有二层转发表项，则ARP报文做单播转发；如果ARP报文是广播报文，或者二层转发表项不存在，则A RP报文会在VLAN中广播。对于做广播转发的ARP报文，通常情况下交换机的CPU也会收到一份。如果有攻击者发送大量广播ARP报文，则交换机的CPU将会忙于处理ARP报文，轻则影响正常ARP报文的处理，重则影响整个系统软件的运行。

现有技术中，通过路由交换芯片中的ACL功能配置ACL规则，过滤出CPU上IP地址对应的ARP报文，并允许这部分ARP报文上报CPU,其它的ARP报文则认为为过路ARP报文，不允许上报CPU，从而避免过路广播A RP报文对CPU的冲击。然而，这种方法存在的问题是：①需要占用ACL资源，而ACL资源在交换芯片中通常比较宝贵，如果CPU上IP地址较多，占用ACL的资源也会很多；②软件逻辑比较复杂，配置三层接口IP地址的时候，需要额外的软件逻辑添加ACL规则，以允许相应ARP报文上报CPU。

因此，针对上述技术问题，有必要提供一种ARP报文的处理方法。

发明内容

有鉴于此，本发明的目的之一在于提供ARP报文的处理方法和设备。

为了实现上述目的，本发明一实施例提供的技术方案如下：

一种ARP报文的处理方法，包括：

解析接收的广播ARP报文中的目标IP字段；

查找主机路由表中与所述目标IP字段匹配的主机路由；

判断所述匹配的主机路由是否为路由交换机IP地址对应的主机路由；若否，

则不执行将所述广播ARP报文复制到路由交换机的CPU。

一实施例中，所述方法还包括：

在所述主机路由表的各主机路由中，增加标识字段，所述标识字段表示对应的主机路由是否为路由交换机IP地址对应的主机路由；

判断所述匹配的主机路由是否为路由交换机IP地址对应的主机路由，具体包括：

识别所述匹配的主机路由中的标识字段，从而判断所述匹配的主机路由是否为路由交换机IP地址对应的主机路由。

一实施例中，所述方法还包括：

查找接收的ARP报文的二层MAC表，以确定所述ARP报文的类型；

若所述ARP报文为广播报文；则，

将所述ARP报文作为所述接收的广播ARP报文。

一实施例中，所述方法还包括：

若所述ARP报文为单播报文；则，

根据二层单播表项的查找结果，转发所述ARP报文。

一实施例中，

若所述匹配的主机路由是路由交换机IP地址对应的主机路由；则，

将所述接收的广播ARP报文复制到路由交换机的CPU；和/或，

若所述匹配的主机路由不是路由交换机IP地址对应的主机路由；则，

将所述接收的广播ARP报文在VLAN中广播。

本申请还提供一种ARP报文的处理设备，包括：

解析模块，用于解析接收的广播ARP报文中的目标IP字段；

路由查找模块，用于查找主机路由表中与所述目标IP字段匹配的主机路由；

上报模块，用于在所述匹配的主机路由不是路由交换机IP地址对应的主机时，不执行将所述广播ARP报文复制到路由交换机的CPU。

一实施例中，还包括：

标识模块，用于在所述主机路由表的各主机路由中，增加标识字段，所述标识字段表示对应的主机路由是否为路由交换机IP地址对应的主机路由；

所述上报模块用于识别所述匹配的主机路由中的标识字段，从而判断所述匹配的主机路由是否为路由交换机IP地址对应的主机路由。

一实施例中，还包括：

MAC查找模块，用于查找接收的ARP报文的二层MAC表，以确定所述ARP报文的类型。

一实施例中，还包括报文转发模块，用于在所述MAC查找模块确定所述ARP报文为单播报文时，根据二层单播表项的查找结果，转发所述ARP报文。

一实施例中，所述上报模块还用于在所述匹配的主机路由是路由交换机IP地址对应的主机路由时，将所述接收的广播ARP报文复制到路由交换机的CPU；和/或，

所述报文转发模块还用于在所述匹配的主机路由不是路由交换机IP地址对应的主机路由时，将所述接收的广播ARP报文在VLAN中广播。

本申请ARP报文的处理方法和设备，通过对主机路由表的功能复用，根据广播ARP报文的目标IP字段匹配到的主机路由是否为路由交换机IP地址对应的主机路由，确定该广播ARP报文是否需要复制到路由交换机的CPU，有效地避免了无需上报路由交换机CPU的过路ARP报文对CPU可能增加的负担，不依赖于ACL资源且不会增加软件逻辑的复杂度，同时可以防止恶意的ARP报文攻击，保证路由交换机的ARP安全。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明一实施例中ARP报文的处理方法的流程图；

图2为本发明一实施例中ARP报文的处理设备的模块示意图；

图3为一典型的路由交换机的模块示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明中的技术方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

为了更好地理解本申请的实施方式，这里先介绍一个典型的路由交换芯片处理ARP报文的流程：

首先，该路由交换芯片会解析ARP报文，并识别出ARP。随后，将AR P报文当做普通二层报文做二层转发表项的查找，如果是单播报文并且查找到了二层转发表项，则做二层单播转发；如果是广播报文，或者是单播报文但没有查找到二层转发表项，则在VLAN中做广播转发。

其中，对于在VLAN中做广播转发的ARP报文，所有加入该VLAN的端口(除收到ARP报文的端口外)都会转发一份ARP报文出去，同时对应的路由交换机的CPU上也会收到一份。

为了支持上述处理流程，路由交换机上配置三层接口IP地址时，通常会在路由交换芯片中添加一条与该三层接口IP地址对应的主机路由，用于接收发往本机的IP报文，这个IP地址被称为路由交换机本机IP地址。而ARP报文作为非IP报文，在路由交换芯片中是无需查找主机路由表的，因此可以看出，在典型的路由交换芯片处理ARP报文的流程中，三层接口对应的主机路由表并不能被用于限制ARP报文上报路由交换机的CPU。

参图1，介绍本申请ARP报文的处理方法的一具体实施方式。在本实施方式中，该方法包括：

S11、解析接收的广播ARP报文中的目标IP字段。

在具体的处理流程中，首先会查找接收的ARP报文的二层MAC表，以确定该ARP报文的类型。如果该ARP报文为广播报文，则将其作为这里的广播ARP报文。而如果该ARP报文为单播报文，则根据二层单播表项的查找结果，转发该ARP报文。

一个典型的以太网中ARP报文格式，通常包括以太网首部和以太网ARP字段。以太网首部包括以太网目的地址、以太网源地址、以及帧类型。以太网ARP字段中还包括ARP首部，用于标识硬件类型、协议类型、硬件地址长度、协议地址长度等；以及，发送者硬件地址、发送者IP地址、目标硬件地址、目标IP地址等。这里解析的也即是目标IP地址所对应的目标IP字段(Target IP)。

S12、查找主机路由表中与所述目标IP字段匹配的主机路由。

从上文中可以得知，三层接口对应的主机路由表是现有路由交换机的必要部分，这里属于对该主机路由表的功能复用。

S13、判断所述匹配的主机路由是否为路由交换机IP地址对应的主机路由；若否，则执行S14；若否，则执行S15。

为了确定这里匹配的主机路由是否为路由交换机IP地址对应的主机路由，本实施方式中，在主机路由表的各主机路由中，增加标识字段(local CPU字段)，该标识字段表示对应的主机路由是否为路由交换机IP地址对应的主机路由。通过对匹配的主机路由中的标识字段的识别，判断该匹配的主机路由是否为路由交换机IP地址对应的主机路由，进而可以确定该广播报文是需要复制到路由交换机CPU的报文还是普通的过路ARP报文。

S14、不执行将所述广播ARP报文复制到路由交换机的CPU。

此时，该广播ARP报文不会被复制到路由交换机的CPU，而只将其在VLAN中广播。通过这样的方式，可以避免恶意、或者不安全的ARP报文的攻击。

S15、将所述接收的广播ARP报文复制到路由交换机的CPU。

此时，可以确定该ARP报文不是过路报文，需要路由交换机的CPU处理。并且，可以进一步通过预设的逻辑控制该广播ARP报文是否需要继续在VLAN中广播，具体可以视实际业务需求灵活控制。

参图2，介绍本申请ARP报文的处理设备的一具体实施方式。在本实施方式中，该ARP报文的处理设备包括解析模块、路由查找模块、以及上报模块。

配合参图3，需要说明的是，在本实施方式中，该ARP报文的处理设备可以是对应到路由交换机的路由交换芯片，也即，以路由交换芯片的视角对本申请的技术方案进行解释；又或者，该ARP报文的处理设备可以是对应到完整的路由交换机，并以路由交换机的视角对本申请的技术方案进行解释。在更多的实施方式中，该ARP报文的处理设备可以是具有下文所描述功能的任何路由设备或者应用该路由设备的系统等。

解析模块用于解析接收的广播ARP报文中的目标IP字段。路由查找模块用于查找主机路由表中与该目标IP字段匹配的主机路由。上报模块用于在该匹配的主机路由不是路由交换机IP地址对应的主机时，不执行将该广播ARP报文复制到路由交换机的CPU，并将该接收的广播ARP报文在VLAN中广播；以及，在该匹配的主机路由是路由交换机IP地址对应的主机路由时，将该接收的广播ARP报文复制到路由交换机的CPU；

进一步地，该ARP报文的处理设备还包括标识模块，该标识模块用于在该主机路由表的各主机路由中，增加标识字段，该标识字段表示对应的主机路由是否为路由交换机IP地址对应的主机路由。上报模块用于识别该匹配的主机路由中的标识字段，从而判断该匹配的主机路由是否为路由交换机IP地址对应的主机路由。

进一步地，该ARP报文的处理设备还包括MAC查找模块，该MAC查找模块用于查找接收的ARP报文的二层MAC表，以确定该ARP报文的类型。

进一步地，该ARP报文的处理设备还包括报文转发模块，该报文转发模块用于在该MAC查找模块确定该ARP报文为单播报文时，根据二层单播表项的查找结果，转发该ARP报文。

本实施方式ARP报文的处理设备中的各功能模块是依据其实现功能虚拟化的功能模块，而并非是指一定具有对应的硬件模块。其具体的功能可以全部或部分地参考上文方法实施方式中的内容，此处不再赘述。

通过以上的实施方式可以看出，本申请ARP报文的处理方法和设备，通过对主机路由表的功能复用，根据广播ARP报文的目标IP字段匹配到的主机路由是否为路由交换机IP地址对应的主机路由，确定该广播ARP报文是否需要复制到路由交换机的CPU，有效地避免了无需上报路由交换机CPU的过路ARP报文对CPU可能增加的负担，同时可以防止恶意的ARP报文攻击，保证路由交换机的ARP安全。

上述实施例阐明的系统、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。

为了描述的方便，描述以上装置时以功能分为各种模块分别描述。当然，在实施本说明书一个或多个实施例时可以把各模块的功能在同一个或多个软件和/或硬件中实现。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

本领域技术人员应明白，本说明书一个或多个实施例的实施例可提供为方法、系统或计算机程序产品。因此，本说明书一个或多个实施例可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本说明书一个或多个实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本说明书一个或多个实施例可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本说明书一个或多个实施例，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。

对于本领域技术人员而言，显然本发明不限于上述示范性实施例的细节，而且在不背离本发明的精神或基本特征的情况下，能够以其他的具体形式实现本发明。因此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的，本发明的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求的等同要件的含义和范围内的所有变化囊括在本发明内。不应将权利要求中的任何附图标记视为限制所涉及的权利要求。

此外，应当理解，虽然本说明书按照实施方式加以描述，但并非每个实施方式仅包含一个独立的技术方案，说明书的这种叙述方式仅仅是为清楚起见，本领域技术人员应当将说明书作为一个整体，各实施例中的技术方案也可以经适当组合，形成本领域技术人员可以理解的其他实施方式。

Claims (10)

1.一种ARP报文的处理方法，其特征在于，包括：

解析接收的广播ARP报文中的目标IP字段；

查找主机路由表中与所述目标IP字段匹配的主机路由；

判断所述匹配的主机路由是否为路由交换机IP地址对应的主机路由；若否，

则不执行将所述广播ARP报文复制到路由交换机的CPU。

2.根据权利要求1所述的ARP报文的处理方法，其特征在于，所述方法还包括：

在所述主机路由表的各主机路由中，增加标识字段，所述标识字段表示对应的主机路由是否为路由交换机IP地址对应的主机路由；

判断所述匹配的主机路由是否为路由交换机IP地址对应的主机路由，具体包括：

识别所述匹配的主机路由中的标识字段，从而判断所述匹配的主机路由是否为路由交换机IP地址对应的主机路由。

3.根据权利要求1所述的ARP报文的处理方法，其特征在于，所述方法还包括：

查找接收的ARP报文的二层MAC表，以确定所述ARP报文的类型；

若所述ARP报文为广播报文；则，

将所述ARP报文作为所述接收的广播ARP报文。

4.根据权利要求3所述的ARP报文的处理方法，其特征在于，所述方法还包括：

若所述ARP报文为单播报文；则，

根据二层单播表项的查找结果，转发所述ARP报文。

5.根据权利要求1所述的ARP报文的处理方法，其特征在于，

若所述匹配的主机路由是路由交换机IP地址对应的主机路由；则，

将所述接收的广播ARP报文复制到路由交换机的CPU；和/或，

若所述匹配的主机路由不是路由交换机IP地址对应的主机路由；则，

将所述接收的广播ARP报文在VLAN中广播。

6.一种ARP报文的处理设备，其特征在于，包括：

解析模块，用于解析接收的广播ARP报文中的目标IP字段；

路由查找模块，用于查找主机路由表中与所述目标IP字段匹配的主机路由；

上报模块，用于在所述匹配的主机路由不是路由交换机IP地址对应的主机时，不执行将所述广播ARP报文复制到路由交换机的CPU。

7.根据权利要求6所述的ARP报文的处理设备，其特征在于，还包括：

标识模块，用于在所述主机路由表的各主机路由中，增加标识字段，所述标识字段表示对应的主机路由是否为路由交换机IP地址对应的主机路由；

所述上报模块用于识别所述匹配的主机路由中的标识字段，从而判断所述匹配的主机路由是否为路由交换机IP地址对应的主机路由。

8.根据权利要求6所述的ARP报文的处理设备，其特征在于，还包括：

MAC查找模块，用于查找接收的ARP报文的二层MAC表，以确定所述ARP报文的类型。

9.根据权利要求8所述的ARP报文的处理设备，其特征在于，还包括报文转发模块，用于在所述MAC查找模块确定所述ARP报文为单播报文时，根据二层单播表项的查找结果，转发所述ARP报文。

10.根据权利要求9所述的ARP报文的处理设备，其特征在于，

所述上报模块还用于在所述匹配的主机路由是路由交换机IP地址对应的主机路由时，将所述接收的广播ARP报文复制到路由交换机的CPU；和/或，

所述报文转发模块还用于在所述匹配的主机路由不是路由交换机IP地址对应的主机路由时，将所述接收的广播ARP报文在VLAN中广播。

Images