CN112702361A - 基于轻量级分布式协同设备安全阻断方法、装置及设备 - Google Patents

Abstract

本申请提供了一种基于轻量级分布式协同设备安全阻断方法、装置及设备。本申请中，阻断设备基于自身的topic向阻断管理设备订阅数据，阻断管理设备发布目标数据至阻断设备的topic以使每一阻断设备订阅topic为本阻断设备的topic的目标数据并对目标数据中的目标IP地址（与阻断设备在同一个C类网段）执行阻断或者放行操作，这种通过发布/订阅模式实现各阻断设备对同一个C类网段的IP地址执行阻断或者放行操作，实现了一种基于轻量级分布式协同设备安全阻断，并减轻每个阻断设备的压力，提高每个阻断设备执行阻断操作时的最佳阻断效果，且无需对现有网络进行改造。

Description

基于轻量级分布式协同设备安全阻断方法、装置及设备

技术领域

本申请涉及数据安全技术，特别涉及一种基于轻量级分布式协同设备安全阻断方法、装置及设备。

背景技术

在物联网应用中，物联网结构复杂，其可由很多个不同的局域网构成。在每一局域网中，存在各式各样的物联网设备接入网络。而这些各式各样的物联网设备中就有可能存在非法设备、冒充设备等不合法设备。一旦不合法设备接入网络，则会给网络带来很大的安全风险。

发明内容

本申请实施例提供了一种基于轻量级分布式协同设备安全阻断方法、装置及设备，以实现轻量级分布式协同设备进行安全阻断，提高网络安全。

本申请实施例提供一种基于轻量级分布式协同设备安全阻断方法，该方法应用于局域网中新部署的阻断设备，所述阻断设备与数据中心网中新部署的阻断管理设备按照MQTT协议建立连接，同一局域网中的设备处于同一C类网段，该方法包括：

获得所述阻断管理设备发布的目标数据；所述目标数据对应的发布主题名topic为所述阻断设备的topic；所述目标数据包括目标IP地址和对所述目标IP地址执行的目标操作，所述目标操作为阻断或放行；所述阻断设备的IP地址与所述目标IP地址处于同一C类网段中；

若所述目标操作为阻断，则确定所述目标IP地址对应的第一MAC地址，依据所述目标IP地址和第一MAC地址生成ARP数据包；所述第一MAC地址与已获得的与所述目标IP地址对应的第二MAC地址不同、且与其他任一有效IP地址对应的MAC也不同；

在所述局域网中广播所述ARP数据包，以使局域网中收到所述ARP数据包的网络设备根据所述ARP数据包将ARP表中与所述目标IP地址对应的MAC地址更新为所述第一MAC地址。

作为一个实施例，该方法之前进一步包括：

按照心跳发送间隔时间向所述阻断管理设备发送心跳数据；所述心跳数据中至少携带所述阻断设备的IP地址和所述阻断设备的topic，以使所述阻断管理设备建立所述阻断设备的IP地址与所述阻断设备的topic之间的对应关系，并在获得所述目标数据时基于建立的所述对应关系确定向所述阻断设备推送topic为所述阻断设备的topic的目标数据。

作为一个实施例，所述心跳数据还携带：心跳数据发送时间戳和心跳发送间隔时间，以使所述阻断管理设备在监测到心跳数据发送时间戳之后的N个心跳发送间隔时间内未收到所述阻断设备发送的心跳数据时，发出告警信息；所述告警信息用于指示所述阻断设备离线，所述N大于等于1。

作为一个实施例，所述生成ARP数据包进一步包括：将所述ARP数据包以及所述目标IP地址对应记录至阻断数据包列表；

所述在所述局域网中广播所述ARP数据包包括：

按照设定报文发送间隔在所述局域网中广播所述阻断数据包列表中的所述ARP数据包。

作为一个实施例，该方法进一步包括：

将本地ARP表中与所述目标IP地址对应的MAC地址更新为所述第一MAC地址，以阻断所述阻断设备与所述目标IP地址对应的目标设备进行通信。

作为一个实施例，若所述目标操作为放行，该方法进一步包括：

若阻断数据包列表中记录所述目标IP地址、以及与所述目标IP地址对应的ARP数据包，则删除所述目标IP地址、以及与所述目标IP地址对应的ARP数据包，以使所述局域网中设备与所述目标IP地址对应的目标设备恢复通信。

本申请实施例提供一种基于轻量级分布式协同设备安全阻断方法，该方法应用于数据中心网中新部署的阻断管理设备，所述阻断管理设备与所述数据中心网下各局域网中新部署的阻断设备按照MQTT协议建立连接，同一局域网中的设备处于同一C类网段，该方法包括：

获得目标数据，所述目标数据包括目标IP地址和对所述目标IP地址执行的目标操作，所述目标操作为阻断或放行；

从已获得的阻断设备数据信息中选择与所述目标数据匹配的匹配数据；所述阻断设备数据信息包括阻断设备IP地址和阻断设备主题名topic之间的对应关系，所述匹配数据中的阻断设备IP地址与所述目标IP地址处于同一C类网段中；

将所述目标数据推送至所述匹配数据中topic对应的目标阻断设备，所述目标阻断设备的topic与所述阻断设备的topic相同。

本申请实施例提供一种基于轻量级分布式协同设备安全阻断系统，所述系统包括：部署在数据中心网中的阻断管理设备、所述数据中心网下各局域网中新部署的阻断设备；同一局域网中的设备处于同一C类网段；

所述阻断管理设备与所述数据中心网下各局域网中新部署的阻断设备按照MQTT协议建立连接；

所述阻断设备，用于执行上述第一种方法。

所述阻断管理设备，用于执行上述第二种方法。

本申请实施例提供一种基于轻量级分布式协同设备安全阻断装置，该装置应用于局域网中新部署的阻断设备，所述阻断设备与数据中心网中新部署的阻断管理设备按照MQTT协议建立连接，同一局域网中的设备处于同一C类网段，该装置包括：

数据接收模块，用于获得所述阻断管理设备发布的目标数据；所述目标数据对应的发布主题名topic为所述阻断设备的topic；所述目标数据包括目标IP地址和对所述目标IP地址执行的目标操作，所述目标操作为阻断或放行；所述阻断设备的IP地址与所述目标IP地址处于同一C类网段中；若所述目标操作为阻断，则将目标数据发送至阻断数据包生成模块；

阻断数据包生成模块，用于生成所述目标IP地址对应的第一MAC地址；所述第一MAC地址与已获得的与所述目标IP地址对应的第二MAC地址不同、且与其他任一有效IP地址对应的MAC也不同；依据所述目标IP地址和第一MAC地址生成ARP数据包；

阻断数据包发送模块，用于在所述局域网中广播所述ARP数据包，以使局域网中收到所述ARP数据包的网络设备根据所述ARP数据包将ARP表中与所述目标IP地址对应的MAC地址更新为所述第一MAC地址。

本申请实施例提供一种基于轻量级分布式协同设备安全阻断装置，该装置应用于数据中心网中新部署的阻断管理设备，所述阻断管理设备与所述数据中心网下各局域网中新部署的阻断设备按照MQTT协议建立连接，同一局域网中的设备处于同一C类网段，该装置包括：

管理模块，用于获得目标数据和阻断设备数据信息；所述目标数据包括目标IP地址和对所述目标IP地址执行的目标操作，所述目标操作为阻断或放行；所述阻断设备数据信息包括阻断设备IP地址和阻断设备主题名topic之间的对应关系；

数据分发模块，用于从所述管理模块已获得的阻断设备数据信息中选择与所述目标数据匹配的匹配数据；所述匹配数据中的阻断设备IP地址与所述目标IP地址处于同一C类网段中；

MQTT服务模块，用于提供MQTT服务，作为MQTT服务的代理，用于发布所述目标数据至所述匹配数据中的topic，以使topic为匹配数据中的topic的目标阻断设备获得目标数据，所述目标阻断设备的topic与所述阻断设备的topic相同。

本申请实施例还提供了一种电子设备。该电子设备包括：处理器和机器可读存储介质；

所述机器可读存储介质存储有能够被所述处理器执行的机器可执行指令；

所述处理器用于执行机器可执行指令，以实现上述公开的方法的步骤。

由以上技术方案可以看出，本申请中，通过阻断设备基于自身的topic向阻断管理设备订阅数据，阻断管理设备发布目标数据至阻断设备的topic以实现每一阻断设备订阅topic为本阻断设备的topic的目标数据并能对目标数据中的目标IP地址（与阻断设备在同一个C类网段）执行阻断或者放行操作，这种通过发布/订阅模式实现各阻断设备对同一个C类网段的IP地址执行阻断或者放行操作，实现了一种基于轻量级分布式协同设备安全阻断，并减轻每个阻断设备的压力，也能提高每个阻断设备执行阻断操作时的最佳阻断效果，且无需对现有网络进行改造。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。

图1为本申请实施例提供的方法流程图；

图2为本申请实施例应用的物联网组网结构示意图；

图3为本申请实施例提供的阻断设备发送心跳数据的示意图；

图4为本申请实施例提供的另一方法流程图；

图5为本申请实施例提供的步骤402实现流程图；

图6为本申请实施例提供的心跳数据结构示意图；

图7为本申请实施例提供的系统结构图；

图8为本申请实施例提供的装置结构图；

图9为本申请实施例提供的另一装置结构图；

图10为本申请实施例提供的电子设备结构图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。

为了使本领域技术人员更好地理解本申请实施例提供的技术方案，并使本申请实施例的上述目的、特征和优点能够更加明显易懂，下面结合附图对本申请实施例中技术方案作进一步详细的说明。

参见图1，图1为本申请实施例提供的方法流程图。该流程应用于阻断管理设备。这里，阻断管理设备是为实现本实施例提供的安全阻断方法而新部署在数据中心网中的设备。可选地，本实施例中，阻断管理设备的结构可有多种，比如阻断管理设备可通过软件实现或通过硬件实现等，本实施例并不具体限定。

本实施例除了在数据中心网中新部署阻断管理设备之外，还在数据中心网下的各局域网新部署阻断设备。这里，阻断设备是为实现本实施例提供的安全阻断方法而新部署的。可选地，本实施例中，阻断设备的结构可有多种，比如阻断设备可通过软件实现或通过硬件实现等，本实施例并不具体限定。

在一个例子中，物联网中每一局域网可部署一个阻断设备。可选地，这里的局域网可根据实际业务需求部署，也可通过对某一大型局域网进行划分得到（比如，对一个公司而言，下属每一子公司或者每一分公司可认为是一个局域网），本实施例并不具体限定。

基于上面描述，图2举例示出了本申请实施例应用的物联网组网结构示意图。图2举例示出局域网1、局域网2分别部署了阻断设备。在图2中，以阻断设备旁挂在局域网的边缘设备比如交换机上，阻断管理设备旁观在数据中心网中的指定设备比如路由器或交换机上为例，并非用于限定。

在本实施例中，局域网中新部署的阻断设备与数据中心网中新部署的阻断管理设备按照消息队列遥测传输（MQTT：Message Queuing Telemetry Transport）协议建立连接。这里，MQTT是一个基于客户端-服务器的消息发布/订阅传输协议。在本实施例中，阻断设备和阻断管理设备按照MQTT协议建立连接，建立连接的方式可参见MQTT协议，这里不再赘述。

基于上面描述，则如图1所示，该流程可包括以下步骤：

步骤101，阻断管理设备获得目标数据，所述目标数据包括目标IP地址和对所述目标IP地址执行的目标操作，所述目标操作为阻断或放行。

在本步骤101中，阻断管理设备获得目标数据的方式有很多，比如获得用户手动设置的上述目标数据、获得配置文件中已记录的上述目标数据、获得其他模块输入的上述目标数据等，本实施例并不具体限定。

如步骤101描述的目标数据，其包括目标IP地址和对目标IP地址执行的目标操作（比如阻断或放行），可选地，该目标数据可通过以下格式示意：< IP地址，目标操作>。

步骤102，阻断管理设备从已获得的阻断设备数据信息中选择与目标数据匹配的匹配数据；阻断设备数据信息包括阻断设备IP地址和阻断设备主题名（topic）之间的对应关系。

在本实施例中，阻断设备和阻断管理设备按照MQTT协议建立连接后，阻断设备可定时向阻断管理设备发送心跳数据。基于图2所示组网，图3举例示出阻断设备向阻断管理设备发送心跳数据的示意图。可选地，这里的心跳数据可包括阻断设备的IP地址、阻断设备的topic。当阻断管理设备接收到阻断设备发送的心跳数据，其会依据接收的心跳数据确定阻断设备的IP地址、阻断设备的topic之间的对应关系，即实现了获得上述阻断设备数据信息。在本实施例中，阻断设备的topic用于唯一标识阻断设备，一个topic唯一对应一个阻断设备。可选地，在本实施例中，阻断设备的topic可用字符串表示，比如可由阻断设备自发按照自定义的规则设置topic_IP地址表示。以阻断设备的IP地址为192.168.1.1，则阻断设备的topic可为topic_192.168.1.1。需要说明的是，本实施例中，限定一个topic唯一对应一个阻断设备，并不具体限定各个阻断设备的topic的具体取值。

基于上面描述的获得的上述阻断设备数据信息，则本实施例中，步骤102中阻断管理设备从已获得的阻断设备数据信息中选择与所述目标数据匹配的匹配数据可包括：遍历阻断设备数据信息，若遍历到的阻断设备数据信息中的阻断设备IP地址与目标IP地址处于同一C类网段中，则确定遍历到的阻断设备数据信息为上述匹配数据。这里，阻断设备IP地址与目标IP地址处于同一C类网段是指：阻断设备IP地址与目标IP地址的前三个字节相同，最后一个字节不同。也就是说，最终选择的匹配数据中的阻断设备IP地址与所述目标IP地址处于同一C类网段中。

假若目标数据为<192.168.1.5, 阻断>，即：上述目标IP地址为192.168.1.5，目标操作为阻断，基于上面描述，则遍历阻断设备数据信息，假若当前遍历到的阻断设备数据信息中的阻断设备IP地址为192.168.3.1，则发现该阻断设备IP地址192.168.3.1与上述目标IP地址192.168.1.5的前三个字节不同，两者不处于同一C类网段，继续遍历阻断设备数据信息，假若再遍历到的阻断设备数据信息中的阻断设备IP地址为192.168.1.1，则发现该阻断设备IP地址192.168.1.1与上述目标IP地址192.168.1.5的前三个字节相同，两者处于同一C类网段，此时可将当前遍历到的阻断设备数据信息作为上述匹配数据。需要说明的是，为了实现精准阻断，本实施例中，同一局域网中的设备处于同一C类网段，不同局域网中的设备处于不同C类网段，在此前提下，上述选择的匹配数据的数量一般为1个。换言之，最终通过上述步骤102确定一个与目标数据匹配的阻断设备数据信息（即上述的匹配数据）。

步骤103，阻断管理设备将目标数据发布至与匹配数据中topic对应的目标阻断设备，目标阻断设备的topic与匹配数据中的topic相同。

MQTT协议是一种基于发布/订阅（publish/subscribe）模式的"轻量级"通讯协议，订阅与发布均需要有topic。应用于本实施例，阻断设备作为订阅者，阻断管理设备作为发布者，阻断设备基于自身的topic向阻断管理设备订阅数据，以收到阻断管理设备发布到该topic的数据。基于此，一旦在上述步骤102查找到匹配数据后，则本步骤103中，阻断管理设备就会将目标数据发布到匹配数据中的topic。如此，上述匹配数据中的topic所对应的阻断设备（即上述目标阻断设备）就会订阅并获得上述目标数据。通过步骤103最终实现了每一阻断设备获得阻断管理设备精准推送的目标数据，并且基于上述匹配数据的确定，则最终可实现每一阻断设备对与其在同一个C类网段的IP地址执行阻断或者放行操作，从而达到减轻每个阻断设备的压力，也能保证让每个阻断设备在执行阻断操作时达到最佳阻断效果。

至此，完成图1所示流程。

通过图1所示流程可以看出，在本实施例中，阻断设备基于自身的topic向阻断管理设备订阅数据，阻断管理设备发布目标数据至阻断设备的topic上，这种基于发布/订阅模式而无需专门建立连接的方式实现了阻断管理设备与阻断设备之间的"轻量级"通讯。再结合本实施例中阻断管理设备发布目标数据至阻断设备的topic，这实现了每一阻断设备订阅topic为本阻断设备的topic的目标数据，再结合目标数据中的目标IP地址与阻断设备在同一个C类网段，则可实现各阻断设备按照分布式方式对同一个C类网段的IP地址执行阻断或者放行操作，减轻每个阻断设备的压力，且达到了基于轻量级分布式协同设备安全阻断方法，也能提高每个阻断设备执行阻断操作时的最佳阻断效果，且无需对现有网络进行改造。

以上是站在阻断管理设备的角度描述的本申请实施例提供的方法，下面站在阻断设备角度描述本申请实施例提供的方法：

参见图4，图4为本申请实施例提供的另一方法流程图。该流程应用于上述的阻断设备。如上述步骤103所示，最终阻断管理设备会将目标数据推送至匹配数据中topic对应的阻断设备，则上述匹配数据中topic对应的阻断设备可执行下述图4所示流程：

步骤401，阻断设备获得所述阻断管理设备发布的目标数据；所述目标数据对应的发布主题名topic为所述阻断设备的topic。

这里的目标数据如上描述，目标数据可包括目标IP地址和对所述目标IP地址执行的目标操作，其中，如上描述，阻断设备的IP地址与目标IP地址处于同一C类网段中。目标操作为阻断或放行。

步骤402，若所述目标操作为阻断，则确定所述目标IP地址对应的第一MAC地址，依据所述目标IP地址和第一MAC地址生成ARP数据包；所述第一MAC地址与已获得的与所述目标IP地址对应的第二MAC地址不同、且与其他任一有效IP地址对应的MAC也不同。

在应用中，同一局域网中的数据传输不是根据IP地址进行的，而是按照MAC地址进行。基于此，为了实现上述阻断操作，则应用于上述步骤402，若将已获得的上述目标IP地址对应的真实MAC地址（记为第二MAC地址）替换为该局域网内不存在的其他MAC地址，则即可达到阻断目的，具体见步骤403。

基于此可以看出，在本步骤402中，阻断设备最终确定的目标IP地址对应的第一MAC地址其实是阻断设备所处局域网内并不存在的一个MAC地址，即：与阻断设备已获得的与目标IP地址对应的第二MAC地址（也即真实MAC地址）不同、且与其他任一有效IP地址对应的MAC也不同。

可选地，本实施例中，阻断设备如何确定目标IP地址对应的第一MAC地址有很多实现方式，图5举例示出其中一种实现方式，这里不再赘述。

作为一个实施例，本步骤403中生成的ARP数据包的源IP地址为上述目标IP地址，源MAC地址为上述第一MAC地址。

步骤403，阻断设备在局域网中广播ARP数据包，以使局域网中收到所述ARP数据包的网络设备根据所述ARP数据包将ARP表中与所述目标IP地址对应的MAC地址更新为所述第一MAC地址。

本实施例中，当阻断设备在局域网中广播ARP数据包后，则同一局域网中其他设备如果收到广播ARP数据包，会根据ARP数据包将ARP表中与所述目标IP地址对应的MAC地址更新为所述第一MAC地址。之后，局域网内的网络设备基于ARP表要和上述目标IP对应的目标设备进行通信时，就会基于ARP表中目标IP地址、第一MAC地址向目标IP对应的目标设备发送数据包，但因为上述目标IP地址对应的第一MAC地址并非为目标设备的真实MAC地址而导致数据包无法到达目标设备，进而无法实现与目标设备的数据通信，达到了阻断局域网内任一设备与目标IP地址对应的目标设备进行通信的目的。

至此，完成图4所示流程。

通过图4所示流程可以看出，在本实施例中，阻断设备通过获得阻断管理设备精准推送的目标数据（该目标数据的topic为该阻断设备的topic），并在目标数据中的目标操作为阻断时确定目标数据中目标IP地址对应的第一MAC地址（第一MAC地址与已获得的与目标IP地址对应的第二MAC地址不同、且与其他任一有效IP地址对应的MAC也不同），并依据目标IP地址和第一MAC地址生成ARP数据包并在局域网中广播ARP数据包，以使局域网中收到ARP数据包的网络设备根据ARP数据包将ARP表中与目标IP地址对应的MAC地址更新为第一MAC地址，从而实现局域网内网络设备在基于ARP表和上述目标IP对应的目标设备进行通信时，就会基于ARP表中目标IP地址、第一MAC地址向目标IP对应的目标设备发送数据包，但因为上述目标IP地址对应的第一MAC地址并非为目标设备的真实MAC地址而导致数据包无法到达目标设备，进而无法实现与目标设备的数据通信，达到了阻断局域网内任一设备与目标IP地址对应的目标设备进行通信的目的。

下面对图5所示流程进行描述：

参见图5，图5为本申请实施例提供的步骤402实现流程图。如图5所示，该流程可包括以下步骤：

步骤501，获取局域网内的真实MAC地址列表，所述真实MAC地址列表记录了本局域网内所有存活IP地址对应的真实MAC地址。

作为一个实施例，上述获取真实MAC地址列表的方式有很多，比如可以通过PING扫描、ARP扫描、半连接扫描等直接扫描方式获取，亦可以通过第三方扫描工具例如NMAP等非直接扫描方式获取，本实施例并不具体限定。

步骤502，生成一个不包含在真实MAC地址列表中的假MAC地址作为上述第一MAC地址。

如上描述，在本实施例中，最终确定的与所述目标IP地址对应的第一MAC地址是不在真实MAC地址列表中的假MAC地址，其目的是防止将被阻断的目标IP地址对应的MAC地址设置成与局域网内的其它正常设备的MAC地址相同，从而对局域网产生干扰。可选地，为了达到更好地阻断效果，在本步骤502中生成的第一MAC地址也可不包含在局域网内的假MAC地址列表（假MAC地址列表记录了本局域网内至少一个存活IP地址对应的假MAC地址）中。比如，目标IP地址对应的真实MAC地址为00:ee:aa:dd:ff:02，则本步骤502中目标IP地址对应的第一MAC地址为00:ee:aa:dd:ff:01，第一MAC地址00:ee:aa:dd:ff:01既不与00:ee:aa:dd:ff:02相同，也不在真实MAC地址列表和假MAC地址列表中，即最终实现了第一MAC地址与已获得的与所述目标IP地址对应的第二MAC地址不同、且与其他任一有效IP地址对应的MAC（包含真实MAC地址和假MAC地址）也不同。

至此，完成图5所示流程。

通过图5所示流程实现了上述步骤402如何确定出一个与已获得的与目标IP地址对应的第二MAC地址（真实MAC地址）不同、且与其他任一有效IP地址对应的MAC也不同的第一MAC地址。

需要说明的是，如上描述，阻断设备会按照心跳发送间隔时间向阻断管理设备发送心跳数据。可选地，心跳数据除了携带上述的阻断设备的IP地址（记为IP）和阻断设备的topic（记为IP_topic）之外，还可进一步携带：心跳数据发送时间戳（记为timestamp）和心跳发送间隔时间（记为heart_cycle）。这里，之所以携带心跳数据发送时间戳和心跳发送间隔时间，其目的是使阻断管理设备在监测到心跳数据发送时间戳之后的N个心跳发送间隔时间内未收到所述阻断设备发送的心跳数据时，发出告警信息，达到快速处理异常的目的。这里，告警信息用于指示阻断设备离线。N大于等于1，比如N可为2，具体可根据实际需求设置。图6举例示出心跳数据的示意图。

在本实施例中，上述心跳数据还可进一步携带阻断设备的运行状态。这里，阻断设备的运行状态用于指示阻断设备是否启动了阻断功能，其中，当运行状态为第一状态值比如1时，表示启动了阻断功能，而当运行状态为第二状态值比如0时，表示未启动阻断功能。基于阻断设备的运行状态，则上述阻断管理设备在将目标数据推送至匹配数据中topic对应的目标阻断设备前，会先检查目标阻断设备是否启动了阻断功能，如果目标阻断设备未启动阻断功能，即使匹配数据中topic为目标阻断设备的topic，也不再将目标数据推送至匹配数据中topic对应的目标阻断设备。而如果目标阻断设备启动了阻断功能，则可继续将目标数据推送至匹配数据中topic对应的目标阻断设备。当然，这只是一种具体实施例，并非用于限定，比如，即使目标阻断设备未启动阻断功能，也可将目标数据推送至匹配数据中topic对应的目标阻断设备。

还需要说明的是，作为一个实施例，在上述步骤403生成ARP数据包时还可进一步包括：将ARP数据包以及目标IP地址对应记录至阻断数据包列表。基于此，上述步骤403中在所述局域网中广播所述ARP数据包可包括：按照设定报文发送间隔在局域网中广播阻断数据包列表中的ARP数据包。换言之，在本实施例中，按照设定报文发送间隔在局域网中循环广播ARP数据包，能够实时刷新局域网内设备的ARP表记录目标IP地址及其对应的第一MAC地址，实现了局域网内网络设备后续在基于ARP表和上述目标IP对应的目标设备进行通信时，就会基于ARP表中目标IP地址、第一MAC地址向目标IP对应的目标设备发送数据包，但因为上述目标IP地址对应的第一MAC地址并非为目标设备的真实MAC地址而导致数据包无法到达目标设备，进而无法实现与目标设备的数据通信，达到了阻断局域网内任一设备与目标IP地址对应的目标设备进行通信的目的。

作为一个实施例，在本实施例中，阻断设备在广播ARP数据包时，并不会改变本阻断设备本地自身的ARP表，为了达到阻断局域网中任一设备与目标IP对应的目标设备进行通信，本实施例中，阻断设备在广播ARP数据包时，若发现本地ARP表中与所述目标IP地址对应的MAC地址并未更新为ARP数据包的源MAC地址即第一MAC地址，则将本地ARP表中与所述目标IP地址对应的MAC地址更新为第一MAC地址，以阻断所述阻断设备与所述目标IP地址对应的目标设备进行通信。

以上是以上述目标操作为阻断为例进行的描述。

作为一个实施例，若所述目标操作为放行，则在本实施例中，阻断设备会检查上述阻断数据包列表中是否记录了目标IP地址、以及与目标IP地址对应的ARP数据包，如果否，则不执行任何操作，直接按照现有的数据传输即可，如果是，则从阻断数据包列表中删除所述目标IP地址、以及与所述目标IP地址对应的ARP数据包以使所述局域网中设备与所述目标IP地址对应的目标设备恢复通信，之后按照现有的数据传输即可。

需要说明的是，在本实施例中，按照现有的数据传输时，若有一设备（记为设备A）与目标IP地址对应的目标设备（记为设备B）通信，此时设备A当前本地的ARP中记录的是目标IP地址、第一MAC地址，假若设备A按照第一MAC地址发送数据，由于第一MAC地址并非为设备B真实的MAC地址，设备B不会收到设备A发送的数据，也不会给设备A任何响应，此种情况下，设备A会重新在局域网广播ARP包询问设备B的MAC地址，设备B收到ARP包时会给以响应，最终局域网中其他所有设备基于响应将本地ARP表中第一MAC地址更新为设备B真实的MAC地址（即第二MAC地址），之后设备A即可基于设备B真实的MAC地址与设备B通信。

在另一个实施例中，若所述目标操作为放行，则当从阻断数据包列表中删除所述目标IP地址、以及与所述目标IP地址对应的ARP数据包时，还可进一步依据真实MAC地址列表中与所述目标IP地址对应的真实MAC地址（即第二MAC地址）、以及所述目标IP地址生成ARP数据包并在局域网中广播，局域网中其他所有设备收到该ARP包时会将本地ARP表中第一MAC地址更新为设备B真实的MAC地址（即第二MAC地址），之后局域网中其他所有设备即可基于设备B真实的MAC地址与设备B通信，实现了及时放行局域网中其他所有设备与设备B的通信。

以上对本申请实施例提供的方法进行了描述，下面对本申请实施例提供的系统、装置及电子设备进行描述：

参见图7，图7为本申请实施例提供的系统结构图。如图7所示，该系统可包括：阻断管理设备、至少一个阻断设备；

其中，阻断管理设备，如上描述，其可执行上述图1所示流程。

每一阻断设备，如上描述，其可执行上述图4所示流程。

可选地，本实施例还提供了基于轻量级分布式协同设备安全阻断装置。参见图8，图8为本申请实施例提供的装置结构图。该装置应用于阻断管理设备，如图8所示，该装置可包括：

管理模块，用于获得目标数据和阻断设备数据信息；所述阻断设备数据信息包括阻断设备IP地址和阻断设备主题名topic之间的对应关系；

数据分发模块，用于从所述管理模块已获得的阻断设备数据信息中选择与所述目标数据匹配的匹配数据；并将所述匹配数据推送到MQTT服务模块中；所述匹配数据中的阻断设备IP地址与所述目标IP地址处于同一C类网段中；

MQTT服务模块，用于提供MQTT服务，作为MQTT服务的代理，用于发布所述目标数据至所述匹配数据中的topic，以使topic为匹配数据中的topic的阻断设备获得目标数据。

在本实施例中，管理模块获得目标数据与上述步骤101中获得目标数据的方式类似，不再赘述。

在本实施例中，管理模块获得阻断设备数据信息与上述步骤101中获得阻断设备数据信息的方式类似，不再赘述。

另外，在本实施例中，数据分发模块选择匹配数据的方式类似上述步骤102中选择匹配数据的方式，不再赘述。

至此，完成图8所示装置的结构描述。

对应地，本申请实施例还提供了图9所示装置的结构图。参见图9，图9为本申请实施例提供的装置结构图。该装置应用于上述的阻断设备，如图9所示，该装置可包括：

数据接收模块，用于获得所述阻断管理设备发布的目标数据；所述目标数据对应的发布主题名topic为所述阻断设备的topic；若目标数据中的目标操作为阻断，则将目标数据发送至阻断数据包生成模块。

阻断数据包生成模块，用于确定所述目标IP地址对应的第一MAC地址；所述第一MAC地址与已获得的与所述目标IP地址对应的第二MAC地址不同、且与其他任一有效IP地址对应的MAC也不同；依据所述目标IP地址和第一MAC地址生成ARP数据包。

阻断数据包发送模块，用于在所述局域网中广播所述ARP数据包，以使局域网中收到所述ARP数据包的网络设备根据所述ARP数据包将ARP表中与所述目标IP地址对应的MAC地址更新为所述第一MAC地址。

可选地，在本实施例中，该装置还包括：心跳数据发送模块。

心跳数据发送模块，用于按照心跳发送间隔时间向所述阻断管理设备发送心跳数据；

可选地，所述心跳数据中至少携带所述阻断设备的IP地址和所述阻断设备的topic，以使所述阻断管理设备建立所述阻断设备的IP地址与所述阻断设备的topic之间的对应关系，并在获得所述目标数据时基于建立的所述对应关系确定向所述阻断设备推送topic为所述阻断设备的topic的目标数据。

可选地，所述心跳数据还携带：心跳数据发送时间戳和心跳发送间隔时间，以使所述阻断管理设备在监测到心跳数据发送时间戳之后的N个心跳发送间隔时间内未收到所述阻断设备发送的心跳数据时，发出告警信息；所述告警信息用于指示所述阻断设备离线，所述N大于等于1。

在本实施例中，阻断数据包生成模块还用于生成ARP数据包时进一步将所述ARP数据包以及所述目标IP地址对应记录至阻断数据包列表。

对应地，阻断数据包发送模块在所述局域网中广播所述ARP数据包包括：

按照设定报文发送间隔在所述局域网中广播所述阻断数据包列表中的所述ARP数据包。

在本实施例中，阻断数据包发送模块还用于将本地ARP表中与所述目标IP地址对应的MAC地址更新为所述第一MAC地址，以阻断所述阻断设备与所述目标IP地址对应的目标设备进行通信。

在本实施例中，阻断数据包发送模块还用于在所述目标操作为放行时，进一步在阻断数据包列表中记录所述目标IP地址、以及与所述目标IP地址对应的ARP数据包时，删除所述目标IP地址、以及与所述目标IP地址对应的ARP数据包，以使所述局域网中设备与所述目标IP地址对应的目标设备恢复通信。

至此，完成图9所示装置的结构描述。

本申请实施例还提供了图8或图9所示装置的硬件结构。参见图10，图10为本申请实施例提供的电子设备结构图。如图10所示，该硬件结构可包括：处理器和机器可读存储介质，机器可读存储介质存储有能够被所述处理器执行的机器可执行指令；所述处理器用于执行机器可执行指令，以实现本申请上述示例公开的方法。

基于与上述方法同样的申请构思，本申请实施例还提供一种机器可读存储介质，所述机器可读存储介质上存储有若干计算机指令，所述计算机指令被处理器执行时，能够实现本申请上述示例公开的方法。

示例性的，上述机器可读存储介质可以是任何电子、磁性、光学或其它物理存储装置，可以包含或存储信息，如可执行指令、数据，等等。例如，机器可读存储介质可以是：RAM（Radom Access Memory，随机存取存储器）、易失存储器、非易失性存储器、闪存、存储驱动器（如硬盘驱动器）、固态硬盘、任何类型的存储盘（如光盘、dvd等），或者类似的存储介质，或者它们的组合。

上述实施例阐明的系统、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机，计算机的具体形式可以是个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件收发设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任意几种设备的组合。

为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本申请时可以把各单元的功能在同一个或多个软件和/或硬件中实现。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质（包括但不限于磁盘存储器、CD-ROM、光学存储器等）上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备（系统）、和计算机程序产品的流程图和/或方框图来描述的。应理解可以由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其它可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其它可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

而且，这些计算机程序指令也可以存储在能引导计算机或其它可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或者多个流程和/或方框图一个方框或者多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其它可编程数据处理设备上，使得在计算机或者其它可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其它可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (11)

1.一种基于轻量级分布式协同设备安全阻断方法，其特征在于，该方法应用于局域网中新部署的阻断设备，所述阻断设备与数据中心网中新部署的阻断管理设备按照MQTT协议建立连接，同一局域网中的设备处于同一C类网段，该方法包括：

获得所述阻断管理设备发布的目标数据；所述目标数据对应的发布主题名topic为所述阻断设备的topic，所述目标数据包括目标IP地址和对所述目标IP地址执行的目标操作，所述目标操作为阻断或放行；所述阻断设备的IP地址与所述目标IP地址处于同一C类网段中；

若所述目标操作为阻断，则确定所述目标IP地址对应的第一MAC地址，依据所述目标IP地址和第一MAC地址生成ARP数据包；所述第一MAC地址与已获得的与所述目标IP地址对应的第二MAC地址不同、且与其他任一有效IP地址对应的MAC也不同；

在所述局域网中广播所述ARP数据包，以使局域网中收到所述ARP数据包的网络设备根据所述ARP数据包将ARP表中与所述目标IP地址对应的MAC地址更新为所述第一MAC地址。

2.根据权利要求1所述的方法，其特征在于，该方法之前进一步包括：

按照心跳发送间隔时间向所述阻断管理设备发送心跳数据；所述心跳数据中至少携带所述阻断设备的IP地址和所述阻断设备的topic，以使所述阻断管理设备建立所述阻断设备的IP地址与所述阻断设备的topic之间的对应关系，并在获得所述目标数据时基于建立的所述对应关系确定向所述阻断设备推送topic为所述阻断设备的topic的目标数据。

3.根据权利要求2所述的方法，其特征在于，所述心跳数据还携带：心跳数据发送时间戳和心跳发送间隔时间，以使所述阻断管理设备在监测到心跳数据发送时间戳之后的N个心跳发送间隔时间内未收到所述阻断设备发送的心跳数据时，发出告警信息；所述告警信息用于指示所述阻断设备离线，所述N大于等于1。

4.根据权利要求1所述的方法，其特征在于，所述生成ARP数据包进一步包括：将所述ARP数据包以及所述目标IP地址对应记录至阻断数据包列表；

所述在所述局域网中广播所述ARP数据包包括：

按照设定报文发送间隔在所述局域网中广播所述阻断数据包列表中的所述ARP数据包。

5.根据权利要求1所述的方法，其特征在于，该方法进一步包括：

将本地ARP表中与所述目标IP地址对应的MAC地址更新为所述第一MAC地址，以阻断所述阻断设备与所述目标IP地址对应的目标设备进行通信。

6.根据权利要求1所述的方法，其特征在于，若所述目标操作为放行，该方法进一步包括：

若阻断数据包列表中记录所述目标IP地址、以及与所述目标IP地址对应的ARP数据包，则删除所述目标IP地址、以及与所述目标IP地址对应的ARP数据包，以使所述局域网中设备与所述目标IP地址对应的目标设备恢复通信。

7.一种基于轻量级分布式协同设备安全阻断方法，其特征在于，该方法应用于数据中心网中新部署的阻断管理设备，所述阻断管理设备与所述数据中心网下各局域网中新部署的阻断设备按照MQTT协议建立连接，同一局域网中的设备处于同一C类网段，该方法包括：

获得目标数据，所述目标数据包括目标IP地址和对所述目标IP地址执行的目标操作，所述目标操作为阻断或放行；

从已获得的阻断设备数据信息中选择与所述目标数据匹配的匹配数据；所述阻断设备数据信息包括阻断设备IP地址和阻断设备主题名topic之间的对应关系，所述匹配数据中的阻断设备IP地址与所述目标IP地址处于同一C类网段中；

将所述目标数据推送至所述匹配数据中topic对应的目标阻断设备，所述目标阻断设备的topic与所述阻断设备的topic相同。

8.一种基于轻量级分布式协同设备安全阻断系统，其特征在于，所述系统包括：部署在数据中心网中的阻断管理设备、所述数据中心网下各局域网中新部署的阻断设备；同一局域网中的设备处于同一C类网段；

所述阻断管理设备与所述数据中心网下各局域网中新部署的阻断设备按照MQTT协议建立连接；

所述阻断管理设备，用于执行如权利要求7所述的方法；

所述阻断设备，用于执行如权利要求1至6任一所述的方法。

9.一种基于轻量级分布式协同设备安全阻断装置，其特征在于，该装置应用于局域网中新部署的阻断设备，所述阻断设备与数据中心网中新部署的阻断管理设备按照MQTT协议建立连接，同一局域网中的设备处于同一C类网段，该装置包括：

数据接收模块，用于获得所述阻断管理设备发布的目标数据；所述目标数据对应的发布主题名topic为所述阻断设备的topic；所述目标数据包括目标IP地址和对所述目标IP地址执行的目标操作，所述目标操作为阻断或放行；所述阻断设备的IP地址与所述目标IP地址处于同一C类网段中；若所述目标操作为阻断，则将目标数据发送至阻断数据包生成模块；

阻断数据包生成模块，用于生成所述目标IP地址对应的第一MAC地址；所述第一MAC地址与已获得的与所述目标IP地址对应的第二MAC地址不同、且与其他任一有效IP地址对应的MAC也不同；依据所述目标IP地址和第一MAC地址生成ARP数据包；

阻断数据包发送模块，用于在所述局域网中广播所述ARP数据包，以使局域网中收到所述ARP数据包的网络设备根据所述ARP数据包将ARP表中与所述目标IP地址对应的MAC地址更新为所述第一MAC地址。

10.一种基于轻量级分布式协同设备安全阻断装置，其特征在于，该装置应用于数据中心网中新部署的阻断管理设备，所述阻断管理设备与所述数据中心网下各局域网中新部署的阻断设备按照MQTT协议建立连接，同一局域网中的设备处于同一C类网段，该装置包括：

管理模块，用于获得目标数据和阻断设备数据信息；所述目标数据包括目标IP地址和对所述目标IP地址执行的目标操作，所述目标操作为阻断或放行；所述阻断设备数据信息包括阻断设备IP地址和阻断设备主题名topic之间的对应关系；

数据分发模块，用于从所述管理模块已获得的阻断设备数据信息中选择与所述目标数据匹配的匹配数据；所述匹配数据中的阻断设备IP地址与所述目标IP地址处于同一C类网段中；

MQTT服务模块，用于提供MQTT服务，作为MQTT服务的代理，用于发布所述目标数据至所述匹配数据中的topic，以使topic为匹配数据中的topic的目标阻断设备获得目标数据，所述目标阻断设备的topic与所述阻断设备的topic相同。

11.一种电子设备，其特征在于，该电子设备包括：处理器和机器可读存储介质；

所述机器可读存储介质存储有能够被所述处理器执行的机器可执行指令；

所述处理器用于执行机器可执行指令，以实现权利要求1-7任一项的方法步骤。

Images