TW558885B - Data network node having enhanced security features - Google Patents

Description

558885 A7 _B7_ 五、發明説明（1 ) 發明領域 本發明涉及數據傳輸網路中的數據交換，特別涉及提 供增強的網路安全性的方法和裝置。 發明背景 在通過數據傳輸網路傳輸數據時，使用數據交換節點 來引導在相互連接的數據通信鏈路上的數據傳輸流。每個 數據鏈路通過一個物理通信埠連接到數據交換節點上，所 述物理通信埠具有一個埠標識符。 所述待被傳輸的數據一般被分為有效負載數據單元 (PDUs)，例如數據包，幀，單元等等。每個PDU包括路線 資訊和一個有效載荷。所述路線資訊一般存儲在PDU首 部。例如所述路線資訊包括媒體訪問控制地址（MAC ADDR) 〇所述媒體訪問控制地址是唯一的並且與和數據網 路節點相連的數據網路介面裝置相連。網路介面裝置的一 個例子就是網路介面板（NIC)。因此一個媒體訪問控制地址 標識一個數據網路節點標識符。在所述路徑資訊中的MAC ADDR與被認為是原地址和目的地地址的地址相連。 數據交換節點利用MAC ADDR資訊，用於相連的數據 網路節點的動態拓撲搜索以及用於將數據流傳輸到特定的 目的地媒體訪問控制地址。這種數據交換節點保持一個交 換數據庫，並被稱為進行“層2交換”，層2指的是開放式系 統互聯（OSI)協議堆棧，其說明可在數據交換和傳輸的現有 技術中得知，並被包括在此文中作為參考。 一個交換數據庫的示例性實施例是一個表格，具有交 本紙張尺度適用中國國家標準（CNS) A4規格（210X297公釐） 4 (請先閲讀背面之注意事項再填寫本頁) •訂_ -费_ 558885 A7 B7 五、發明説明（2 ) 換數據庫入口，每個入口說明MAC ADDR和埠標識符之間 的聯繫。任何一個接收到的PDU被交換到在相應的數據庫 入口中指定的埠標識符中，所述接收到的PDU說明存儲在 交換數據庫中的媒體訪問控制地址。 沒有交換數據庫，所述數據交換節點就會向一個集線 器，其使每個PDU在所有的與其相連的物理通信埠上傳 輸，除了那個接收PDU的物理通信埠。這種傳輸操作被稱 為“擴散”。具有交換數據庫可以減小“擴散法”對下列情況 的影響性，在所述情況中，所接收的PDU具有交換數據庫 中不存在的未知目的地MAC ADDR。 在構造一個交換數據庫時，所述過程也被稱作拓撲搜 索，一個與數據交換節點相關的控制器取出在每個物理通 信埠上接收的PDU的源MAC ADDR。如果在交換數據庫中 沒有發現MAC ADDR:埠標識符對，所述控制器在交換數 據庫中建立一個入口存儲新的MAC ADDR :埠標識符關 聯。這種建立交換數據庫的能力也提供了對數據網路節點 的動態發現，所述數據網路節點是最新加到與數據交換節 點相連的數據網路部分。動態發現數據網路節點和建立一 個交換數據庫提供了這種數據交換設備的即插即用操作， 否則需要大量的人工交互以及數據傳輸網路中的連接的數 據網路節點的絕對知識。 所述即插即用操作經常延伸至使數據交換節點在數 據網路節點連接到與數據交換節點相連的數據傳輸網路的 不同部分上時，知道所述數據網路節點的移動。當從具有 本紙張尺度適用中國國家標準（CNS) A4規格（210X297公釐） -----------------------裝·.................訂..................線 (請先閲讀背面之注意事項再填寫本頁) 558885 A7 ______B7_ 五、發明説明（3 ) 不同的埠標識符而不是在其中說明的埠標識符的不同物理 通信埠接收具有在入口中指明的所述MAC ADDR的PDU 時，MAC ADDR和埠標識符之間的關聯在交換數據庫中變 化。在這種情況下，新的埠標識符就會簡單的改寫先前存 儲在入口處的埠標識符說明。 雖然由於數據網路節點在相關聯的數據網路中移 動，即插即用功能減小了在構建和重建交換數據庫中相關 聯的數據傳輸網路中數據網路節點的發現過程中所需的人 力，但是所述即插即用功能使數據網路節點易受到非友好 的MAC ADDR的襲擊。當數據交換節點建立起兩個數據傳 輸網路之間的連接，就會有遇到非友好環境的情況，但不 限於此。 例如，在非友好環境下，一非友好數據網路節點通過 利用數據交換節點的自動交換數據庫重建特徵可以試著去 監察到特定的MAC ADDR的通信量。 根據一個示例性的方案，所述非友好的數據網路節點 朝向數據交換節點發送一個數據包，所述數據包具有對應 於待被衝擊的數據網路節點的MAC ADDR的源MAC ADDR 〇所述數據交換節點記錄數據網路節點的移動，並 且通過以對應於與非友好數據網路節點相連的物理通信埠 的埠標識符來重寫埠標識符說明、對應於所述MAC ADDR 修改所述交換數據庫入口。因此所有的指向受衝擊的數據 網路節點的MAC ADDR的PDUs通過數據交換節點傳輸到 非友好的數據交換節點。所述MAC ADDR衝擊能廣至非友 本紙張尺度適用中國國家標準（CNS) A4規格（210X297公釐） 6 (請先閲讀背面之注意事項再填寫本頁) -訂！ 558885 A7 B7 五、發明説明（4 好數據網路節點取代了受衝擊的數據網路節點的功能。所 述情況完全符合當前採用的數據交換設備的預定操作，否 則就會漏檢。 因此需要使數據交換節點同時在友好和非友好的環 境下操作，同時檢測、預防和報告非友好MAC ADDR衝擊 事件。 發明概述 根據本發明的一個方面，提供一種安全數據交換節 點。所述數據交換節點維護具有交換數據庫入口的交換數 據庫。每個數據庫入口具有相應的入口保護標諸。每個入 口保護標誌用於選擇性地禁止相應的數據庫入口的編輯， 並使數據交換節點能安全地同時在友好和非友好的數據網 路環境下操作。 根據本發明的另一個方面，提供一安全的數據交換節 點。所述數據交換節點在多個物理通信埠之間，特別是在 通過物理通信埠連接到數據網路部分上的數據網路節點之 間傳輸數據流。每個物理通信埠具有相關的埠標識符 (PortID)。基於PortID至PortID，通過使用每個都與埠標識 符相連的拓撲搜索抑制標誌能抑制數據交換節點的數據網 路拓撲搜索特性。所述拓撲搜索抑制特性防止非友好的數 據網路節點參與到數據傳輸網路中，使數據交換節點同時 在友好和非友好的數據網路環境中操作。 根據本發明的另一個特徵，提供一個安全數據交換節 點。當接收具有未知目的地的數據流時，所述數據交換節 本紙張尺度適用中國國家標準（CNS) A4規格（210X297公釐） 裝 訂 .....線 (請先閱讀背面之注意事項再填寫本頁) 經濟部智慧財產局員工消費合作社印製

------------_裝------ (請先閱讀背面之注意事項再填寫本頁) tr Α7 五、說明(^ "" ㈣用選定的流量㈣機制傳輸數據流。當所述選擇性的 流量㈣機制被啟動時，所述數據流輸送到除源物理通作 埠之料所有㈣驗埠，並域具有㈣料抑制特徵 料標識符啟動。所選擇的流量控制機制防止非友好的數 _路節點接收未知的目的地數據流，使得數據交換節點 能同時安全地在友好和非友好數據網路環境下運行。 j㈣據交料點具錢點，其㈣時結好和非友 料境下運行的數據交換節點並檢測，預防和報告非友好 的MAC ADDR攻擊事件。 附圖簡述 通過下面參照附圖對本發明優選實施例的描述，本發 明的特徵和優點將更加清楚。 第1圖是示意性的網路圖，其示出了相互連接的數據 網路元件，所述元件同時在友好和非友好的網路環境下運 I 行， 第2圖是示出由數據交換節點維護的交換數據庫的詳 細示圖，所述交換數據庫具有根據本發明的示例性實施例 的交換數據庫入口保護特性； 第3圖是示出由數據交換節點維護的交換數據庫的詳 I 細示圖’所述交換數據庫具有根據本發明的示例性實施例 的用於每個物理通信埠的控制特性； 第4 A及B圖是示出根據本發明的示例性實施例的數據 交換節點的控制特性的示意圖； 第5圖是示出根據本發明的示例性實施例的安全pdu 本紙張尺度適用中國國家標準（CNS)A4規格（210 X 297公釐） 558885 A7 B7 五、發明説明（6 ) 傳輸過程的流程圖，所述安全PDU傳輸過程實施MAC ADDR攻擊檢測，預防以及在數據交換節點處報告。 可以注意到，在附圖中相同的標號表示相同的特徵。 實施例的詳細描述 附圖第1圖是示出同時在友好和非友好數據網路環境 下操作的相互連接的數據網路元件的示意性網路圖。 一具有控制器101的數據交換節點100維護一個交換 數據庫（SWDB)102。下面將參照第2，3和4圖描述所述SW DB102，所述SWDB存儲連接到數據交換節點1〇〇上的數據 網路部分的電路結構（拓撲佈局存儲在SW DB102中的拓 撲結構資訊說明了通過哪個物理埠106可以到達哪個數據 網路節點1〇4。當數據網路部分可以有多過一個的數據網路 希點時，存在數據網路節點結構，其中多過一個的數據網 路節點104與一物理埠106相連。 每個數據網路節點104通過一個專門的逼信鏈路，例 如如圖中所示出的用於數據網路節點104-B的網路電纜 108 ’連接到一個單獨的物理通信埠106上。本發明同樣適 用於連接到如第1圖所示的數據交換節點！ 〇〇上的總線網路 部分110，環形網路部分112等。

圖中示出數據交換節點100，其同時在友好和非友好 網路環境下運行。更具體而言，具有MAC ADDR X的數據 網路節點104-A、具有MAC ADDR Y的數據網路節點 104·Β、具有MAC ADDR W的數據網路節點i〇4-C等是友好 的’數據網路節點104-E傳輸數據，如同具有MAC ADDR Y 本紙張尺度適用中國國家標準（⑽）A4規格（2i〇x297公愛） 9 (請先閲讀背面之注意事項再填寫本頁) -、吖丨 •線丨 558885 A7 B7 _____ 五、發明説明（7 ) 的數據網路節點，這種數據網路節點被認為是非友好的計 算機。 第2圖是示出由數據交換節點維護的交換數據庫的細 節的示意圖，根據本發明的示例性實施例，所述交換數據 庫具有交換數據庫入口保護特性。 SW DB102的示例性解釋是一個總的標為200的查詢 表。所述表200包括行交換數據庫入口 202 ;每個入口存儲 一個MAC地址，一個相關的埠標識符和一個交換數據庫入 口保護識別器，所述識別器也被認為是標誌。 如第2圖所示，表格200包括在第1圖中出現的網路結 構，其中，入口 202 - 〇對應於有MAC ADORX並連接到物 理通訊埠106-1上的數據網路節點104-A，入口 202-1對應於 有MAC ADDR Y並與物理通信埠106-2相連的數據網路節 點104-B，入口 202-2對應於有MAC ADDR W並與物理通信 埠106-3相連的數據網路節點104-C，入口 202-3對應於有 MAC ADDR Z並與物理通信埠106-3相連的數據網路節點 104-D，等等。 在本技術領域中，每個入口保護狀態標誌可以被稱作 數據庫入口保護位。每個入口保護狀態標誌能說明，例如 當設定所述保護位時，所相連的交換數據庫入口 202是被保 護的，當重新設定所述保護位時，所相連的入口 202是未被 保護的。更具體而言，第2圖示出了為入口 202-1和202-3設 定的入口保護位。具有相關聯的保護位的受到保護的交換 數據庫入口不能被改變，由此鎖定MAC ADDR和埠標識符 本紙張尺度適用中國國家標準（CNS) A4規格（210X297公釐） 10 (請先閲讀背面之注意事項再填寫本頁) •訂_ 嘰， 558885 A7 B7 五、發明説明（8 之間的聯繫。 如果所述非友好數據網路節點104-E試著發送一個具 有MAC ADDR Y的PDU到埠標識符N，數據交換節點100的 控制器101查詢所述SW DB102，並且試著對應於MAC ADDR Y來修改所述入口 202-1，以從2至N改變埠標識符關 聯性。通過設定入口保護位能阻止所述嘗試。所述失敗的 嘗試被檢測出來作為潛在的侵入事件，並且利用本領域已 知的方法來報告所述事件，例如產生警告信號或警告傳播 方法。 所述交換數據庫入口保護特徵等同於一個人工設定 的交換數據庫入口，並且提供具有人工設定的交換數據庫 入口固有的安全特性，所述人工設定的交換數據庫入口位 於有操作者的交換表中，在所述交換表中數據網路節點和 數據交換節點之間的聯繫能被明確地確定。 所述入口保護狀態標誌能通過一個控制介面、例如管 理控制臺設定。也存在其他的方注，將負載包含到保護入 口的交換數據庫102中，形成一種安全的長期存儲，例如硬 盤，電可改寫可編程只讀存儲器，E(E)PROM，但不限於 此。 如果在SW DB102中的入口如上所述被保護起來，其 不能防止其他的MAC ADDR與如在入口 202 - 2和202-3中 的埠標識符相同的埠標識符關聯起來。當數據交換節點100 的物理通信埠106與多一節點數據網路部分（112，110)相連 時，多過一個的MAC ADDR與一個埠標識符相連。 本紙張尺度適用中國國家標準（CNS) Α4規格（210X297公釐） 11 (請先閲讀背面之注意事項再填寫本頁) 、τ :線 558885 A7 _B7_ 五、發明説明（9 ) 一般，由於在表200上的存儲限制，只能存儲有限數 量的入口。如果在已經到達表2 00中的最大入口數量的數據 交換節點100處接收一個新的源MAC ADDR，那麼或者最 舊的或者最少使用的入口從SW DB102中除去，以容納新 的MAC ADDR。所述非友好的數據網路節點102-E可以試 著通過發送大量的有偽造的MAC ADDR的PDU監測通過 所述敷據交換節點100的數據流，所述偽造的MAC ADDR 然後由數據交換節點100獲取，最終刪除SW DB102中合法 的入口。所述過程被稱作將合法的MAC ADDR “沖洗”出SW DB102·。 一旦刪除合法的路徑入口，具有合法的MAC ADDR目 的地的PDUs對應於所刪除的路徑入口傳輸至所有的物理 通信埠，其包括與非友好數據網路節點相連的物理通信 埠。因此所述非友好的數據網路節點能監測由數據交換節 點100處理的數據流。 第3圖是示出由數據交換節點維護的交換數據庫細節 的示意圖，所述交換數據庫具有根據本發明的示例性實施 例的用於每個物理通信埠的控制特徵。 通過控制位（或標誌位）可以實施一拓撲搜索抑制特 徵，每個控制位與一個埠標識符相連，其他的實施方法也 是可行的，不限於示出的表格式的表述方式300。當拓撲搜 索不能用於一個特定的埠標識符時，例如埠標識符3，防止 與埠標識符相連的額外的數據庫入口添加到SW DB102上。 例如可以在網路設立時使用拓撲搜索，然後抑制拓撲 12 (請先閲讀背面之注意事項再填寫本頁) 本紙張尺度適用中國國家標準（CNS) A4規格（210X297公釐） 558885 A7 B7 五、發明説明（10 ) # 搜索以防止與特定的埠標識符相關的SW DB102的進一步 的變化。在有拓撲發現特徵被抑制的物理通信埠上的數據 交換節點100處，如果接收到額外的源MAC ADDR，那麼 將產生警告信號。 根據本發明的另一個實施例，所述拓撲搜索特徵可以 允許與物理通信埠相連的MAC ADDR動態增加到基於每 個埠標識符的上限上，使得搜索的數量能被控制，又能防 止沖洗SWDB102中的所有的合法的入口。 一個未知的目的地流控制特徵也能被實施，作為每個 通信埠的控制位（或標誌位），但不限於此。當設定所述控 制位時，所述未知的目地流動控制特徵被啟動，當所述控 制位被重新設定時，所述未知目的地流動控制特徵被抑制。 所述未知的目的地流控制特徵被用於防止PDU複製到 選定的通信埠。所述特徵防止連接到選定的通信埠上的非 友好數據網路節點接收未知的目的地數據流。 第4圖是根據本發明的其他示例性實施例的數據交換 節點的控制特性的示意圖。 根據本發明的另一個實施例，所述控制特性具有全程 作用域，是數據交換節點的所述物理通信埠的安全資源。 全局控制特性總的在400處示出，其包括一個全局拓 撲搜索發現控制位。當所述全局拓撲搜索控制位被設定為 否時，交換數據庫入口可以自動加入到SW DB102中。 當然通過一個管理控制臺增加的交換數據庫入口不 會受到影響。當重新設定全局拓撲搜索控制位時，在如上 (請先閲讀背面之注意事項再填寫本頁) .、可| :線 本紙張尺度適用中國國家標準（CNS) A4規格（210X297公釐） 13 558885 A7 _B7_ 五、發明説明（11 ) 所說的在埠一埠的基礎之上實施拓撲搜索控制。 在第4 A圖示出全局未知目的地流控制特徵與拓撲搜 索抑制特徵相結合，並提供以下優點。 如果已經搜索到所有的與特定的物理璋相連的數據 網路節點之後，那麼就沒有必要將未知的目的地PDUs傳輸 到那個通信埠，因為所有的連接到其上的數據網路節點都 是已知的。這減小了複製這種PDU到物理通信埠時處理的 PDU的數量。 根據本發明的另一個實施例，所述的上述的控制特徵 可以通過如第4圖所示的單一控制位啟動。 第5圖是示出根據本發明的一個示例性實施例的、安 全PDU傳輸過程的流程圖，所述傳輸過程實施MAC地址攻 擊監測，預防和在數據交換節點處報告的功能。 所述安全PDU傳輸過程在步驟500通過接收來自源物 理通信埠的PDU開始，所述源物理通信埠具有源埠ID。所 述與數據交換節點100連接的控制器101監視用於路徑資訊 的所接收的PDU的首部，在步驟502取出至少一個源MAC 地址。在步驟504基於源MAC地址，查詢所述SW DB102。 如果在步驟504發現在SW DB102中有對應於源MAC 地址的交換數據庫入口，所述過程在步驟506繼續進行以確 定在入口中存儲的埠ID和源埠ID是否匹配。 如果埠ID在步驟506中匹配，所述過程從步驟508開始 傳輸PDU。 如果槔ID在步驟506中不匹配，如果入口沒有被保 14 (請先閱讀背面之注意事項再填寫本頁) 本紙張尺度適用中國國家標準（CNS) A4規格（210X297公釐） 558885 A7 B7 五、發明説明（12 ) 護，並且這一事實在少**驟510中得到確認’所述過程通過嘗 試著在步驟512修改交換數據庫而進行。 如果在步驟51〇沒有發現所述交換入口被保護，在步驟 512修改所述入口，所述過程從步驟508繼續進行傳輸PC>U。 如果在步驟51〇發現所述交換入口被保護，所述過程 在步驟514繼續進行，觸發一個報警信號。所述過程通過刪 除所述PDU並從步驟500從新開始來繼續進行。 如果在步驟504，在SW DB102中沒有發現對應於源 MAC地址的交換數據庫入口 ’根據在步驟515和516中實施 的拓撲搜索是否由於源埠ID受到抑制，所述過程嘗試著向 SW DB102中增加一個新的入口。 如果拓撲搜索對整個數據交換節點1〇〇不能全局化， 那麼所述過程在步驟514通過觸發一個報警信號而重新開 始；否則實施用於源埠ID的拓撲搜索控制。 如果拓撲搜索能在步驟516能用於源埠識別符，在步 驟518向SW DB102增加一個新的入口，所述過程從步驟508 繼續傳輸所述PDU。 如果拓撲搜索在步驟516由於源埠ID被抑制，在步驟 514通過觸發一個報警信號而重新開始。 在傳輸PDU的過程中，所述控制器1〇1監視PDU路徑資 訊，所述PDU路徑資訊取出至少所述目的地MAC地址。在 步驟520中所述過程基於目的地MAC地址查詢SW DB102。 如果所述SW DB102包括一個對應於目的地MAC地址 的交換入口，然後將PDU傳輸到在步驟522中指定的埠ID。 本紙張尺度適用中國國家標準（CNS) A4規格（210X297公爱） 15 ------------------------裝..................訂..................線. (請先閲讀背面之注意事項再填窝本頁) 五 A7 B7 "發明説明（13:) 在步驟522傳輸PDU之後，所述過程從步驟500繼續進行。 如果SW DB102不包括對應於所述目的地MAC地址的交 換入口，那麼在步驟524產生包括所有物理通訊埠的埠流列 表，並且在步驟526將源埠ID從中去除。在步驟527中，所有的 具有埠未知目的地流動控制位的埠ID也從埠流列表中去除。 在全局未知目的地流動控制特徵被啟動、在步驟5 2 8 確認所述事實的條件下，複製所述PDU並在步驟532將其傳 輪到埠流列表中的物理通信埠處。 如果所述全局未知目的地流動控制特徵被啟動，在步 驟532處擴散所有的物理通信埠之前，在步驟53〇處，從埠 流動列表中去除所有的有拓撲搜索被抑制的埠。 在將PDU傳輸到剩餘的埠流列表中的埠之後，所述過 程從步驟500重新開始。 此處給出的實施例僅僅是示例性的，並且本領域技術 人員可以理解在不脫離本發明的實質和所附申請專利範圍 所限定的本發明的保護範圍的前提下，可以對上述實施例 進行各種變化和修改。 元件標號對照 110…總線網路部分 100···數據交換節點 101…控制器 102…交換數據庫 104,104-A，104-B，104-C，104 D，104-E···數據網路結點 106…物理埠 108…網路電繞 112…環形網路部分 200…表 202,202-2,202-3···入口 500,502,504,506,508,510,512, 515,516,520,514,522,524,526, 527,528,532,530·.·步驟 本紙張尺度適用中國國家標準（CNs) A4規格（210X29?公釐） 16 (請先閲讀背面之注意事項再填寫本頁) .訂· .费，

Claims (1)

1. 558885 A8 B8 C8 "** D8 六、申ίϊϊίίϊ ^ - ι·—種安全數據交換節點，其包括： a·多個通信埠； b·具有多個交換入口的交換數據庫，多個交換入口 中的每一個都說明數據網路節點標識符和一個通信蜂 之間的聯繫； c•多個交換入口保護標誌，多個交換入口保護標誌 中的每一個都與一個交換入口相連；和 d·—個控制器，其實施一安全交換數據庫的更新過 程， 其中當設定所述保護標誌時，禁止非友好數據網路 節點對保護的交換入口實施修改，使得數據交換節點能 同時在友好和非友好數據網路環境下運行。 2·如申請專利範圍第丨項所述的安全數據交換節點，其中 所述通信埠通過埠標識符表示在所述交換入口中。 3· —種安全數據交換節點，其包括： a·多個物理通信埠； b·具有多個交換入口的交換數據庫，多個交換入口 中的母一個都說明數據網路節點標識符和一個通信瑋 之間的聯繫； c·多個拓撲搜索抑制標誌、，多個拓撲搜索抑制標諸 中的每一個都與一個通信埠相連；和 d·—個控制器，其實施一安全數據傳輸網路拓撲結 構的更新過程， 其中非友好數據網路節點作用於至少一個其他的 本紙張尺度適用中國國家標準（CJJS) A4規格（21〇X297公爱） 17 (請先閲讀背面之注意事項再填寫本頁) .訂— •舞 、申請專利範圍 交換入Π的嘗試被阻止，使得數據交換節點能同時在友 好和非友好數據網路環境下運行，所述至少一個其他的 交換入口確疋了與拓撲搜索抑制的物理通信埠相連的 通信埠。 4· 一種安全數據交換節點，其包括： a·多個物理通信埠； b·具有多個交換入口的交換數據庫，多個交換入口 中的每一個都說明數據網路節點標識符和一個通信埠 之間的聯繫； c·多個拓撲搜索抑制標誌，多個拓撲搜索抑制標誌 中的每一個都與一個通信埠相連；和 d·—個全局未知目的地流控制標誌，和 e·—個實施安全有效負載數據單元（1>1)1;)傳輸過程 的控制器， 其中所接收的具有目的地數據節點標識符且未存 儲在交換數據庫中的PDU僅僅被複製到、已重置拓撲搜 索抑制標誌的物理通信埠，以防止與其連接的非友好數 據網路節點接收未知目的地的數據流。 5· —種安全數據交換節點，其包括： a.多個物理通信埠； b·具有多個交換入口的交換數據庫，多個交換入口 中的每一個都說明數據網路節點標識符和一個通信埠 之間的聯繫； c·多個未知目的地流控制標誌，所述多個標誌中的 18 本紙張尺度適用中國國家標準（CNS) A4規格（21〇χ297公楚） 558885 A8 B8 C8 -— 加_—__ 7T、申請專利範圍 母一個都與一個通信埠相連；和 d.—個控制器，其實施一個安全有效負載數據單元 (PDU)的傳輸過程，. 其中所接收的具有目的地數據節點標識符且未存 儲在交換數據庫中的PDU僅僅被複製到、已重置未知目 的地流控制標誌的物理通信埠，以防止與其連接的非友 好數據網路節點接收未知目的地數據流。 6· —種安全更新在數據傳輸網路中傳輸數據流的數據交 換節點的交換數據庫的方法，所述方法包括以下步驟·· a·從數據交換節點的源物理通信埠上所接收的數 據流中摘出源數據網路節點標識符； b·查詢具有多個交換入口的交換數據庫，多個交換 入口中的每一個都說明數據網路節點標識符和一個通 信埠之間的聯繫，所述查詢以被摘出的源數據網路標識 符作為關鍵詞； c·如果在交換數據庫中沒有發現對應於源數據網 路節點標識符的交換入口，那麼向交換數據庫增加一個 新的交換入口；和 d.如果設定全局未知目的地流控制標誌、，那麼將所 接收的數據流複製到除具有拓撲搜索抑制特徵的物理 通信埠之外的每一個物理通信埠， 由此防止連接到具有拓撲搜索抑制標誌被設定的 物理通信埠上的非友好數據網路節點監測未知目的地 數據流。 19 (請先閲讀背面之注意事項再填寫本頁) 本紙張尺度適用中國國家標準（CNS) Μ規格（210 X 297公釐） 一種安全更新與數據傳輸網路相連之數據交換節點之 父換數據庫中存入之數據傳輸網路拓撲資訊之方法，， 所述方法包括以下步驟： a·從數據交換節點的源物理通信埠上所接收的數 據SlL中摘出源數據網路節點標識符； b·查詢具有多個交換入口的交換數據庫，多個交換 入口中的每一個都說明數據網路節點標識符和一個通 信埠之間的聯繫，所述查詢以被摘出的源數據網路標識 符作為關鍵詞；及 C·如果在交換數據庫中沒有發現對應於源數據網 路節點標識符的交換人口，那麼向交換數據庫增加一個 新的交換入口；和拓樸搜索抑制標誌的重排 其中一非友好數據網路節點避免連接在源物理通 信埠上。 如申請專利範圍第7項的方法，其中拓樸搜索抑制標諸 連接於源物理通信埠上。 如申請專利範圍第7項时法，其中拓樸搜索抑制標諸 連接於所有數據交換節點的物理通信埠。 一種傳輸含有未知目的地之數據流至數據交換節點之 安全方法，所述方法包括以下步驟： a·從數據交換節點的源物理通信埠上所接收的未 知目的地數據流中摘出源數據網路節點標識符,· b·查詢具有多個交換入口的交換數據庫，多個交換 入口中的每一個都說明數據網路節點標識符和一個通 558885 A8 B8 C8 D8 、申請專利範圍 信埠之間的聯繫，所述查詢以被摘出的源數據網路標 識符作為關鍵詞； C·如果重新設定一個與物理通信埠相關的未知目 的地流控制標誌，那麼將所接收的數據流複製到數據 交換節點的多個通信埠中的每一個； d·將所接收的數據流複製到除具有未知目的地流 控制標誌的物理通信埠之外的每個物理通信埠， 由此防止連接到具有拓撲搜索抑制標誌被設定的 物理通信埠上的非友好數據網路節點監測未知目的地 數據流。 11 ·如申請專利範圍第10項的方法，其中複製所述未知目的 地數據流，所述方法還包括禁止所述數據流向所述源通 信埠的複製的步驟。 12 ·如申請專利範圍第1 〇項的方法，其中每個物理通信埠還 包括一個相關的未知目的地流控制位，所述方法還包括 以下步驟，禁止所述數據流向具有相關的未知目的地流 控制位設定的通信埠的複製。 13. —種安全地傳輸具有相對於數據交換節點目的地未知 的數據流的方法，所述方法包括以下步驟： a·從數據父換節點的源物理通信埠上所接收的數 據流中摘出源數據網路節點標識符； b.查詢具有多個交換入口的交換數據庫，多個交換 入口中的每一個都說明數據網路節點標識符和一個通 #埠之間的聯繫，所述查詢以被摘出的源數據網路標識 21 (請先閲讀背面之注意事項再填寫本頁) 本紙張尺度適用中國國家標準（CNS) A4規格（210X297公釐） 558885 A8 B8 C8 ____D8 六、申請專利範圍 符作為關鍵詞； C·如果重新設定一個與物理通信埠相關的未知目 的地流控制標誌，那麼將所接收的數據流複製到數據交 換節點的多個通信埠中的每一個； d·將所接收的數據流複製到除具有未知目的地流 控制標誌的物理通信埠之外的每個物理通信埠， 由此防止連接到具有拓撲搜索抑制標誌被設定的 物理通信槔上的非友好數據網路節點監測未知目的地 數據流。 14·如申請專利範圍第13項的方法，其中複製所述未知目的 地數據流，所述方法還包括禁止所述數據流向源通信埠 複製的步驟。 (請先閲讀背面之注意事項再填窝本頁) 奉 *訂— a 本紙張尺度適财關家標準（CNS).A4規格⑽X297公爱） 22 ;線丨