CN1801711A - 一种组播组成员认证方法和装置 - Google Patents

Abstract

本发明公开一种组播组成员认证方法，包括步骤：生成和维护允许加入组播组的主机的信息及其连接的端口的对应关系；接收并解析来自主机的组播组加入请求；根据该组播组加入请求进入的端口，判断其中包含的主机信息是否存在于前述对应关系中；如果是，则将该主机添加至组播组；如果否，则进行失败处理。本发明还公开一种组播组成员认证装置。本发明可以解决组播接入的安全性控制问题。

Description

一种组播组成员认证方法和装置

技术领域

本发明涉及组播业务的成员管理技术，特别是涉及一种组播组成员认证方法和装置。

背景技术

随着信息技术的发展，越来越多的信息通过网络进行传输，为人们的生活、工作和学习带来较大的便利。

网络传播数据的方式可以分为IP(Internet Protocol)单播、IP广播和IP组播等类型。其中，IP单播方式中，源IP主机发送单播IP报文，此报文的目的IP地址是IP网络中的唯一的主机地址，也就是说，只有地址为该目的IP地址的目的IP主机才能接收该报文。IP广播方式中，源IP主机发送广播IP报文，此报文的目的IP地址是某一网段的子网广播地址，也就是说，该子网内的所有主机都可以接收该报文；更为特殊的情况是：目的IP地址为全网广播地址：255.255.255.255，则任何主机都能接收该报文。IP组播方式中，源IP主机发送组播IP报文，此报文的目的IP地址是一个D类地址，或称组地址，也就是说，只有加入到该组的主机才能接收该报文。

组播技术的应用涉及数据的分发、视频会议、IPTV(交互式网络电视)等业务，其应用前景越来越广。其中的IPTV业务，是近年来的各大运营商力推且一直被看好的业务项目，发展更是声势日隆。使用组播技术，可以使业务的流复制任务均匀地分摊到沿途的各个转发设备上，从而降低业务源服务器的负担及对其性能的要求。

随着组播技术的运用越来越广泛，随之而来的便是安全性的问题。例如，如何避免一部分非法用户加入组播组，获取组播服务是需要考虑的问题。

请参阅图1，是一种组播系统的组网结构图。

基于该组网结构，下面结合具体的实例对现有技术中维持组播组成员关系的过程进行说明。

二层交换机300从端口port1接收到来自主机401的组地址为224.1.1.1的IGMP(Internet Group Management Protocol，因特网组管理协议)成员关系报告，从而生成MAC(Media Access Control，媒体接入控制)地址为01005e010101的MAC表项，其对应的端口集包含端口port1和连接组播路由器200的端口port3。

此后，组播源100通过组播路由器200转发组地址为224.1.1.1的组播流；二层交换机300从端口port3接收到组地址为224.1.1.1的组播流之后，将组播流往端口port1转发，而不会往其它端口(例如端口port2)进行转发。

也就是说，现有技术中的二层交换机对组播流的控制普遍使用IGMP-SNOOPING协议，通过监听来自用户主机的IGMP成员关系报告，以生成对应的组播MAC表项，并在该MAC表项对应的端口集合中包含对应的端口，从而引导组播流往所述端口进行转发。

该现有技术采用IGMP-SNOOPING协议，通过二层组播转发表可以实现对组播流进行端口级的转发控制，但是其无法判断来自主机的IGMP成员关系报告的合法性，这是因为，交换机300从端口收到IGMP成员关系报告报文时不会检查其合法性，只根据其包含的组地址，将该端口放入组播MAC地址对应的端口集合中，因此在安全性方面存在不足之处。

具体而言，假设组播源100同时在播放多个组的节目，运营商希望只有通过DHCP(Dynamic Host Configuration Protocol，动态主机配置协议)服务器500获得IP地址的用户主机才允许进行点播，此时仅仅凭借IGMP-SNOOPING协议本身无法满足此种需求。这是因为如果主机402未通过DHCP服务器500获得IP地址，而是自己随便配置IP地址，其只需要发送IGMP成员关系报告，照样可以进行点播。

请参阅图2，是另一种组播系统的组网结构图。

基于该组网结构，现有技术中，IP主机401、402和403与其直接相邻的组播接入设备600之间采用IGMP协议来建立、维护组播组成员关系。成员主机通过发送IGMP成员关系报告报文来加入组播组；组播接入设备600根据收到的IGMP成员关系报告在相应的接口上记录组播组的信息，从而可决定将相应的组播流往该接口转发。

根据IGMP协议，当主机希望加入或者离开指定的组播组并且准备接收或者拒绝接收该组播业务时，会发送IGMP消息以通知本地组播路由器。目前有三个版本，通常设备支持V1、V2两个版本。

也就是说，现有技术中，组播接入设备600通过IGMP协议了解各接口连接的网段上是否存在某个组播组的接收者，即组成员，但是不会检查IGMP成员关系报告的合法性，任何用户只要发送相应的组播组成员关系报告报文都能加入到组播组中，享受组播服务。因此，该现有技术在安全性方面存在不足之处。

具体而言，如果运营商要求只有通过DHCP服务器500动态获得IP地址的用户才可以加入组播组，显然仅仅使用IGMP协议的该现有技术的方案无法满足此种需求。例如，主机402没有通过DHCP服务器500获取合法的IP地址，而是配置静态的IP地址，并且发送相应的IGMP成员关系报告报文，点播组播节目也是可以成功的。

有鉴于此，需要提供一种新型的建立和维护组播组成员关系的机制。

发明内容

本发明解决的技术问题在于提供一种组播组成员认证方法和装置，可以解决组播接入的安全性控制问题，使得只有特定的用户主机才允许进行点播。

为此，本发明解决技术问题的技术方案是：提供一种组播组成员认证方法，包括步骤：

1)生成和维护允许加入组播组的主机的信息及其连接的端口的对应关系；

2)接收并解析来自主机的组播组加入请求；

3)根据该组播组加入请求进入的端口，判断其中包含的主机信息是否存在于前述对应关系中；如果是，则进入步骤4)；如果否，则进入步骤5)；

4)将该主机添加至组播组；

5)进行失败处理。

优选地，所述步骤1)和步骤3)中的主机信息包括主机的IP地址、MAC地址及其所属VLAN；所述步骤2)的解析包括获取该请求的源IP地址、源MAC地址以及获取发出请求的主机所属VLAN。

优选地，所述步骤2)和3)所述的组播组加入请求是主机发出的IGMP成员关系报告报文。

优选地，所述步骤1)的生成对应关系包括：监听主机通过DHCP获得动态IP地址的过程中的DHCP协议报文；对应报文传输的端口来记录该报文相关信息。

优选地，所述DHCP协议报文是DHCP服务器发出的DHCPACK报文，报文相关的信息包括：主机所属VLAN、主机IP地址、主机MAC地址。

优选地，所述DHCP协议报文是主机发出的DHCP REQUEST报文，报文相关的信息包括：主机所属VLAN、主机IP地址、主机MAC地址。

优选地，所述步骤1)的生成对应关系包括：静态配置允许加入组播组的主机连接的端口号、IP地址、MAC地址及其所属VLAN。

优选地，所述步骤4)中的添加过程包括：将该端口放入对应组播MAC表项的端口集合中或者将组播组注册到该端口下；所述步骤5)中的失败处理是丢弃该组播组加入请求。

本发明提供的另一种组播组成员认证方法，包括步骤：

1)建立允许加入组播组的主机所具有的特征信息的表项；

2)判断发出组播组加入请求的主机是否具备所述表项中的特征，如果具备，添加该主机至所述组播组；如果不具备，进行失败处理。

优选地，所述特征信息包括允许加入组播组的主机的信息及其连接的端口的对应关系；所述步骤2)的判断包括根据该组播组加入请求进入的端口，判断该请求中包含的主机信息是否存在于前述对应关系中。

优选地，所述步骤2)的主机信息包括主机的IP地址、MAC地址及其所属VLAN。

本发明还提供一种组播组成员认证装置，连接在组播源和至少一个主机之间，用于维护允许加入组播组的主机的信息和端口的对应关系；接收并解析来自主机的组播组加入请求；当该组播组加入请求中包含的主机信息存在于该请求进入的端口下的前述对应关系中时将该主机添加至组播组。

优选地，所述组播组成员认证装置是支持IGMP-SNOOPING协议和DHCP-SNOOPING协议的二层交换机；所述对应关系中包括二层交换机通过监听DHCP协议交互报文所记录的端口及主机相关信息；所述组播组加入请求是IGMP成员关系报告报文。

优选地，所述组播组成员认证装置是支持IGMP协议且开启DHCP Relay功能的组播接入设备；所述对应关系中包括组播接入设备通过监听DHCP协议交互报文所记录的端口及主机相关信息；所述组播组加入请求是IGMP成员关系报告报文。

优选地，所述组播组成员认证装置包括：

对应关系维护单元，用于维护允许加入组播组的主机的信息和端口的对应关系；

组播组加入请求解析单元，用于解析来自主机的组播组加入请求；

组播组成员添加单元，用于在该组播组加入请求中包含的主机信息存在于前述对应关系中时，用于在该组播组加入请求中包含的主机信息存在于前述对应关系中时将该主机添加至组播组。

优选地，当该组播组成员认证装置是组播接入设备时，该组播组成员添加单元将组播组注册到该端口下。

优选地，当该组播组成员认证装置是二层交换机时，该组播组成员添加单元将收到的IGMP成员关系报告的端口加入到该组播组对应的组播MAC表项的端口集合中。

相对于现有技术，本发明的有益效果是：由于本发明对于允许加入组播组的主机，生成其连接的端口和主机相关信息的对应关系；因此在接收到来自主机的加入组播组的进行点播的请求后，可以根据请求对应的主机信息来查询对应关系，即可以获悉该主机是否是合法用户主机，从而决定是否允许其加入，因此可以解决组播接入的安全问题，可以更好的控制用户的接入。

此外，本发明的优选方案中，基于IGMP协议和DHCP协议来实现，其并不涉及对现有的标准协议的改动，只是设备自身加强安全性的处理，因此实现简单且成本较低。

此外，本发明的优选方案中，针对允许静态配置的主机，进一步实现该对应关系的静态配置，因此实现更为便利，更具有灵活性。

附图说明

图1是一种组播系统的组网结构图；

图2是另一种组播系统的组网结构图；

图3是本发明的组播组成员认证方法的一实施方式的流程图；

图4是本发明的组播组成员认证方法的另一实施方式的流程图；

图5是本发明的包括组播组成员认证装置的组播系统的一实施方式的框图；

图6是图5所示的组播组成员认证装置的工作过程的流程图；

图7是本发明的包括组播组成员认证装置的组播系统的另一实施方式的框图。

具体实施方式

请参阅图3，是本发明的组播组成员认证方法的一实施方式的流程图。

该实施方式的网络应用环境可以参考图1。其中，该二层交换机300同时支持IGMP-SNOOPING协议和DHCP-SNOOPING协议。

其中，IGMP-SNOOPING协议是一种在应用在交换机上的二层组播协议。通过交换机监听主机发出的IGMP协议报文和组播路由器发出的IGMP、PIM等组播路由协议报文，来建立特定组的组播MAC表项，从而控制组播业务流在交换机内的转发。

DHCP SNOOPING协议是一种应用在二层交换机上用以监听DHCP报文功能的协议，通过监听DHCP客户端和服务器端的DHCP交互报文，以记录相关信息。

本实施方式的成员认证的基本过程包括：

步骤S310，二层交换机300通过DHCP-SNOOPING协议记录某端口下分配出去的IP地址以及获得该IP地址的主机的MAC地址和该主机所属的VLAN(虚拟局域网)信息。

所述的记录过程具体可以是：二层交换机300监听来自DHCP服务器500的DHCP ACK报文，记录该报文向主机转发的出端口、主机所属的VLAN，以及DHCP ACK报文的目的IP(也就是DHCP服务器分配给主机的IP地址)、DHCP ACK报文的目的MAC地址。

当然，也可以通过监听来自主机的DHCP REQUEST报文，记录该报文中的相应信息来实现，此不赘述。

步骤S320，二层交换机300从某端口下接收来自某主机的IGMP成员关系报告。

本发明中，主要需要利用IGMP成员关系报告中所包含的下述信息：主机的源IP地址、源MAC地址、所要加入的组播组地址。

步骤S330，二层交换机300判断该主机的源IP地址和源MAC地址是否是其进入交换机的端口下曾经记录的IP地址和MAC地址，以及是否曾记录其所属的VLAN信息；如果是，则进入步骤S340；如果否，则进入步骤S350。

步骤S340，进行前述IGMP成员关系报告的正常处理。

步骤S350，进行失败处理，例如可以直接丢弃前述IGMP成员关系报告。

为了便于理解本实施方式，下面结合具体实例来描述。

二层交换机300使能DHCP-SNOOPING协议。当下挂的用户主机通过DHCP协议获取IP地址时，二层交换机300对DHCP的协议交互报文进行监听，从而记录如表1所示的端口信息关联表。

                                      表1

交换机端口号	主机所属VLAN	主机IP地址	主机MAC地址
				Port1	101	200.1.1.3	00-0A-EB-F0-EF-BE
102	200.1.1.4	00-0B-3A-80-DF-BA
			Port2		103	200.1.1.5	00-09-1A-7D-3C-B7
…		…		…

此表包含四个信息：端口号、主机所属VLAN、主机IP地址、主机MAC地址。当某端口下的主机通过DHCP动态获得IP地址时，相应的该端口下的主机IP和主机MAC地址及该主机所属的VLAN即可记录下来。

例如图1中，主机401通过DHCP服务器500申请动态IP：200.1.1.3，则二层交换机300可在表1中的端口port1下面，记录其动态获得的IP地址：200.1.1.3，以及该主机的MAC地址：00-0A-EB-F0-EF-BE及该主机所属的VLAN：101。

二层交换机300在某端口收到IGMP成员关系报告，需要查看表1中的记录，如果该端口下有IGMP成员关系报告的源IP地址和源MAC地址及该主机所属的VLAN的记录，则接受该IGMP成员关系报告，将该端口放入对应组播MAC表项的端口集合中。

例如图1中，主机401通过DHCP服务器500动态获得IP地址，则表1中必定会有对应的表项：port1、101、200.1.1.3、00-0A-EB-F0-EF-BE。当交换机300从端口port1收到来自主机401的IGMP成员关系报告时，则必定能找到该表项，从而对IGMP成员关系报告进行正常处理。

如果该IGMP成员关系报告的源IP地址或者源MAC地址或者主机所属VLAN不在表1的端口所关联的信息中，则直接丢弃，不予处理。

例如图1中，主机402未通过DHCP服务器500动态获得IP地址，而是直接配置一个静态的IP地址：200.1.1.10。当交换机300从端口port1收到主机402发送的IGMP成员关系报告进行点播时，查找表1发现端口port1的关联信息中没有此IP地址，则直接丢弃该IGMP成员关系报告。

又例如图1中，假设主机402趁主机401未上网，配置与主机401相同的IP地址，但是由于其发送的IGMP成员关系报告的源MAC地址与主机401不同，则同样通不过检查。

此外，本发明中的端口信息关联表并不限于通过DHCP协议来实现，也可以通过静态配置的方式来生成和维护。也就是说，对于允许静态配置的用户主机来说，可以提供命令对表1进行静态配置，此不赘述。

请参阅图4，是本发明的组播组成员认证方法的另一实施方式的流程图。

该实施方式的网络应用环境可以参考图2。其中，组播接入设备600支持IGMP协议，且同时开启DHCP Relay功能。

通过DHCP Relay功能，用户主机401、402和403可以不直接连接DHCP服务器500，而通过该组播接入设备600连接DHCP服务器500。主机401、402和403通过DHCP Relay和DHCP服务器500通信，动态获得合法的IP地址。从而，多个网络上的用户主机可以使用同一个DHCP服务器，既节省成本，又便于进行集中管理。

本实施方式的成员认证的基本过程包括：

步骤S410，组播接入设备600依靠DHCP Relay生成端口信息关联表，该表记录已分配到IP地址的合法用户主机的IP地址及其MAC地址和主机所属VLAN。

通过DHCP Relay记录表项的过程具体可以是：执行DHCP Relay的组播接入设备600通过监听DHCP服务器500的DHCP ACK报文，记录该报文向主机转发的出端口、主机所属的VLAN，以及DHCP ACK报文的目的IP、DHCPACK报文的目的MAC地址。

当然，也可以通过监听来自主机的DHCP REQUEST报文，记录该报文中的相应信息来实现，此不赘述。

步骤S420，组播接入设备600从某端口接收IGMP成员关系报告。

步骤S430，组播接入设备600判断该主机的源IP地址和源MAC地址是否是该端口下曾经记录的IP地址和MAC地址，以及是否曾经记录主机所属VLAN；如果是，则进入步骤S440；如果否，则进入步骤S450。

步骤S440，进行前述IGMP成员关系报告的正常处理。

步骤S450，进行失败处理，例如可以直接丢弃前述IGMP成员关系报告。

为了便于理解本实施方式，下面结合具体实例来描述。

用户主机在使用DHCP协议动态获得IP地址时，组播接入设备600通过DHCP Relay记录获得动态IP地址的用户主机的MAC地址以及连接的端口号以及主机所属的VLAN，形成表2所示的端口信息关联表。

                                    表2

端口号	主机所属VLAN	IP地址	MAC地址
				Port1	201	10.10.10.2	00-11-43-01-EA-16
202	10.10.10.3	00-11-43-01-EA-17
			Port2		203	10.10.10.4	00-0A-EB-75-69-D7
…		…		…

例如图2中，连接在端口port1下的主机401通过DHCP服务器500获得IP地址10.10.10.2，其MAC地址为00-11-43-01-EA-16，主机所属VLAN为201，则记录如表2所示。

当组播接入设备600从某端口收到来自主机的IGMP成员关系报告后，首先在表2中查看其源IP地址和源MAC地址是否记录在该端口下，以及是否曾经记录主机所属VLAN；如果是，则通过检查，将组播组记录在该端口下。

例如图2中，主机401通过DHCP服务器500动态获得IP地址10.10.10.2，则组播接入设备600通过DHCP Relay将其IP地址和MAC地址记录在表2中；当组播接入设备600从端口port1下接收到来自主机401的IGMP成员关系报告，通过检索表2发现端口port1下有其源IP地址和源MAC地址及主机所属VLAN的记录，于是通过检查，将组播组记录在该端口下。

如果组播接入设备600检索发现源IP地址或者源MAC地址或者主机所属VLAN在该端口下没记录，则直接丢弃不予处理。

例如图2中，主机402未通过DHCP服务器500动态获得IP地址，而是配置一个静态IP地址10.10.10.10，则组播接入设备600接收到主机402发出的IGMP成员关系报告，通过检索表2，发现端口port1下没有IP地址10.10.10.10的记录，于是直接丢弃。

又例如，假如主机402趁主机401未上网，配置与主机401相同的静态IP地址，当组播接入设备600从端口port1下收到来自主机402的IGMP成员关系报告，通过检索表2发现端口port1下未记录其源MAC地址的信息，则直接丢弃报文。

此外，本发明中的端口信息关联表并不限于通过DHCP协议来实现，也可以通过静态配置的方式来生成和维护。也就是说，对于允许静态配置的用户主机来说，可以提供命令对表2进行静态配置。

需要说明的是，还可以将图3和图4所示的实施方式结合起来实施，进一步增强对组播接入的控制，此不赘述。

请参阅图5，是本发明的包括组播组成员认证装置的组播系统的一个实施方式的框图。

组播组成员认证装置900连接在组播源100和多个主机400之间，用于维护允许加入组播组的主机的信息和端口的对应关系；解析来自主机的组播组加入请求；当该组播组加入请求中包含的主机信息存在于前述对应关系中时将该主机添加至组播组。

其中，该组播组成员认证装置900包括：多个端口(未标示)，用于连接至多个主机400；对应关系维护单元920，用于维护允许加入组播组的主机的信息和端口的对应关系；组播组加入请求解析单元930，用于解析来自主机的组播组加入请求；组播组成员添加单元940，用于在该组播组加入请求中包含的主机信息存在于前述对应关系中时将该主机添加至组播组。

该实施方式的组播组成员认证装置的工作过程请一并参阅图6。

步骤S610，生成和维护允许加入组播组的主机的信息及其连接的端口的对应关系；

步骤S620，接收并解析来自主机的组播组加入请求；

步骤S630，判断该组播组加入请求中包含的主机信息是否存在于前述对应关系中；如果是，则进入步骤S640；如果否，则进入步骤S650；

步骤S640，将该主机添加至组播组；

步骤S650，进行失败处理。

请参阅图7，是本发明的包括组播组成员认证装置的组播系统的另一个实施方式的框图。

该实施方式与图5所示的实施方式大致相同，不同之处在于，该实施方式中，组播组成员认证装置900还连接至DHCP服务器500。

其中，所述允许加入的主机是指通过DHCP服务器500获得动态IP地址的主机。所述组播组成员认证装置900在某主机通过DHCP服务器500获得动态IP地址时，生成该主机连接的端口和该主机的IP地址、MAC地址和其所属VLAN的信息。该实施方式使得只有通过DHCP服务器获得IP地址的用户主机才允许进行点播。

综上所述，本发明通过建立允许加入组播组的主机所具有的特征信息的表项；并且判断发出组播组加入请求的主机是否具备所述表项中的特征，如果具备，添加该主机至所述组播组；如果不具备，进行失败处理，可以解决组播接入的安全性控制问题。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (17)

1.一种组播组成员认证方法，其特征在于，包括步骤：

1)生成和维护允许加入组播组的主机的信息及其连接的端口的对应关系；

2)接收并解析来自主机的组播组加入请求；

3)根据该组播组加入请求进入的端口，判断其中包含的主机信息是否存在于前述对应关系中；如果是，则进入步骤4)；如果否，则进入步骤5)；

4)将该主机添加至组播组；

5)进行失败处理。

2.根据权利要求1所述的组播组成员认证方法，其特征在于，所述步骤1)和步骤3)中的主机信息包括主机的IP地址、MAC地址及其所属VLAN；所述步骤2)的解析包括获取该请求的源IP地址、源MAC地址以及获取发出请求的主机所属VLAN。

3.根据权利要求2所述的组播组成员认证方法，其特征在于，所述步骤2)和3)所述的组播组加入请求是主机发出的IGMP成员关系报告报文。

4.根据权利要求1所述的组播组成员认证方法，其特征在于，所述步骤1)的生成对应关系包括：监听主机通过DHCP获得动态IP地址的过程中的DHCP协议报文；对应报文传输的端口来记录该报文相关信息。

5.根据权利要求4所述的组播组成员认证方法，其特征在于，所述DHCP协议报文是DHCP服务器发出的DHCP ACK报文，报文相关的信息包括：主机所属VLAN、主机IP地址、主机MAC地址。

6.根据权利要求4所述的组播组成员认证方法，其特征在于，所述DHCP协议报文是主机发出的DHCP REQUEST报文，报文相关的信息包括：主机所属VLAN、主机IP地址、主机MAC地址。

7.根据权利要求1所述的组播组成员认证方法，其特征在于，所述步骤1)的生成对应关系包括：静态配置允许加入组播组的主机连接的端口号、IP地址、MAC地址及其所属VLAN。

8.根据权利要求1所述的组播组成员认证方法，其特征在于，所述步骤4)中的添加过程包括：将该端口放入对应组播MAC表项的端口集合中或者将组播组注册到该端口下；所述步骤5)中的失败处理是丢弃该组播组加入请求。

9.一种组播组成员认证方法，其特征在于，包括步骤：

1)建立允许加入组播组的主机所具有的特征信息的表项；

2)判断发出组播组加入请求的主机是否具备所述表项中的特征，如果具备，添加该主机至所述组播组；如果不具备，进行失败处理。

10.如权利要求9所述的组播组成员认证方法，其特征在于，所述特征信息包括允许加入组播组的主机的信息及其连接的端口的对应关系；所述步骤2)的判断包括根据该组播组加入请求进入的端口，判断该请求中包含的主机信息是否存在于前述对应关系中。

11.如权利要求10所述的组播组成员认证方法，其特征在于，所述步骤2)的主机信息包括主机的IP地址、MAC地址及其所属VLAN。

12.一种组播组成员认证装置，其特征在于，连接在组播源和至少一个主机之间，用于维护允许加入组播组的主机的信息和端口的对应关系；接收并解析来自主机的组播组加入请求；当该组播组加入请求中包含的主机信息存在于该请求进入的端口下的前述对应关系中时将该主机添加至组播组。

13.根据权利要求12所述的组播组成员认证装置，其特征在于，所述组播组成员认证装置是支持IGMP-SNOOPING协议和DHCP-SNOOPING协议的二层交换机；所述对应关系中包括二层交换机通过监听DHCP协议交互报文所记录的端口及主机相关信息；所述组播组加入请求是IGMP成员关系报告报文。

14.根据权利要求12所述的组播组成员认证装置，其特征在于，所述组播组成员认证装置是支持IGMP协议且开启DHCP Relay功能的组播接入设备；所述对应关系中包括组播接入设备通过监听DHCP协议交互报文所记录的端口及主机相关信息；所述组播组加入请求是IGMP成员关系报告报文。

15.根据权利要求12所述的组播组成员认证装置，其特征在于，包括：

对应关系维护单元，用于维护允许加入组播组的主机的信息和端口的对应关系；

组播组加入请求解析单元，用于解析来自主机的组播组加入请求；

组播组成员添加单元，用于在该组播组加入请求中包含的主机信息存在于前述对应关系中时，用于在该组播组加入请求中包含的主机信息存在于前述对应关系中时将该主机添加至组播组。

16.根据权利要求15所述的组播组成员认证装置，其特征在于，当该组播组成员认证装置是组播接入设备时，该组播组成员添加单元将组播组注册到该端口下。

17.根据权利要求15所述的组播组成员认证装置，其特征在于，当该组播组成员认证装置是二层交换机时，该组播组成员添加单元将收到的IGMP成员关系报告的端口加入到该组播组对应的组播MAC表项的端口集合中。

Images