CN1153416C - 分组交换机通信方法 - Google Patents

Abstract

公开了一种基于MAC地址的通信限制方法。在该基于MAC地址的通信限制方法中，当通过以太网交换机请求通信时，接收分组数据，读出接收的分组数据的目的地地址和源地址，确定在地址入口表中是否存在该地址的接入矢量，而如果目的地和源地址的接入矢量(安全密钥)不匹配，则拒绝接入。

Description

分组交换机通信方法

本中请参照在此处引用的和要求根据U.S.C119由在先在韩国工业产权局于2000年7月6日提交的、由该局正式分配申请号No.2000-38560、名称为基于MAC地址的通信限制方法得到的所有的权益。

技术领域

本发明一般涉及在以太网交换机中进行通信限制方法，具体地说，涉及一种通信限制方法，其中通过利用MAC(媒体接入控制Media AccessControl)指定一个特定终端作为服务器和一些节点作为与该服务器终端可通信的节点。

背景技术

由称为OSI(开放系统互连)的ISO标准实现世界范围通信，该ISO标准定义在7层实现协议的网络框架：应用层7；表示层6；会话层5；传输层4；网络层3；数据链路层2；和物理层1。控制是从一个层传送到下一个层，在一个站的应用层7开始，经过到下一个站的通信路径(信道)进行到底层和支持该分层结构。

由第二最低的层即该分层结构中的数据链路层2执行数据链路控制(DLC)。每个网络接口卡(NIC)具有一个DLC地址或者DLC标识符(DLCI)，唯一地识别网络上的节点。一些网络协议诸如以太网专门地使用DLC地址。数据链路层2包括两个子层，一个逻辑链路控制(LLC)层和媒介接入控制(MAC)层。

MAC地址是硬件地址，唯一地识别网络的每个节点。MAC层直接地与该网络介质接口。因此，每个不同类型的网络媒介要求不同的MAC层。

在网络中设备的公共连接点是集线器，通常用在连接LAN(局域网)的各段，集线器包含多个端口。当数据分组到达一个端口时，它被复制到另一个端口，以使LAN的所有的分段看到所有的数据分组。为了改进性能和增加带宽，集线器已经给出交换式集线器或端口交换式集线器，根据数据分组地址传送分组到适当的端口。一些新的交换式集线器支持以太网(10Mpbs)和快速以太网(100Mbps)端口。以太网是一种LAN协议。

以太网交换机可以通过网络有效地从一个以太网段传送多个数据分组到另一个分段，因此降低经过网络的业务。通过连接多个终端至以太网交换机的多个端口，进行数据通信而不对LAN(局域网)争用并且在多个终端中指定一个主机终端以便存储重要的信息。

交换的以太网是作为以太网LAN定义的，使用交换机连接单独的主机或各个分段。在单独的主机的情况下，交换机代替中继器和有效地给予该设备完全的10Mbps带宽(或者对于快速以太网100Mbps)给该网络的其余的部分。这类网络有时称为桌面交换的以太网。在分段情况下，集线器被交换式集线器代替。传统的以太网称为共享的以太网，其中所有的主机连接到相同的总线并且彼此对相同的带宽争用。

交换的以太网正变得非常普及，因为它们是有效的和方便的方式扩展现有的以太网的带宽。即，交换的以太网具有在主机或者分段之间一个或者多个直接的点对点连接。连接到以太网交换机的设备彼此不争用，因此具有专用的带宽。

为了保护连接到以太网交换机的服务器节点抵抗黑客，工作站连接到以太网交换机，给工作站提供防火墙，在防火墙中登记IP(互联网协议)地址，和服务器终端连接到工作站。

防火墙是以硬件和/或软件实现的系统以便防止未授权接入专用网或者从专用网未授权接入，并且频繁地用于防止未经批准的互联网用户(黑客)接入连接到互联网的专用网，特别是内联网。

当外部的客户机终端试图接入服务器终端时，仅仅在登记了外部终端的IP地址时，在外部的客户机终端和该服务器终端之间连接一个路径。

有几个类型的已知的防火墙技术，其中之一使用数据分组过滤。通过分析输入的和输出的数据分组并且基于源和目的IP地址让它们通过或者拦截它们，数据分组过滤控制接入网络。作为防火墙技术的数据分组过滤的安全功能是易于由黑客使用称为IP电子欺骗的黑客技术攻击的，其中伪造的IP源地址用于击溃防火墙。即，攻击的节点使用一个“相信的”节点的IP源地址尝试通过目标服务器的防火墙。

因此，该数据分组看上去来自保护网络内部并且是合格的用于转发到该网络。因此，不保证存储在服务器终端中的信息的接入安全性。

在下面的专利中讨论中连接到网络的计算机的安全性，引用在这里供参考：授予Jonathan Trostle、名称为“网络工作站侵入检测系统”的美国专利No.5,919,257；授予John S.Denker、名称为“具有改进的安全性的通信协议”的美国专利No.5,958,053；授予James M.Holden等人、名称为“计算机联网的独立的安全性设备”的美国专利No.6,067,620；授予Scott L.Wiegel、名称为“具有协议组代理的网络网关机制”的美国专利No.6,131,163；和授予Thomas G.McNeill等人、名称为“在网络中建立连接”的美国专利No.6,167,052。

发明内容

因此本发明的一个目的是提供限制从未经批准的外部客户机终端使用以太网交换机中的MAC地址接入服务器终端的方法。

为了实现上述目的，提供一种分组交换机的通信方法。在基于分组交换机的通信方法中，配置一个反黑客表，该表包含关于网络的多个客户机节点和多个服务器节点的信息，其中，每个客户机节点是由至少相应的MAC地址识别的，和每个服务器节点是由至少相应的MAC地址识别的；使用MAC源地址配置一个地址表，该地址表具有指示是否允许所述客户机节点的接入的接入矢量；当请求通信时通过分组交换机接收分组数据，读出接收的分组数据的目的地地址和源地址，确定所述接收的MAC源地址是否存储在所述地址表中；当确定所述接收的MAC源地址存储在所述地址表中时，确定相应于所述接收的MAC目的地地址的接入矢量是否与相应于所述接收的MAC源地址的接入矢量相匹配，其中，所述两个接入矢量均存储在所述地址表中；如果相应于所述接收的MAC目的地和源地址的接入矢量匹配，向MAC目的地地址发送所述接收的分组数据；和，而如果所述接收的MAC目的地和源地址的所述接入矢量(安全密钥)不匹配，则拒绝接入。

本发明还提供一种分组交换机通信方法，包括以下步骤：配置一个反黑客表，该表包含关于网络的多个客户机节点和多个服务器节点的信息，其中，每个客户机节点是由至少相应的MAC地址识别的，和每个服务器节点是由至少相应的MAC地址识别的；使用MAC源地址配置一个地址表，该地址表具有指示是否允许所述客户机节点的接入的接入矢量；当请求通过所述分组交换机的多个端口的至少一个端口通信时，接收分组数据；读出包括在接收的分组数据中的MAC目的地地址和MAC源地址；确定所述接收的MAC源地址是否存储在所述地址表中；当确定所述接收的MAC源地址不存储在所述地址表中时，确定相应于所述接收的MAC源地址的信息是否存储在所述反黑客表中；以及当确定所述接收的MAC源地址存储在所述反黑客表中时，修改所述MAC源地址中的接入矢量为安全密钥，从而在所述地址表中存储修改的地址。

附图说明

当结合附图参照下面详细的描述时，本发明更完整的评价及其许多附属的优点将变得显而易见，图中相同标号表示相同或者相似的部件，其中：

图1是说明根据本发明一个实施例的分组交换机的示意框图；

图2-1和2-2是说明根据本发明的实施例使用MAC地址登记主机或客户机模式的一个入口的控制操作的流程图；和

图3说明根据本发明的实施例的反黑客表。

具体实施方式

在下文参考附图描述本发明的优选实施例。在下面的描述中，公知的功能或结构不予详细描述，因为不必要的细节将混淆本发明。

图1是根据本发明的实施例的分组交换机的方框图。

参见图1，主机100提供对分组交换机的整个控制。主机100提取最高层应用层7的变化并且执行输入到该分组交换机的命令。第1到第n个MAC端口110到InO可以连接到另一个分组交换机、路由器或PC(个人计算机)，用于执行标准的MAC控制操作和输出数据分组的发送/接收命令给发送/接收控制器120。数据交换机130在发送/接收控制器120控制下建立主机100或第1到第n个MAC端口110到InO和分组存储器150之间的数据和控制信号的路径。

检索存储器140存储信息，利用该信息确定对应于接收数据分组的目的地地址的输出MAC端口。数据分组存储器150包含多个信息资源，即地址表152、端口表154和数据分组描述符156。数据分组存储器150还存储接收数据分组。地址表152存储有关MAC地址的信息和端口表154存储有关当前状态、端口属性允许/禁止和每个MAC端口的分组接收结束的信息。分组描述符156存储有关在分组存储器150中存储的每个数据分组信息，诸如数据分组连接信息。

根据来自第1个到第n个MAC端口110至InO的数据分组发送/接收命令，发送/接收控制器120通过第1至第n个MAC端口110至InO控制分组的发送/接收。即，发送/接收控制器120暂存接收的数据分组，接入检索存储器140，检查在接收分组的标题中的目的地地址是否已经寄存，和定位寄存的MAC地址存储在地址表152中的位置。发送/接收控制器120确定接收数据分组输出所通过的MAC端口。

发送/接收控制器120接入地址表152、端口表154和数据分组描述符156并且在分组存储器150中存储该接收数据分组。为了传输数据分组，发送/接收控制器120接入地址表152、端口表154和分组描述符156，并且通过相应的输出端口发送存储在分组存储器150中的数据分组。

图2-1和2-2是说明根据本发明的实施例使用MAC地址寄存服务器或客户机节点的一个入口的控制操作流程图，而图3说明根据本发明的实施例的反黑客表。

参见图1、2-1、2-2和3，用于根据本发明限制通信的反黑客数据库可以被认为是两部分。一部分是用于管理客户机节点以便与要求安全的服务器节点通信的黑客表_hackertbl构成如下。这个表用于保持服务器节点和客户机节点。Hostlndex(主机索引)用于服务器节点而Nodelndex(节点索引)用于客户机节点。

struct_hackertbl{

    u32 Hostid；                      /32比特节点ID/

    u32 IpAddress；                   /节点的IP地址/

    u8 EtherAddress[6]；              /节点的MAC(以太网)地址/

    u16 Port；                        /节点驻留的端口号/

    struct_hackertb 1*Next_Hostlndex；/下一个服务器节点的

                                      hackertbl的指示符/

    struct_hackertbl*Prev_HostIndex； /前一个服务器节点的

                                       hackertbl的指示符/

    stmct_hackertbl*Next_NodeIndex[MAX_SECURITY_HOSTS]；

                                       /下一个客户机节点的hackertbl的指示符
阵/

    stnict_hackertbl*Prev_NodeIndex[MAX_SECURITY_HOSTS]；

                    /前一个客户机节点的hackertbl的指示符阵列/

另一部分是作为反黑客标题保持上述指示符的_hackerhead，构成如下。几个服务器到客户机的映射可以是在一个系统中。一次M至N服务器到客户机节点映射是可能的。

struct_hackerhead{

u32 Hostid_Index{MAX_SECURITY_HOSTS)；  /服务器节点ID的表阵列/

struct_hackertbl*StaarHostIndex；       /第一服务器节点的

                                        hackertbl的指示符/

struct_hackertbl*EndHostIndex；         /最后服务器节点的

                                        hackertble的指示符/

_hackertbl的主部件包括用于管理要求保证安全的服务器节点表的指示器(*Next_HostIndex，*Prev_HostIndx)，用于管理可与相应的服务器节点通信的客户机节点的列表(*Next_NodeIndex[]，*Prev_NodeIndex[])，用于作为*XXXX_NodeIndex的索引的节点ID(这里XXXX是指下一个或者前一个)，节点的IP地址和MAC地址，以及端口号。

_hackerhead的主部件包括一个阵列和一些指示符，该阵列包括安全服务器节点的ID(HostID_Index)，这些指示符表示要求安全的服务器节点表中的开始服务器节点和结束服务器节点(*StartHostIndex，*EndHostIndex)。

图3说明基于两个数据结构、服务器节点和客户机节点的反黑客数据库。在一个网络中存在着许多客户机节点试图接入的几个服务器节点。表示在图3底部的是三个客户机节点C1-C3，而在图3的中间是两个服务器节点S1和S2。如以箭头所示的，第一和第二客户机节点C1和C2在接入第一服务器节点S1，和第二和第三客户机节点C2及C3在接入第一服务器节点S1和第二服务器节点S2。

在图3所示的反黑客数据库中，*XXX_HostIndex(这里XXXX是指下一个或前一个)连接服务器节点的表；*XXXX_NodeIndex(x)(这里x是0或1)彼此连接客户机节点的表和服务器节点，即*XXXX_NodeIndex(0)连接客户机节点到第一服务器节点和相邻的(下一个或前一个)客户机节点，而XXXX_NodeIndex(1)连接客户机节点到第二服务器节点及一个相邻的(下一个或者前一个)客户机节点。

参照图2-1和2-2描述在图1的以太网交换机中图3所示的反黑客数据库中允许与服务器节点通信的客户机节点的登记。

登记服务器节点或者客户机节点的一个入口需要两次处理。在用户通过控制台输入命令时进行一次处理(图2-1)。来自节点的新的数据分组进入以太网交换机时进行另一次处理(图2-2)。第一处理配置黑客表，如果MAC地址是在地址入口表152中，则更新地址输入字段。在这个处理中，如果地址表120中没有相应的入口，则安全信息更新处理延期，直到具有作为源地址的相应的地址的数据分组进入以太网交换机(处理图2-2)。第二处理登记一个地址入口到地址表，然后如果它是在黑客表中，就更新这个地址入口的安全信息。

在步骤201，主机100通过该主机100接收安全服务器节点和接入客户机节点地址。以实例的方式，该安全服务器节点的入口命令可以是ahaddhost＜100:00:f0:aa:bb:cc 168.219.83.147。在这里1是HostID，00:00:f0:aa:bb:cc是MAC地址，而168.219.83.147是IP地址。当接收命令时，在步骤202，发送/接收控制器120加上用于输入MAC地址的反黑客表入口([0030]-[0038])信息到反黑客表而不是到端口号。在步骤203中，发送/接收控制器120检验输入MAC地址是否出现在分组存储器150的地址表152中。如果地址表152不具有MAC地址，发送/接收控制器120完成它的工作。如果地址表152具有MAC地址，在步骤204，发送/接收控制器120从地址表152读出相应的地址入口和修改MAC地址的接入矢量字段为用作安全密钥的新的接入矢量。在步骤205，发送/接收控制器120更新地址表152的地址入口，接入矢量由一个比特矢量组成。比特值“0”意味着限制接入，和“1”意味着允许接入。例如，如果服务器节点S1具有接入矢量00010000，而客户机主机C1具有接入矢量10000001，则客户机主机C1不能接入服务器节点S1，但是具有接入矢量00010001的另一个客户机节点C2可以接入服务器节点S1。为了进一步理解，服务器节点S1的接入矢量00010000意味着S1的HostID是3。同时，接入矢量是0x80＞＞3。如果C1是一个接入客户机节点，C1的接入矢量应该是C1的(0x80＞＞3)|接入矢量。同时它是10010001。这个接入矢量10010001意味着C1可以接入具有HostID 0、3和7的服务器节点。

在步骤203，如果在地址表152中没有MAC地址，意味着发送/接收控制器120不能更新MAC地址的接入矢量。安全信息更新过程延期，直到具有作为源地址的相应的地址的数据分组进入以太网交换机(处理图2-2)。在图2-2的步骤211中，当从一个节点通过第一至n个MAC端口110至10n接收在地址表152中没有地址的数据分组用于与该主机通信时，在步骤212，发送/接收控制器120使得新的地址入口具有新的MAC地址的信息。该地址输入信息包括从MAC端口110传送至10n的端口号。

在步骤213中，发送/接收控制器120检验在地址表152中是否存在新的MAC地址，如果地址表152具有MAC地址，在步骤214，发送/接收控制器1 20将端口号加到反黑客表的端口字段(0034)。在步骤215中，发送/接收控制器120修改使用作为安全密钥的MAC地址的接入矢量字段。

在步骤216，发送/接收控制器120加一个新的地址入口到地址表152。

下面描述在可与服务器节点通信的客户机节点设置为安全功能之后客户机节点和服务器节点之间的通信。

当从客户机节点通过第1至第nMAC端口110至10n接收数据分组用于与服务器节点通信时，发送/接收控制器120从地址入口152读出目的地服务器节点和源客户机节点的地址入口，并且确定在地址分析过程中作为目的地服务器节点的安全密钥的接入矢量比特是否设置为作为源客户机节点的限制密钥的接入矢量比特。如果是，执行正常分组交换操作，否则丢弃接收的分组。

最终，安全密钥设置为服务器节点(目的地节点)的接入矢量而限制密钥设置为客户机节点(源节点)的接入矢量。

根据如上所述的本发明，可与服务器节点通信的客户机节点初步地登记在以太网交换机中，以便拒绝未经批准的客户机节点在较低的层接入。因此，防止黑客的安全性强化了。

虽然本发明已经参照一个特定的优选实施例进行了表示和描述，但是本领域的技术人员理解在不脱离由后附的权利要求书限定的本发明的精神和范围的情况下可以在进行形式和细节上的各种改变。

Claims (4)

1.一种分组交换机通信方法，包括以下步骤：

配置一个反黑客表，该表包含关于网络的多个客户机节点和多个服务器节点的信息，其中，每个客户机节点是由至少相应的MAC地址识别的，和每个服务器节点是由至少相应的MAC地址识别的；

使用MAC源地址配置一个地址表，该地址表具有指示是否允许所述客户机节点的接入的接入矢量；

当请求通过所述分组交换机的多个端口的至少一个端口通信时，接收分组数据；

读出包括在接收的分组数据中的MAC目的地地址和MAC源地址；

确定所述接收的MAC源地址是否存储在所述地址表中；当确定所述接收的MAC源地址存储在所述地址表中时，确定相应于所述接收的MAC目的地地址的接入矢量是否与相应于所述接收的MAC源地址的接入矢量相匹配，其中，所述两个接入矢量均存储在所述地址表中；

如果相应于所述接收的MAC目的地和源地址的接入矢量匹配，向MAC目的地地址发送所述接收的分组数据；和

如果所述接收的MAC目的地和源地址的所述接入矢量不匹配，则拒绝接入。

2按照权利要求1所述的方法，还包括以下步骤：

当确定所述接收的MAC源地址不存储在所述地址表中时，确定相应于所述接收的MAC源地址的信息是否存储在所述反黑客表中；以及

当确定所述接收的MAC源地址存储在所述反黑客表中时，修改所述MAC源地址中的接入矢量为安全密钥，从而在所述地址表中存储修改的地址。

3.按照权利要求2的方法，还包括步骤；

在所述反黑客表中增加对应于接收所述分组数据的端口的一个端口号码到相应于所述接收的MAC源地址的存储区域。

4.一种分组交换机通信方法，包括以下步骤：

配置一个反黑客表，该表包含关于网络的多个客户机节点和多个服务器节点的信息，其中，每个客户机节点是由至少相应的MAC地址识别的，和每个服务器节点是由至少相应的MAC地址识别的；

使用MAC源地址配置一个地址表，该地址表具有指示是否允许所述客户机节点的接入的接入矢量；

当请求通过所述分组交换机的多个端口的至少一个端口通信时，接收分组数据；

读出包括在接收的分组数据中的MAC目的地地址和MAC源地址；

确定所述接收的MAC源地址是否存储在所述地址表中；

当确定所述接收的MAC源地址不存储在所述地址表中时，确定相应于所述接收的MAC源地址的信息是否存储在所述反黑客表中；以及

当确定所述接收的MAC源地址存储在所述反黑客表中时，修改所述MAC源地址中的接入矢量为安全密钥，从而在所述地址表中存储修改的地址。

Images