WO2009012663A1 - Procédé, système de communication et dispositif pour le traitement de paquets arp - Google Patents

Procédé, système de communication et dispositif pour le traitement de paquets arp Download PDF

Info

Publication number
WO2009012663A1
WO2009012663A1 PCT/CN2008/070532 CN2008070532W WO2009012663A1 WO 2009012663 A1 WO2009012663 A1 WO 2009012663A1 CN 2008070532 W CN2008070532 W CN 2008070532W WO 2009012663 A1 WO2009012663 A1 WO 2009012663A1
Authority
WO
WIPO (PCT)
Prior art keywords
resolution protocol
address resolution
packet
address
arp
Prior art date
Application number
PCT/CN2008/070532
Other languages
English (en)
French (fr)
Inventor
Zhenhai Li
Original Assignee
Huawei Technologies Co., Ltd.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co., Ltd. filed Critical Huawei Technologies Co., Ltd.
Priority to EP08715268A priority Critical patent/EP2139187B1/en
Priority to AT08715268T priority patent/ATE523023T1/de
Publication of WO2009012663A1 publication Critical patent/WO2009012663A1/zh
Priority to US12/614,206 priority patent/US8542684B2/en
Priority to US13/987,651 priority patent/US9148374B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/74—Address processing for routing
    • H04L45/745—Address table lookup; Address filtering
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/10—Mapping addresses of different types
    • H04L61/103—Mapping addresses of different types across network layers, e.g. resolution of network layer into physical layer addresses or address resolution protocol [ARP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic

Definitions

  • the present invention relates to the field of communications, and in particular, to an address resolution protocol text processing method, a communication system, and a device.
  • the Address Resolution Protocol is one of the lower layer protocols in the Transmission Control Protocol/Internet Protocol (TCP/IP) protocol stack. Its role is to implement IP address to Ethernet physics. Address, that is, the conversion of the Media Access Control (MAC) address.
  • TCP/IP Transmission Control Protocol/Internet Protocol
  • Ethernet devices Communication between Ethernet devices is addressed using MAC addresses, while TCP/IP-based applications are addressed by IP addresses. Packets based on IP address addressing are ultimately encapsulated based on The MAC address is addressed in an Ethernet frame for transmission. Therefore, before the IP communication is performed, the Ethernet device needs to resolve the MAC address of the peer end from the IP address of the peer through the protocol.
  • the protocol for completing the resolution process is the ARP protocol.
  • the network device uses the ARP cache technology to implement the ARP protocol.
  • the table structure is used to cache a certain number of address mapping relationships. This table is usually called an ARP table.
  • ARP attacks there are usually ARP-based network attacks in existing networks. From the principle of attack, ARP attacks generally have the following two types:
  • ARP request or the ARP response packet with the incorrect address mapping relationship is sent to tamper with the ARP table of the host or the gateway, so that the gateway or the host sends the packet to the wrong physical address to achieve the attack.
  • ARP Denial of Service (DoS) attack Generally performed for gateway devices (such as routers or switches). Because ARP packets are generally processed on the control plane of the device, the control plane generally uses a general-purpose CPU as the processing engine. The general purpose CPU is characterized by complex processing but limited performance. Excessive processing tasks can overwhelm or even crash the CPU of the control plane.
  • the ARP DoS attack uses this principle to send large-flow ARP packets to the gateway device. The control plane of the device is extremely busy and cannot process normal ARP packets.
  • the IP address of the ARP packet is checked in the forwarding plane.
  • the invalid ARP packet is discarded.
  • the IP address check mainly includes:
  • Destination IP address check Check whether the destination IP address is the IP address of the network segment where the gateway resides. If not, discard the packet.
  • Source IP address check Check whether the source IP address is "authenticated,” and the "IP address" is valid. The IP address is already in the ARP entry. For this type of packet, the higher priority is given. ARP " ⁇ text is sent at a low priority.
  • Another ARP packet processing method in the prior art is: using the high-speed processing capability of the network processor in the forwarding plane to directly respond to the ARP request packet in the forwarding plane.
  • ARP packets are classified into ARP request packets and ARP response packets.
  • the above solution only solves the problem of ARP request packets.
  • the problem of using ARP response packets for large traffic attacks cannot be solved.
  • the embodiments of the present invention provide an address resolution protocol packet processing method, a communication system, and a device, which can effectively defend against network attacks initiated by using ARP packets.
  • the address resolution protocol is an address resolution protocol response, and the local address configuration protocol table is queried, the entry corresponding to the address resolution protocol response packet is sent, and the report is reported in the entry. If the parameter is allowed to be reported, the address resolution protocol response message is reported, and if the address is parsed If the address table corresponding to the address resolution protocol response is not queried in the protocol table, the address resolution protocol response message is discarded.
  • An external device configured to send an address resolution protocol request message and an address resolution protocol response message
  • a forwarding plane processor configured to determine a type of the received address resolution protocol message; Querying the locally configured address resolution protocol table, and querying the address resolution protocol request packet according to the entry corresponding to the address resolution protocol request packet in the address resolution protocol table. And responding to the address resolution protocol response packet, querying the locally configured address resolution protocol table, and querying the address resolution protocol response packet according to the address resolution protocol table.
  • the entry determines whether the reported parameter in the entry is allowed to be reported, and if the report is allowed to be reported, the address resolution protocol response message is reported, and if the address resolution protocol response is not queried in the table, If the entry corresponding to the text, the address resolution protocol response is discarded;
  • control plane processor configured to receive an address resolution protocol request reported by the forwarding plane processor, or an address resolution protocol response.
  • a determining unit configured to determine a type of the received address resolution protocol packet
  • a first querying unit configured to query a locally configured address resolution protocol table when the address resolution protocol packet is an address resolution protocol request packet
  • the response processing unit is configured to: when the table corresponding to the address resolution protocol request is queried in the table, respond to the address resolution protocol request message;
  • a second query unit configured to query a locally configured address resolution protocol table when the address resolution protocol is an address resolution protocol response;
  • the discarding processing unit is configured to discard the address resolution protocol response when the address resolution protocol response corresponding to the address is not queried in the table.
  • the forwarding plane processor directly responds to the received ARP request packet, and does not generate an ARP entry according to the ARP request packet, thereby preventing the ARP request packet from being used to perform the gateway device ARP table.
  • the possibility of address spoofing when receiving an ARP response packet, the forwarding plane processor only reports the ARP response packet that is allowed to be reported in the ARP table, so it can be effective. Prevent the possibility of attacking with a large number of ARP response texts.
  • FIG. 1 is a flowchart of an embodiment of an ARP packet processing method according to an embodiment of the present invention
  • FIG. 2 is a schematic flowchart of processing an ARP request packet according to an embodiment of the present invention
  • FIG. 3 is a schematic flowchart of processing an ARP response packet according to an embodiment of the present invention.
  • FIG. 4 is a schematic diagram of an embodiment of a communication system according to an embodiment of the present invention.
  • FIG. 5 is a schematic diagram of an embodiment of a forwarding plane processor according to an embodiment of the present invention.
  • the embodiment of the present invention provides a method for processing an address resolution protocol packet, a communication system, and a forwarding plane processor, which are used to defend against network attacks initiated by using ARP packets.
  • an embodiment of an ARP packet processing method in the embodiment of the present invention includes:
  • the forwarding plane processor receives the ARP packet sent by the external device.
  • high-end data communication devices such as high-end routers and switches
  • control plane forwarding plane
  • management plane management plane
  • the control plane generally uses a general-purpose CPU as a processing engine to perform various complex protocols (such as routing protocols).
  • the forwarding plane mainly performs high-speed data forwarding processing.
  • the management plane mainly completes various network management systems, command lines, logs, alarms, etc., and generally has a dedicated management channel.
  • the forwarding plane processor may be a single-core or multi-core CPU, a network processor, or an application-specific integrated circuit processor and a peripheral device required for the operation of the above device, such as a random access memory (RAM).
  • RAM random access memory
  • a processing system consisting of TCAM, ternary content addressable memory, FLASH, and the like.
  • step 102 Determine the type of the ARP packet, if it is an ARP request packet, go to step 103, if it is an ARP response packet, go to step 107;
  • the ARP table saved in the forwarding plane processor is queried according to the obtained ARP request packet.
  • the ARP table saved in the forwarding plane processor may be sent by the control plane processor to the forwarding plane processor, or may be directly configured in the forwarding plane processor.
  • the entry of the ARP table includes the correspondence between the IP address of the gateway interface and the MAC address. (When the Virtual Router Redundancy Protocol (VRRP) is enabled on the interface, the status of the VRRP needs to be maintained. This entry).
  • VRRP Virtual Router Redundancy Protocol
  • the forwarding plane processor responds to the ARP request packet, and the specific response manner will be described in detail in the following embodiments.
  • the ARP table saved in the forwarding plane processor may be sent by the control plane processor to the forwarding plane processor or directly in the forwarding plane processor.
  • step 108 Determine whether there is an entry corresponding to the obtained ARP response packet in the ARP table, if yes, go to step 109, if not, go to step 112; go to step 110, if it is not allowed to report, Perform step 111;
  • the forwarding plane processor reports the ARP response packet to the control plane processor.
  • the ARP response packet is discarded.
  • the forwarding plane processor directly responds to the received ARP request packet, and does not generate an ARP entry according to the ARP request packet, so the address of the gateway device ARP table is prevented from being used by using the ARP request packet.
  • the forwarding plane processor only reports the ARP response packet that is allowed to be reported in the ARP table, so it can effectively prevent the possibility of attacking a large number of ARP response texts.
  • a process for processing an ARP request message includes:
  • the forwarding plane processor receives an ARP request packet sent by the external device.
  • the source MAC address of the filtering source is a non-unicast ARP request packet.
  • the parameters such as the port number, the virtual local area network identifier, and the destination IP address are obtained from the received ARP request packet, and the ARP table saved locally by the plane processor is queried according to the obtained parameters.
  • step 205 determining whether the ARP request message is a gateway ARP request 4 ⁇ or proxy ARP request 4 ⁇ text, if yes, proceed to step 206, if not, proceed to step 207;
  • the method of judging is to implement the identifier bit of the "gateway ARP entry or proxy ARP entry" in the corresponding entry.
  • the forwarding plane processor returns an ARP request message to the external device.
  • the specific response mode is: Edit the ARP packet.
  • the packet is requested to be an ARP response packet or a new ARP response packet is created.
  • the source MAC address in the response packet uses the MAC address in the ARP entry.
  • the edited ARP response packet or the created new ARP response packet is sent directly from the port specified in the ARP entry.
  • the ARP entry is not generated according to the source IP address or the MAC address in the ARP request packet, that is, the ARP request packet is processed stateless.
  • the received ARP request packet is discarded.
  • step 208 Determine whether the proxy ARP function is enabled on the interface that receives the ARP request packet. If yes, go to step 209. If not, go to step 207.
  • the forwarding plane processor limits the rate of the ARP request packet to the control plane processor.
  • the method for determining whether the ARP request message is a gateway ARP request message or a proxy ARP request message may also be implemented by querying a forwarding table or other table including such information, and the specific process and the foregoing embodiment Similar in the middle.
  • step 209 after the forwarding plane processor limits the received ARP request packet to the control plane processor, the control plane processor processes the proxy ARP request packet, and after the processing is completed, Configure the proxy ARP entry to be sent to the forwarding plane processor.
  • the MAC address in the proxy ARP entry is the MAC address of the gateway.
  • the forwarding plane processor can be used. Direct processing does not need to be sent to the control plane processor to speed up processing and enhance the ability to defend against ARP request attacks while enabling proxy ARP.
  • the ARP entry is not generated according to the source IP address or the MAC address in the ARP request packet, so the ARP request is effectively prevented.
  • ARP attack with MAC address spoofing is effectively prevented.
  • a process for processing an ARP response message includes: 301: receiving an ARP response packet;
  • the forwarding plane processor receives an ARP response packet sent by the external device.
  • the source IP address is obtained from the received ARP response, and the ARP table saved locally by the forwarding plane processor is queried according to the obtained source IP address.
  • step 303 Determine whether there is an entry corresponding to the obtained ARP response packet in the ARP table. If yes, go to step 304. If not, go to step 307. Then go to step 305. If no, go to step 306 or step 307;
  • the forwarding plane processor reports the ARP response packet to the control plane processor.
  • the forwarding plane processor reports the ARP response packet to the control plane processor, and the control plane processor processes the ARP response packet, and after the processing is completed, the ARP response packet in the ARP table corresponds to the entry in the ARP response packet.
  • the report parameters are modified to not allow reporting.
  • the ARP response packet is subjected to a rate-limiting process according to the preset processing rule, and the ARP response packet after the rate limit is reported to the control plane processor.
  • step 304 if the parameter is not allowed to be reported in the entry corresponding to the ARP response packet, the step 306 and the step 307 may be performed according to the preset processing rule, for example, under normal conditions, The MAC address of the device does not change frequently. Therefore, you can choose the discard policy. However, you can select the rate limit policy for special applications that need to change the MAC address of the device frequently. It should be noted that selecting a discarding policy is more effective in preventing address spoofing attacks than selecting a rate limiting policy. Therefore, it is recommended to select a discarding policy in most cases unless it is specifically required.
  • the method of selecting a rate limit or discarding policy may be implemented by querying a related table, and the type of the specific table is not limited.
  • the communication system in the embodiment of the present invention includes:
  • the external device 401 is configured to send an address resolution protocol request and an address resolution protocol response.
  • the forwarding plane processor 402 is configured to determine the type of the received address resolution protocol packet; when the address resolution protocol >3 ⁇ 4 text is an address resolution protocol request >3 ⁇ 4 text, query the locally configured address resolution protocol table, and according to the address Resolving the entry corresponding to the address resolution protocol request packet that is queried in the protocol table, and responding to the address resolution protocol request message;
  • the local address resolution protocol table is queried, and the corresponding entry corresponding to the address resolution protocol packet is queried according to the address resolution protocol table. If the report parameter in the entry is allowed to be reported, if the report is allowed to be reported, the address resolution protocol response message is reported, and if the entry corresponding to the address resolution protocol response packet is not found in the table, the object is lost. Discarding the address resolution protocol response ⁇ ;
  • the control plane processor 403 is configured to receive an address resolution protocol request message or an address resolution protocol response reported by the forwarding plane processor 402.
  • an embodiment of a forwarding plane processor in an embodiment of the present invention includes:
  • the determining unit 501 is configured to determine a type of the received address resolution protocol packet
  • the first query unit 502 is configured to query a locally configured address resolution protocol table when the address resolution protocol is an address resolution protocol request message;
  • the response processing unit 503 is configured to: when an address entry corresponding to the address resolution protocol request file is queried in the address resolution protocol table, respond to the address resolution protocol request message;
  • the second query unit 504 is configured to: when the address resolution protocol is an address resolution protocol response, query the locally configured address resolution protocol table;
  • the discarding processing unit 506 is configured to: when the table corresponding to the address resolution protocol response is not queried in the table, discard the address resolution protocol response message;
  • the rate limiting unit 509 is configured to report the rate resolution protocol packet to the control plane processor after the rate limit is performed.
  • the interface determining unit 508 is configured to: when the address corresponding to the received address resolution protocol request packet is not queried in the address resolution protocol table, determine whether the interface for receiving the address resolution protocol request packet is enabled with the proxy address resolution protocol function. If yes, the rate limiting unit is notified to report the rate limit report; if not, the discarding processing unit 506 discards the address resolution protocol request message;
  • the checking unit 505 is configured to: when the address resolution protocol response is queried in the address resolution protocol table When the entry corresponding to the packet is the report, the report unit 507 is configured to: when the report parameter in the entry corresponding to the address resolution protocol response packet is allowed to be reported, The address resolution protocol response packet is reported to the control plane processor.
  • first query unit 502 and the second query unit 504 can be integrated.
  • the method includes the following steps: the forwarding plane processor determines the type of the received address resolution protocol packet; if the address resolution protocol packet is an address resolution protocol request packet, querying the locally configured address resolution protocol table, if If the address corresponding to the address resolution protocol request packet is queried in the table, the address resolution protocol request message is directly responded; if the address resolution protocol is an address resolution protocol response message, the query is performed.
  • the locally configured address resolution protocol table if the entry corresponding to the address resolution protocol response packet is queried in the table, it is determined whether the report parameter in the entry is allowed to be reported, and if the report is allowed to be reported, Reporting the address resolution protocol response message to the control plane processor, if not in the table
  • the address resolution protocol response packet is discarded when the address corresponding to the address resolution protocol response packet is received.
  • the above-mentioned storage medium may be a read only memory, a magnetic disk or an optical disk or the like.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Communication Control (AREA)

Description

地址解析协议报文处理方法、 通讯系统及设备
本申请要求于 2007 年 7 月 20 日提交中国专利局、 申请号为 200710129994.7、 发明名称为"地址解析协议 4艮文处理方法及通讯系统及转发 平面处理器"的中国专利申请的优先权，其全部内容通过引用结合在本申请中。 技术领域
本发明涉及通讯领域， 尤其涉及一种地址解析协议 文处理方法、通讯系 统及设备。
背景技术
地址解析协议（ ARP, Address Resolution Protocol )是传输控制协议 /互联 网协议 ( TCP/IP, Transmission Control Protocol/Internet Protocol )协议栈中较 低层的协议之一， 其作用是实现 IP地址到以太网物理地址， 即媒体接入控制 ( MAC, Media Access Control )地址的转换。
以太网设备之间的通信是使用 MAC地址来寻址的， 而基于 TCP/IP的各 种应用是以 IP地址来寻址的，基于 IP地址寻址的各种数据包最终都需要封装 在基于 MAC地址寻址的以太网帧内进行传输。 因此， 以太网设备在进行 IP 通信之前， 都需要通过协议从对端的 IP地址解析出对端的 MAC地址， 完成 这一解析过程的协议就是 ARP协议。
为了加快地址转换速度， 网络设备在实现 ARP协议时都会用到 ARP緩存 技术， 在本地通过表结构来緩存一定数量的地址映射关系， 这张表通常叫做 ARP表。
但是在现有网络中通常会存在基于 ARP的网络攻击行为， 从攻击原理区 分， ARP攻击一般有以下两种：
1、 地址欺骗： 通过发送具有错误地址映射关系的 ARP请求或 ARP响应 报文来篡改主机或网关的 ARP表， 使网关或主机将报文发送到错误的物理地 址从而达到攻击目的。
2、 ARP拒绝服务（ DoS, Denial of service )攻击： 一般针对网关设备 (如 路由器或交换机）进行。 由于 ARP报文一般在设备的控制平面进行处理， 控 制平面一般釆用通用 CPU作为处理引擎。通用 CPU的特点是可以进行复杂的 处理但性能有限， 过多的处理任务会使控制平面的 CPU不堪重负甚至崩溃。 ARP DoS攻击就是利用这个原理， 向网关设备发送大流量 ARP报文， 使设备 的控制平面极度繁忙而无法处理正常的 ARP报文， 从而达到攻击目的。
现有技术中一种 ARP报文处理方法为：
首先在转发平面中对 ARP报文的 IP地址进行检查， 不合法的 ARP报文 被丟弃。
IP地址检查主要包括：
1、 目的 IP地址检查。 检查目的 IP地址是否是网关所在网段的 IP地址， 如果不是则丟弃该报文。
2、源 IP地址检查。检查源 IP地址是否是"确认合法，，的 IP地址。这里的 "确 认合法"是指该 IP地址已经在 ARP表项中存在， 对于这类报文给予较高的上 送优先级， 对于其它 ARP "^文以低优先级上送。
但上述技术不能应对来自使用合法 IP地址的攻击。
为了克服上一方案的缺陷， 现有技术中另一种 ARP报文处理方法为： 利用转发平面中网络处理器的高速处理能力，直接在转发平面中回应 ARP 请求报文。
由于 ARP报文分为 ARP请求报文和 ARP响应报文两种， 而上述方案只 解决了 ARP请求报文的问题； 不能解决使用 ARP响应报文进行大流量攻击的 问题。
发明内容
本发明实施例提供一种地址解析协议报文处理方法、通讯系统及设备， 能 够有效地防御利用 ARP报文发起的网络攻击。
本发明实施例提供的地址解析协议报文处理方法， 包括：
接收地址解析协议报文， 并判断所述地址解析协议报文的类型； 若所述地址解析协议 ^艮文为地址解析协议请求 ^艮文，并且在本地配置的地 址解析协议表中查询到所述地址解析协议请求报文对应的表项，则对所述地址 解析协议请求 4艮文进行回应；
若所述地址解析协议 ^艮文为地址解析协议响应 ^艮文，并且在本地配置的地 址解析协议表中查询到所述地址解析协议响应报文对应的表项，所述表项中的 上报参数为允许上报， 则上报所述地址解析协议响应报文， 若在所述地址解析 协议表中未查询到所述地址解析协议响应 文对应的表项 ,则丟弃所述地址解 析协议响应 4艮文。
本发明实施例提供的通讯系统， 包括：
外部设备， 用于发送地址解析协议请求 ^艮文以及地址解析协议响应 ^艮文； 转发平面处理器， 用于判断接收到的地址解析协议报文的类型； 在所述地 址解析协议 ^艮文为地址解析协议请求 文时， 查询本地配置的地址解析协议 表，并根据在所述地址解析协议表中查询到所述地址解析协议请求报文对应的 表项，对所述地址解析协议请求 文进行回应； 在所述地址解析协议 文为地 址解析协议响应报文时， 查询本地配置的地址解析协议表， 并根据在所述地址 解析协议表中查询到所述地址解析协议响应报文对应的表项，判断所述表项中 的上报参数是否为允许上报， 若为允许上报， 则上报所述地址解析协议响应报 文， 若在所述表中未查询到所述地址解析协议响应^艮文对应的表项， 则丟弃所 述地址解析协议响应 ^艮文；
控制平面处理器，用于接收所述转发平面处理器上报的地址解析协议请求 ^艮文或地址解析协议响应 ^艮文。
本发明实施例提供的转发平面处理器， 包括：
判断单元， 用于判断接收到的地址解析协议报文的类型；
第一查询单元，用于当所述地址解析协议报文为地址解析协议请求报文时 查询本地配置的地址解析协议表；
回应处理单元，用于当在所述表中查询到所述地址解析协议请求 ^艮文对应 的表项， 对所述地址解析协议请求 文进行回应；
第二查询单元，用于当所述地址解析协议 >¾文为地址解析协议响应 ^艮文时 查询本地配置的地址解析协议表；
丟弃处理单元，用于当在所述表中未查询到所述地址解析协议响应 ^艮文对 应的表项时， 丟弃所述地址解析协议响应 ^艮文。
本发明实施例中， 由转发平面处理器直接对接收到的 ARP请求报文进行 回应， 而不根据该 ARP请求报文生成 ARP表项， 所以防止了使用 ARP请求 报文对网关设备 ARP表进行地址欺骗的可能，另外当接收到 ARP响应报文时， 转发平面处理器只上报 ARP表中允许上报的 ARP响应报文，所以能够有效的 防范釆用大量 ARP响应 文进行攻击的可能。
附图说明
图 1为本发明实施例中 ARP报文处理方法实施例流程图；
图 2为本发明实施例中 ARP请求报文处理流程示意图；
图 3为本发明实施例中 ARP响应报文处理流程示意图；
图 4为本发明实施例中通讯系统实施例示意图；
图 5为本发明实施例中转发平面处理器实施例示意图。
具体实施方式
本发明实施例提供了一种地址解析协议报文处理方法、通讯系统及转发平 面处理器， 用于防御利用 ARP报文发起的网络攻击。
请参阅图 1 , 本发明实施例中 ARP报文处理方法实施例包括：
101、 接收 ARP 艮文；
转发平面处理器接收外部设备发送的 ARP报文。
其中， 高端数据通信设备 (如高端路由器和交换机）通常将设备分为三个 相对独立的平面： 控制平面、 转发平面以及管理平面。
控制平面一般釆用通用 CPU作为处理引擎， 完成各种复杂的协议（如路 由协议等）处理；
转发平面主要完成高速数据转发处理；
管理平面主要完成各种网管、 命令行、 日志、 告警等， 一般有专门的管理 通道。
本实施例中， 转发平面处理器可以为单核或多核 CPU, 网络处理器， 或 者专用集成电路处理器及以上所述器件工作需要的外围器件如随机存取存储 器（RAM, Random Access Memory)、 三态内容寻址存 4诸器（ TCAM, ternary content addressable memory )、 FLASH等组成的处理系统。
102、 判断 ARP报文的类型， 若为 ARP请求报文， 则执行步骤 103 , 若 为 ARP响应报文， 则执行步骤 107；
具体的判断 ARP报文的类型的步骤为现有技术， 此处不再赘述。
103、 查询 ARP表；
根据获取到的 ARP请求报文查询转发平面处理器中保存的 ARP表。 本实施例中， 转发平面处理器中保存的 ARP表可以由控制平面处理器下 发给转发平面处理器， 也可以直接在转发平面处理器中配置。
本实施例中， ARP表的表项中含有网关接口 IP地址与 MAC地址的对应 关系 （当接口上使能虚拟路由器冗余协议（ VRRP , Virtual Router Redundancy Protocol ) 时， 需要根据 VRRP的状态变化维护该表项）。
可以在 ARP表项中设立标志位，指示该表项是否属于网关 ARP表项或代 理 ARP表项。
104、 判断在 ARP表中是否存在与获取到的 ARP请求报文对应的表项， 若存在， 则执行步骤 105, 若不存在， 则执行步骤 106;
具体的判断方式将在后面的实施例中详细描述。
105、 回应 ARP请求 ^艮文；
若在 ARP表中查询到了与获取到的 ARP请求报文对应的表项，则转发平 面处理器回应该 ARP请求报文， 具体的回应方式将在后面的实施例中详细描 述。
106、 执行其他处理；
若在 ARP表中未查询到与获取到的 ARP请求报文对应的表项，则执行其 他的处理流程， 具体的其他处理流程将在后续实施例中详细描述。
107、 查询 ARP表；
根据获取到的 ARP响应报文查询转发平面处理器中保存的 ARP表。
本实施例中， 转发平面处理器中保存的 ARP表可以由控制平面处理器下 发给转发平面处理器， 也可以直接在转发平面处理器中配置。
108、 判断在 ARP表中是否存在与获取到的 ARP响应报文对应的表项， 若存在， 则执行步骤 109, 若不存在， 则执行步骤 112; 执行步骤 110, 若为不允许上报， 则执行步骤 111 ;
110、 上报 ARP响应报文；
当该 ARP响应报文对应的表项中的上报参数为允许上报时， 转发平面处 理器将该 ARP响应报文上报至控制平面处理器。
111、 执行其他处理； 当该 ARP响应报文对应的表项中的上报参数为不允许上报时， 则执行其 他的处理流程， 具体的其他处理流程将在后续实施例中详细描述。
112、 丟弃 ARP响应艮文。
当在 ARP表中不存在对获得的 ARP响应报文对应的表项时，丟弃该 ARP 响应 4艮文。
上述实施例中， 由转发平面处理器直接对接收到的 ARP请求报文进行回 应， 而不根据该 ARP请求报文生成 ARP表项， 所以防止了使用 ARP请求报 文对网关设备 ARP表进行地址欺骗的可能， 另外当接收到 ARP响应 ^艮文时， 转发平面处理器只上报 ARP表中允许上报的 ARP响应报文，所以能够有效的 防范釆用大量 ARP响应 文进行攻击的可能。
下面根据 ARP报文的类型分别说明具体的报文处理方式：
一、 ARP请求 ^艮文的处理：
请参阅图 2, 为本发明实施例中 ARP请求 "^文的处理流程， 包括：
201、 接收 ARP请求艮文；
转发平面处理器接收外部设备发送的 ARP请求报文。
202、 过滤源 MAC地址为非单播的 ARP请求报文；
具体的过滤手段为现有技术， 此处不再赘述。
203、 查询 ARP表；
从接收到的 ARP请求报文中获取端口号，虚拟局域网标识以及目的 IP地 址等参数， 并根据获得的参数查询转发平面处理器本地保存的 ARP表。
204、 判断在 ARP表中是否存在与获取到的 ARP请求报文对应的表项， 若存在， 则执行步骤 205, 若不存在， 则执行步骤 208;
205、判断 ARP请求 文是否为网关 ARP请求 4艮文或代理 ARP请求 4艮文， 若是， 则执行步骤 206, 若否， 则执行步骤 207;
判断的方式为查询对应表项中有关 "网关 ARP表项或代理 ARP表项 "的标 识位实现。
206、 回应 ARP请求 ^艮文；
若 ARP请求报文为网关 ARP请求报文或代理 ARP请求报文， 则转发平 面处理器向外部设备回应该 ARP请求 ^艮文， 具体的回应方式为： 编辑该 ARP 请求报文， 使之成为 ARP响应报文或者创建新的 ARP响应报文， 响应报文中 的源 MAC地址使用该 ARP表项中的 MAC地址。 将编辑完成的 ARP响应报 文或者是创建得到的新的 ARP响应报文直接从 ARP表项中指定的端口发出。
本实施例中， 在转发平面处理器回应 ARP请求报文的过程中， 并不根据 ARP请求报文中的源 IP地址或 MAC地址生成 ARP表项， 即对 ARP请求报 文进行无状态处理。
207、 丟弃 ARP请求 ^艮文；
将接收到的 ARP请求报文丟弃。
208、 判断接收该 ARP请求报文的接口是否使能代理 ARP功能， 若使能， 则执行步骤 209, 若未使能， 则执行步骤 207;
209、 对 ARP请求报文进行限速后上报。
若接收该 ARP请求报文的接口使能代理 ARP功能，则转发平面处理器对 该 ARP请求报文进行限速， 限速之后上报控制平面处理器。
本实施例中， 判断 ARP请求 ^艮文是否为网关 ARP请求 ^艮文或代理 ARP 请求报文的方法还可以通过查询转发表或者是其他包含此类信息的表实现，具 体流程与上述实施例中类似。
本实施例中， 步骤 209中， 转发平面处理器对接收到的 ARP请求报文进 行限速并上报控制平面处理器之后， 控制平面处理器处理该代理 ARP请求报 文， 处理完成后， 可根据配置将代理 ARP表项下发至转发平面处理器， 代理 ARP表项中的 MAC地址为网关的 MAC地址， 后续收到该代理 ARP表项对 应的 ARP请求报文时， 便可由转发平面处理器直接处理， 不需要再上送给控 制平面处理器， 从而加快处理速度， 增强在使能代理 ARP功能的情况下防范 ARP请求攻击的能力。
本实施例中， 由于在转发平面处理器回应 ARP请求 ^艮文的过程中， 并不 根据 ARP请求报文中的源 IP/MAC地址生成 ARP表项， 所以有效地防范了釆 用 ARP请求 ^艮文进行 MAC地址欺骗的 ARP攻击。
二、 ARP响应 ^艮文的处理：
请参阅图 3 , 为本发明实施例中 ARP响应 "^文的处理流程， 包括： 301、 接收 ARP响应报文； 转发平面处理器接收外部设备发送的 ARP响应报文。
302、 查询 ARP表；
从接收到的 ARP响应 文中获取源 IP地址， 并根据获得的源 IP地址查 询转发平面处理器本地保存的 ARP表。
303、 判断在 ARP表中是否存在与获取到的 ARP响应报文对应的表项， 若存在， 则执行步骤 304, 若不存在， 则执行步骤 307; 则执行步骤 305, 若否， 则执行步骤 306或步骤 307;
305、 上报 ARP响应报文；
当 ARP响应报文对应的表项中的上报参数为允许上报时， 则转发平面处 理器向控制平面处理器上报该 ARP响应报文。
本实施例中， 转发平面处理器向控制平面处理器上报 ARP响应报文， 控 制平面处理器处理该 ARP响应报文， 处理完成后， 将 ARP表中该 ARP响应 报文对应的表项中的上报参数修改为不允许上报。
306、 限速后上报；
根据预置的处理规则对该 ARP响应报文进行限速处理， 将限速后的 ARP 响应报文上报至控制平面处理器。
307、 丟弃 ARP响应 ^艮文。
本实施例中， 步骤 304中， 在 ARP响应报文对应的表项中上报参数为不 允许上报的情况下，步骤 306与步骤 307可以根据预置的处理规则进行选择执 行， 例如正常情况下， 设备的 MAC地址不会频繁变化， 因此， 可以选择丟弃 策略， 但对于需要频繁改变设备 MAC地址的特殊应用的情况下， 可以选择限 速策略。 需要说明的是，选择丟弃策略对于防止地址欺骗攻击的效果比选择限 速策略的效果会更加好， 因此， 除非特别需要， 在大多数情况下建议选择丟弃 策略。
本实施例中，选择限速或丟弃策略的方法可以通过查询相关表实现， 具体 的表的类型不作限定。
请参阅图 4, 本发明实施例中通讯系统包括：
外部设备 401 , 用于发送地址解析协议请求 ^艮文以及地址解析协议响应才艮 文；
转发平面处理器 402 , 用于判断接收到的地址解析协议报文的类型； 在地址解析协议>¾文为地址解析协议请求>¾文时 ,查询本地配置的地址解 析协议表，并根据在地址解析协议表中查询到的所述地址解析协议请求报文对 应的表项， 对地址解析协议请求 文进行回应；
在地址解析协议 ^艮文为地址解析协议响应 ^艮文时，查询本地配置的地址解 析协议表，并根据在地址解析协议表中查询到的所述地址解析协议响应报文对 应的表项， 判断表项中的上报参数是否为允许上报， 若为允许上报， 则上报所 述地址解析协议响应报文，若在表中未查询到所述地址解析协议响应报文对应 的表项， 则丟弃所述地址解析协议响应 ^艮文；
控制平面处理器 403 , 用于接收转发平面处理器 402上报的地址解析协议 请求 文或地址解析协议响应"¾文。
请参阅图 5 , 本发明实施例中转发平面处理器实施例包括：
判断单元 501 , 用于判断接收到的地址解析协议报文的类型；
第一查询单元 502 , 用于当地址解析协议 "^文为地址解析协议请求 ^艮文时 查询本地配置的地址解析协议表；
回应处理单元 503 , 用于当在所述地址解析协议表中查询到地址解析协议 请求 文对应的表项， 对地址解析协议请求 ^艮文进行回应；
第二查询单元 504 , 用于当地址解析协议 ^艮文为地址解析协议响应 ^艮文时 查询本地配置的地址解析协议表；
丟弃处理单元 506 , 用于当在表中未查询到地址解析协议响应 4艮文对应的 表项时， 丟弃所述地址解析协议响应 4艮文；
限速单元 509 , 用于对地址解析协议报文进行限速后上报至控制平面处理 器；
接口判断单元 508 , 用于当在地址解析协议表中未查询到接收到的地址解 析协议请求报文对应的表项时，判断接收地址解析协议请求报文的接口是否使 能代理地址解析协议功能，若使能，则通知限速单元对所述报文进行限速上报； 若未使能， 则通知丟弃处理单元 506丟弃所述地址解析协议请求报文；
校验单元 505 , 用于当在地址解析协议表中查询到所述地址解析协议响应 报文对应的表项时， 判断所述表项中的上报参数是否为允许上报； 上报单元 507 , 用于当所述地址解析协议响应报文对应的表项中的上报参 数为允许上报时， 将地址解析协议响应报文上报至控制平面处理器。
可以理解的是，本实施例中执行类似功能的单元在实际应用中可以合并为 同一个单元， 例如第一查询单元 502以及第二查询单元 504可以集成实现。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤 是可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可 读存储介质中， 该程序在执行时， 包括如下步骤： 转发平面处理器判断接收到 的地址解析协议报文的类型；若所述地址解析协议报文为地址解析协议请求报 文， 则查询本地配置的地址解析协议表， 若在所述表中查询到所述地址解析协 议请求报文对应的表项， 则直接对地址解析协议请求报文进行回应； 若所述地 址解析协议 4艮文为地址解析协议响应 ^艮文， 则查询本地配置的地址解析协议 表， 若在所述表中查询到所述地址解析协议响应报文对应的表项， 则判断所述 表项中的上报参数是否为允许上报， 若为允许上报， 则将所述地址解析协议响 应报文上报至控制平面处理器，若在所述表中未查询到所述地址解析协议响应 报文对应的表项， 则丟弃所述地址解析协议响应报文。
上述提到的存储介质可以是只读存储器， 磁盘或光盘等。
以上对本发明所提供的一种地址解析协议报文处理方法及通讯系统及转 发平面处理器进行了详细介绍，对于本领域的一般技术人员，依据本发明实施 例的思想， 在具体实施方式及应用范围上均会有改变之处， 综上所述， 本说明 书内容不应理解为对本发明的限制。

Claims

权 利 要 求
1、 一种地址解析协议 文处理方法， 其特征在于， 包括：
接收地址解析协议报文， 并判断所述地址解析协议报文的类型； 若所述地址解析协议 ^艮文为地址解析协议请求 ^艮文，并且在本地配置的地 址解析协议表中查询到所述地址解析协议请求报文对应的表项 ,则对所述地址 解析协议请求 4艮文进行回应；
若所述地址解析协议 ^艮文为地址解析协议响应 ^艮文，并且在本地配置的地 址解析协议表中查询到所述地址解析协议响应报文对应的表项，所述表项中的 上报参数为允许上报， 则上报所述地址解析协议响应报文， 若在所述地址解析 协议表中未查询到所述地址解析协议响应 4艮文对应的表项，则丟弃所述地址解 析协议响应 4艮文。
2、 根据权利要求 1所述的地址解析协议报文处理方法， 其特征在于， 若 所述地址解析协议报文为地址解析协议请求报文，并且在所述地址解析协议表 中未查询到所述地址解析协议请求报文对应的表项 ,则判断接收所述地址解析 协议请求报文的接口是否使能代理地址解析协议功能；
若使能， 则对所述地址解析协议请求报文进行限速处理， 并将限速后的地 址解析协议请求报文上报至控制平面处理器；
若未使能， 则丟弃所述地址解析协议请求报文。
3、 根据权利要求 1所述的地址解析协议报文处理方法， 其特征在于， 若 所述地址解析协议 文为地址解析协议响应^艮文，并且在所述地址解析协议表 中查询到所述地址解析协议响应报文对应的表项，所述表项中的上报参数为不 允许上报， 则
对所述地址解析协议响应 文进行限速处理，并将限速后的地址解析协议 响应报文上报至控制平面处理器； 或
丟弃所述地址解析协议响应 ^艮文。
4、 根据权利要求 1至 3任一项所述的地址解析协议报文处理方法， 其特 征在于， 若所述地址解析协议报文为地址解析协议请求报文， 则
根据所述地址解析协议请求报文的端口号，虚拟局域网标识以及目的互联 网协议地址查询所述地址解析协议表。
5、 根据权利要求 1至 3任一项所述的地址解析协议报文处理方法， 其特 征在于， 所述对地址解析协议请求报文进行回应之前包括：
如果所述地址解析协议请求报文对应的表项不是网关地址解析协议表项 或代理地址解析协议表项， 则丟弃所述地址解析协议请求报文。
6、 根据权利要求 1至 3任一项所述的地址解析协议报文处理方法， 其特 征在于， 若所述地址解析协议 ^艮文为地址解析协议响应 文， 则根据所述地址 解析协议响应 4艮文的源互联网协议地址查询所述地址解析协议表。
7、 根据权利要求 1至 3任一项所述的地址解析协议报文处理方法， 其特 征在于， 所述方法还包括：
所述上报地址解析协议响应报文后 ,将所述地址解析协议表中所述地址解 析协议响应报文对应的表项中的上报参数修改为不允许上报。
8、 一种通讯系统， 其特征在于， 包括：
转发平面处理器， 用于接收地址解析协议报文， 判断所述地址解析协议报 文的类型； 在所述地址解析协议 文为地址解析协议请求"¾文， 并且在本地配 置的地址解析协议表中查询到所述地址解析协议请求报文对应的表项时 ,对所 述地址解析协议请求 ^艮文进行回应；
在所述地址解析协议 ^艮文为地址解析协议响应 ^艮文，并且在本地配置的地 址解析协议表中查询到所述地址解析协议响应^艮文对应的表项 ,并且所述表项 中的上报参数为允许上报时， 上报所述地址解析协议响应报文， 若在所述地址 解析协议表中未查询到所述地址解析协议响应^艮文对应的表项时 ,丟弃所述地 址解析协议响应>¾文；
控制平面处理器，用于接收所述转发平面处理器上报的地址解析协议请求 才艮文或地址解析协议响应 4艮文。
9、 一种转发平面处理器， 其特征在于， 包括：
判断单元， 用于判断接收到的地址解析协议报文的类型；
第一查询单元，用于在所述判断单元判断所述地址解析协议报文为地址解 析协议请求 ^艮文时查询本地配置的地址解析协议表；
回应处理单元，用于在所述第一查询单元查询到所述地址解析协议请求才艮 文对应的表项时， 对所述地址解析协议请求报文进行回应； 第二查询单元，用于在所述判断单元判断所述地址解析协议报文为地址解 析协议响应 ^艮文时查询本地配置的地址解析协议表；
丟弃处理单元，用于在所述第二查询单元未查询到所述地址解析协议响应 报文对应的表项时， 丟弃所述地址解析协议响应报文。
10、 根据权利要求 9所述的转发平面处理器， 其特征在于， 所述转发平面 处理器还包括：
限速单元， 用于对地址解析协议报文进行限速后上报至控制平面处理器； 接口判断单元，用于在所述第一查询单元在所述地址解析协议表中未查询 到接收到的地址解析协议请求报文对应的表项时，判断接收所述地址解析协议 请求报文的接口是否使能代理地址解析协议功能， 若使能， 则通知所述限速单 元对所述地址解析协议请求报文进行限速上报； 若未使能， 则通知所述丟弃处 理单元丟弃所述地址解析协议请求 4艮文。
11、 根据权利要求 9或 10所述的转发平面处理器， 其特征在于， 所述转 发平面处理器还包括：
校验单元，用于当在所述地址解析协议表中查询到所述地址解析协议响应 报文对应的表项时， 判断所述表项中的上报参数是否为允许上报；
上报单元， 用于当所述表项中的上报参数为允许上报时， 上报所述地址解 析协议响应 4艮文。
PCT/CN2008/070532 2007-07-20 2008-03-19 Procédé, système de communication et dispositif pour le traitement de paquets arp WO2009012663A1 (fr)

Priority Applications (4)

Application Number Priority Date Filing Date Title
EP08715268A EP2139187B1 (en) 2007-07-20 2008-03-19 Method, communication system and device for ARP packet processing
AT08715268T ATE523023T1 (de) 2007-07-20 2008-03-19 Verfahren, kommunikationssystem und vorrichtung für arp paketverarbeitung
US12/614,206 US8542684B2 (en) 2007-07-20 2009-11-06 ARP packet processing method, communication system and device
US13/987,651 US9148374B2 (en) 2007-07-20 2013-08-19 ARP packet processing method, communication system and device

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN2007101299947A CN101094236B (zh) 2007-07-20 2007-07-20 地址解析协议报文处理方法及通讯系统及转发平面处理器
CN200710129994.7 2007-07-20

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US12/614,206 Continuation US8542684B2 (en) 2007-07-20 2009-11-06 ARP packet processing method, communication system and device

Publications (1)

Publication Number Publication Date
WO2009012663A1 true WO2009012663A1 (fr) 2009-01-29

Family

ID=38992262

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2008/070532 WO2009012663A1 (fr) 2007-07-20 2008-03-19 Procédé, système de communication et dispositif pour le traitement de paquets arp

Country Status (7)

Country Link
US (2) US8542684B2 (zh)
EP (1) EP2139187B1 (zh)
CN (1) CN101094236B (zh)
AT (1) ATE523023T1 (zh)
ES (1) ES2371127T3 (zh)
PT (1) PT2139187E (zh)
WO (1) WO2009012663A1 (zh)

Families Citing this family (32)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101094236B (zh) 2007-07-20 2011-08-10 华为技术有限公司 地址解析协议报文处理方法及通讯系统及转发平面处理器
CN101547187B (zh) * 2008-03-28 2012-01-11 中兴通讯股份有限公司 宽带接入设备的网络攻击防护方法
CN101998531B (zh) 2009-08-11 2013-04-24 华为技术有限公司 策略和计费控制规则授权方法、装置及系统
CN101997768B (zh) * 2009-08-21 2012-10-17 华为技术有限公司 一种上送地址解析协议报文的方法和装置
CN102195862A (zh) * 2010-03-11 2011-09-21 正文科技股份有限公司 路由装置及相关的封包处理电路
US8879554B2 (en) * 2010-05-07 2014-11-04 Cisco Technology, Inc. Preventing MAC spoofs in a distributed virtual switch
CN102255984B (zh) * 2011-08-08 2015-06-03 华为技术有限公司 一种arp请求报文验证方法及装置
CN103036794A (zh) * 2011-10-10 2013-04-10 华为技术有限公司 一种报文的学习方法、装置和系统
KR101270041B1 (ko) * 2011-10-28 2013-05-31 삼성에스디에스 주식회사 Ａｒｐ 스푸핑 공격 탐지 시스템 및 방법
US9455948B2 (en) * 2012-06-29 2016-09-27 Cisco Technology, Inc. Reducing proliferation of network-to-link-layer address resolution messages
CN102843362B (zh) * 2012-08-08 2016-05-04 唐稳杰 一种使用tcam进行arp防御的方法
CN103024851A (zh) * 2012-11-23 2013-04-03 福建星网锐捷网络有限公司 基于无线网络的报文传输方法、装置及网络设备
CN103152203B (zh) * 2013-03-18 2015-10-14 成都广达电子股份有限公司 一种eoc局端mac地址限制学习的方法
CN103347031B (zh) * 2013-07-26 2016-03-16 迈普通信技术股份有限公司 一种防范arp报文攻击的方法及设备
EP3082305B1 (en) * 2013-12-31 2019-05-22 Huawei Technologies Co., Ltd. Message transmission method, apparatus and communication system
US10009268B2 (en) 2014-01-06 2018-06-26 Samsung Electronics Co., Ltd. Method and apparatus for relaying packet transmission and updating network address information in communication system
US9716687B2 (en) * 2014-06-19 2017-07-25 Cisco Technology, Inc. Distributed gateways for overlay networks
US9876712B2 (en) * 2014-09-05 2018-01-23 Kt Corporation Method and device for processing address resolution protocol in software-defined networking environment
CN105635067B (zh) * 2014-11-04 2019-11-15 华为技术有限公司 报文发送方法及装置
CN104601460B (zh) * 2015-02-16 2018-12-25 新华三技术有限公司 一种报文转发方法及装置
CN106470127B (zh) * 2015-08-18 2020-12-29 中兴通讯股份有限公司 一种网络异常流量的检测方法及系统
CN105939332B (zh) * 2016-03-03 2019-09-17 杭州迪普科技股份有限公司 防御arp攻击报文的方法及装置
CN106130985B (zh) * 2016-06-24 2019-09-06 新华三技术有限公司 一种报文处理方法及装置
CN106982234A (zh) * 2017-05-26 2017-07-25 杭州迪普科技股份有限公司 一种arp攻击防御方法及装置
CN107294989B (zh) * 2017-07-04 2020-02-11 杭州迪普科技股份有限公司 一种防arp网关欺骗的方法及装置
CN108234522B (zh) * 2018-03-01 2021-01-22 深圳市共进电子股份有限公司 防止地址解析协议arp攻击方法、装置、计算机设备和存储介质
US10616175B2 (en) 2018-05-01 2020-04-07 Hewlett Packard Enterprise Development Lp Forwarding information to forward data to proxy devices
CN109274638A (zh) * 2018-05-22 2019-01-25 四川斐讯信息技术有限公司 一种攻击源接入自动识别处理的方法和路由器
US11050650B1 (en) * 2019-05-23 2021-06-29 Juniper Networks, Inc. Preventing traffic outages during address resolution protocol (ARP) storms
CN113872949B (zh) * 2021-09-18 2023-08-22 山东云海国创云计算装备产业创新中心有限公司 一种地址解析协议的应答方法及相关装置
CN114051013B (zh) * 2021-10-26 2023-11-24 联想(北京)有限公司 一种通信数据传输方法及装置
CN114221928A (zh) * 2021-11-05 2022-03-22 济南浪潮数据技术有限公司 一种管理网ip冲突的防御方法、系统、装置及存储介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1466341A (zh) * 2002-06-22 2004-01-07 ��Ϊ�������޹�˾ 一种动态地址分配中防止ip地址欺骗的方法
US6771649B1 (en) * 1999-12-06 2004-08-03 At&T Corp. Middle approach to asynchronous and backward-compatible detection and prevention of ARP cache poisoning
CN1855929A (zh) * 2005-04-27 2006-11-01 华为技术有限公司 一种针对arp泛滥攻击的防范方法
CN1870627A (zh) * 2005-08-09 2006-11-29 华为技术有限公司 Arp缓存表防攻击方法
CN101094236A (zh) * 2007-07-20 2007-12-26 华为技术有限公司 地址解析协议报文处理方法及通讯系统及转发平面处理器

Family Cites Families (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5708654A (en) * 1996-11-27 1998-01-13 Arndt; Manfred R. Method for detecting proxy ARP replies from devices in a local area network
US8001269B1 (en) * 2002-06-18 2011-08-16 Cisco Technology, Inc. Network address translation with IP redundancy
CN1133350C (zh) 2002-08-15 2003-12-31 西安西电捷通无线网络通信有限公司 使用主动arp实现移动终端跨ip网际漫游的方法
FR2844941B1 (fr) * 2002-09-24 2005-02-18 At & T Corp Demande d'acces securise aux ressources d'un reseau intranet
US7356032B1 (en) * 2002-11-01 2008-04-08 Bbn Technologies Corp. System and method for reducing broadcast traffic wireless access-point networks
CN1173531C (zh) 2003-01-17 2004-10-27 清华大学 同时支持路由查找、ip包分类、arp查找的方法及查找系统
US7490351B1 (en) * 2003-03-12 2009-02-10 Occam Networks Controlling ARP traffic to enhance network security and scalability in TCP/IP networks
CN100353717C (zh) * 2003-03-28 2007-12-05 华为技术有限公司 一种针对互联网协议的安全访问控制方法
CN100379205C (zh) 2003-08-11 2008-04-02 华为技术有限公司 交换机加速arp表项老化的方法
US7237267B2 (en) * 2003-10-16 2007-06-26 Cisco Technology, Inc. Policy-based network security management
DE602005022308D1 (de) 2004-05-21 2010-08-26 Computer Ass Think Inc Anordnung und verfahren zur entdeckung von geräten
US7471684B2 (en) 2004-10-21 2008-12-30 International Machines Corporation Preventing asynchronous ARP cache poisoning of multiple hosts
US7551559B1 (en) * 2004-10-22 2009-06-23 Cisco Technology, Inc. System and method for performing security actions for inter-layer binding protocol traffic
CN100490424C (zh) 2005-03-01 2009-05-20 杭州华三通信技术有限公司 一种分布式arp实现方法
US20060209818A1 (en) * 2005-03-18 2006-09-21 Purser Jimmy R Methods and devices for preventing ARP cache poisoning
US7436783B2 (en) * 2005-04-04 2008-10-14 Apple Inc. Method and apparatus for detecting a router that improperly responds to ARP requests
JP4640128B2 (ja) * 2005-11-16 2011-03-02 日立電線株式会社 応答通信機器及びａｒｐ応答通信機器
CN100454901C (zh) 2006-02-17 2009-01-21 华为技术有限公司 一种arp报文处理方法
CN1946041B (zh) 2006-06-20 2010-08-18 杭州华三通信技术有限公司 基于arp侦听的vlan聚合方法、汇聚交换机及系统
CN100553259C (zh) 2006-09-15 2009-10-21 杭州华三通信技术有限公司 一种arp报文处理方法及装置

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6771649B1 (en) * 1999-12-06 2004-08-03 At&T Corp. Middle approach to asynchronous and backward-compatible detection and prevention of ARP cache poisoning
CN1466341A (zh) * 2002-06-22 2004-01-07 ��Ϊ�������޹�˾ 一种动态地址分配中防止ip地址欺骗的方法
CN1855929A (zh) * 2005-04-27 2006-11-01 华为技术有限公司 一种针对arp泛滥攻击的防范方法
CN1870627A (zh) * 2005-08-09 2006-11-29 华为技术有限公司 Arp缓存表防攻击方法
CN101094236A (zh) * 2007-07-20 2007-12-26 华为技术有限公司 地址解析协议报文处理方法及通讯系统及转发平面处理器

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
KHOSRAVI H. ET AL.: "Requirements for Separation of IP Control and Forwarding", NETWORK WORKING GROUP, November 2003 (2003-11-01), XP008122257 *
YANG L. ET AL.: "Forwarding and Control Element Separation (ForCES) Framework", NETWORK WORKING GROUP, April 2004 (2004-04-01), XP008122253 *

Also Published As

Publication number Publication date
ES2371127T3 (es) 2011-12-27
EP2139187A4 (en) 2010-04-14
PT2139187E (pt) 2011-11-10
US9148374B2 (en) 2015-09-29
CN101094236A (zh) 2007-12-26
ATE523023T1 (de) 2011-09-15
US20100054253A1 (en) 2010-03-04
EP2139187B1 (en) 2011-08-31
EP2139187A1 (en) 2009-12-30
US20130336326A1 (en) 2013-12-19
US8542684B2 (en) 2013-09-24
CN101094236B (zh) 2011-08-10

Similar Documents

Publication Publication Date Title
WO2009012663A1 (fr) Procédé, système de communication et dispositif pour le traitement de paquets arp
WO2021008028A1 (zh) 网络攻击源定位及防护方法、电子设备及计算机存储介质
EP2469787B1 (en) Method and device for preventing network attacks
US8509243B2 (en) Method and device for sending a packet based on tunneling protocol used in layer 2
US9088607B2 (en) Method, device, and system for network attack protection
WO2009033402A1 (fr) Procédé et dispositif pour éviter l'usurpation et l'attaque d'une adresse arp
WO2019062839A1 (zh) 转发报文的方法、装置、交换机、设备及存储介质
JP2009534001A (ja) 悪質な攻撃の検出システム及びそれに関連する使用方法
WO2010063228A1 (zh) 防御域名系统欺骗攻击的方法及装置
JP2009519663A (ja) 仮想ネットワーク、データ・ネットワーク・システム、コンピュータ・プログラム、およびコンピュータ・プログラムを運用する方法
US10587514B1 (en) Filtering control plane decision requests for forwarding network packets
CN111371920A (zh) Dns前端解析方法及系统
US20080219162A1 (en) Method and system for controlling network access on a per-flow basis
WO2020001388A1 (zh) 发送bgp消息的方法、接收bgp消息的方法以及设备
JP2006502662A5 (zh)
EP3618355B1 (en) Systems and methods for operating a networking device
WO2011029361A1 (zh) 一种降低交换机中央处理器使用率的方法和装置及交换芯片
US20110265181A1 (en) Method, system and gateway for protection against network attacks
US20220141118A1 (en) Methods and system for securing a sdn controller from denial of service attack
WO2019096104A1 (zh) 攻击防范
EP3133790B1 (en) Message sending method and apparatus
Song et al. A novel frame switching model based on virtual MAC in SDN
WO2012100494A1 (zh) 一种提高邻居发现监听安全性的方法及装置
WO2023060881A1 (zh) 报文源地址识别方法及装置
CN108173980B (zh) 一种sdn环境中的重复地址检测方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 08715268

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2008715268

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE