WO2011079607A1 - 一种实现交换机端口mac地址防迁移的方法及装置 - Google Patents

一种实现交换机端口mac地址防迁移的方法及装置 Download PDF

Info

Publication number
WO2011079607A1
WO2011079607A1 PCT/CN2010/074694 CN2010074694W WO2011079607A1 WO 2011079607 A1 WO2011079607 A1 WO 2011079607A1 CN 2010074694 W CN2010074694 W CN 2010074694W WO 2011079607 A1 WO2011079607 A1 WO 2011079607A1
Authority
WO
WIPO (PCT)
Prior art keywords
port
mac address
switch
priority
database
Prior art date
Application number
PCT/CN2010/074694
Other languages
English (en)
French (fr)
Inventor
郭敬立
孙朋
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Publication of WO2011079607A1 publication Critical patent/WO2011079607A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L49/00—Packet switching elements
    • H04L49/30—Peripheral units, e.g. input or output ports
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L49/00—Packet switching elements
    • H04L49/65—Re-configuration of fast packet switches
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Definitions

  • the present invention relates to an access network security technology for an Ethernet switch, and more particularly to a method and apparatus for implementing a Media Port Control (MAC) address anti-migration of a switch port.
  • MAC Media Port Control
  • Ethernet is a shared network, its advantages and disadvantages are obvious. Many hacking tools on the current network can be used to make waves on Ethernet: listening to other people's information, stealing business, and launching denial of service (DOS) attacks, causing network devices to crash.
  • DOS denial of service
  • the main function of the intermediate device under the control of the operator is the exchange, and the operator is difficult to control the service, which provides a space for the malicious user to carry out the destruction activity.
  • DOS denial of service
  • In order to provide a "telecom carrier-class" access network provide users with secure access services, detect illegal services, and ensure the normal operation of network devices. This is a common concern of equipment providers and telecom operators.
  • MAC address spoofing is a very serious security threat.
  • the essence of MAC address spoofing is that MAC address duplication occurs, causing the switch chip MAC address to learn to migrate.
  • Some users cannot access the Internet. Because of the characteristics of Ethernet itself, the MAC address information is public. Through the scanning tool, users can easily obtain it. MAC address information of other users. If the same MAC address appears on different user ports of the device, the MAC address learning will be disordered, resulting in no user. Law online.
  • VLAN virtual local area network
  • the present invention provides a method and an apparatus for implementing port port MAC address anti-migration, so as to solve the problem that the prior art cannot effectively implement MAC address anti-migration on the Ethernet switch chip of the switch.
  • a method for implementing switch port MAC address anti-migration of the present invention includes the following steps: setting a MAC address anti-migration priority of a port of a switch chip in the switch. Disable the MAC address self-learning function of all ports. The forwarding policy of the unknown source MAC address packet of the port is not forwarded. The MAC address learning and aging of the port is interrupted. After receiving a new MAC address or aging, the port sends a corresponding message to the CPU. For new MAC address messages, you need to confirm whether you can learn according to the records in the CPU database. If possible, learn the MAC address on the corresponding switch chip port and update the database. For the MAC address aging information, you need to delete the corresponding content from the database.
  • the MAC address self-learning function of all ports is closed by the switch chip.
  • the new MAC address forwarding policy of the modified port is completed by the switch chip.
  • the principle of determining whether the MAC address can be learned from the database information is: if the MAC address is not learned on other ports, the MAC address is learned, and the information is recorded in the database; if the MAC address learns other ports If the MAC learning priority of the port is lower than the priority of the port, the MAC address can be learned, and the port information of the MAC address in the database is modified to be the port; if the MAC address is learned on other ports, If the MAC learning priority of this port is not lower than the priority of this port, the MAC address will not be learned.
  • a switch of the present invention includes: a switch chip having a plurality of ports in the connection, the chip is used to disable the MAC address self-learning function of all ports; the forwarding policy of the unknown source MAC address packet of the port is not forwarded, and The MAC address learning and aging of the port is interrupted.
  • the port After receiving the MAC address message, the port notifies the management CPU.
  • a priority setting module is configured to set a MAC address anti-migration priority of each port of the switch chip.
  • a database module that records the current MAC address information of each port. The management CPU is configured to determine a learning policy according to the port configuration and the database record information when the port is notified of the new source MAC address, and update the database record when the port receives the MAC address aging message.
  • the logic rule for determining, by the management CPU, the learning policy according to the port configuration and the database record information includes: if the new source MAC address is not learned on another port, the management CPU instructs the MAC address to learn the local port, and The information is recorded in the database module; if the new source MAC address has been learned on another port, and the MAC address anti-migration priority of the port is lower than the priority of the port, the management CPU instructs the MAC address to learn The port, and the port information of the MAC address in the database module is modified to be the port; if the new source MAC address has been learned on other ports, and the MAC address anti-migration priority of the port is not lower than the priority of the port Level, the management CPU instructs not to learn the MAC address to the local port.
  • the MAC address anti-migration priority of the above port is a concept proposed by the present invention, and the role is Used to control the direction of MAC address migration: MAC addresses can be migrated from low-priority ports to high-priority ports, while migration is not allowed in the reverse direction.
  • the method and the device provided above can implement the MAC address anti-migration function on a common switch chip.
  • the port MAC anti-migration can be configured.
  • the MAC address anti-migration function is implemented.
  • the service of the trusted port is not spoofed by the MAC address of other ports. It can be used not only to prevent user MAC address spoofing during normal service communication, but also to pass the port.
  • the flexible setting of the MAC address anti-migration priority ensures that the trusted port can recover quickly after being attacked by the MAC address.
  • FIG. 1 is a flowchart of a method for implementing MAC address anti-migration provided by the present invention
  • FIG. 3 is a schematic structural diagram of a switch for implementing MAC address anti-migration provided by the present invention
  • FIG. 4 is a flow chart of a method for implementing port port MAC address anti-migration in the embodiment of the present invention. detailed description
  • the technical problem to be solved by the present invention is: Based on the consideration of network security on the switch chip, a method and device for comprehensively utilizing software and hardware resources to implement MAC address anti-migration function are proposed. Set.
  • the method in the embodiment of the present invention mainly includes the following steps:
  • Step S1 Set the MAC address anti-migration priority of each port of the switch chip in the switch.
  • Step S2 Disable the MAC address self-learning function of all ports.
  • Step S3 Modify the forwarding policy of the unknown source MAC address packet of the port to not forward, and open the MAC address learning and aging interrupt of the port.
  • Step S4 After receiving a new source MAC address message, determining a learning policy according to the port configuration and the database record information; and receiving the MAC address aging message, updating the database record.
  • steps S1 to S3 are preparation steps, and step S4 is an execution step of anti-migration. There is no logic between the preparation steps; there is logic between the preparation steps and the execution steps.
  • the existing Ethernet switch includes at least one switch chip, and has the function of learning MAC address learning on the port, and has the function of reporting the management CPU new MAC address message and reporting the MAC address aging message.
  • the Ethernet switch in the embodiment of the present invention is an Ethernet switch used for Layer 2 switching, as shown in FIG. 3, including: a switch chip, a priority setting module, a database module, and a management CPU. .
  • the switching chip has the usual Layer 2 switching function. Although it does not have the function of MAC address anti-migration, it has the function of learning the MAC address of the closed port as the ordinary switching chip.
  • the forwarding policy of the unknown source MAC address packet of the modified port is The function of not forwarding, the MAC address learning and aging interrupt function of the port is enabled, and the function of managing the CPU new MAC address message and reporting the MAC address aging message is reported.
  • There are several ports in the connection of the switch chip which are represented by three ports 101, 102, and 103.
  • the networking of the switching network is as follows: The port 101 is connected to the controlled network. The service reliability of the access is relatively high, and the service security requirements are relatively high.
  • the ports 102 and 103 are connected to the uncontrolled network.
  • the priority setting module is used to set the MAC address anti-migration priority of each port of the switch chip.
  • a database module is used to record the current MAC address information of each port.
  • the management CPU is configured to determine a learning policy according to the port MAC address anti-migration priority configuration information and the database record information when the port is notified of the new source MAC address, and update the database when the port receives the MAC address aging message. recording.
  • the priority setting module sets the port 101 as the high priority of the MAC anti-migration, and the ports 102 and 103 are set to the MAC. Low priority for anti-migration.
  • the management CPU receives the new source MAC address SA message of the port 101, and determines from the database that the SA does not learn any other port, learns the MAC address directly on the switch chip, and saves the file in the database.
  • the management CPU receives the new source MAC address SA message of port 101, and from the database. It is determined that the SA learns to be port 102 or port 103. Since the port 101 has a migration prevention priority higher than port 102 or port 103, the MAC address is migrated to 101 on the switch chip, and the database is in the database. The SA modification is associated with port 101.
  • the management CPU receives the new source MAC address SA message of port 102 or port 103, and determines from the database that the SA has not learned any other port, then learns the MAC address directly on the switch chip, and in the database. A record of the association between the SA and the receiving port is saved.
  • the management CPU receives the new source MAC address SA message of the port 102 or the port 103, and determines from the database that the SA has learned the port 101, because the MAC address of the receiving port has a low priority of anti-migration. At port 101, no processing is performed on the message, and the MAC address is not migrated.
  • the management CPU receives the new source MAC address SA message of port 102 or port 103, and determines from the database that the SA has learned to port 103 or 102, because in our configuration, the MAC anti-migration of the receiving port The priority is not higher than the source port learned by the current SA. Therefore, the message is not processed and the MAC address is not migrated.
  • the method and the device of the present invention can implement a complex MAC address anti-migration function on a common switch chip, and enable the service provider to configure the MAC address anti-migration priority of the port according to the actual networking situation. In the case of ensuring high-priority port real-time MAC migration protection, it is guaranteed that it will not be attacked by MAC addresses of other ports.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Description

一种实现交换机端口 MAC地址防迁移的方法及装置 技术领域
本发明涉及以太网交换机的接入网络安全技术， 特别是涉及一种实现 交换机端口介质访问控制 （ Media Address Control, MAC )地址防迁移的方 法及装置。 背景技术
宽带接入网络的技术发展迅速， 其应用也越来越广泛， 但是安全问题 也伴随着它的发展成为大家越来越关心的问题。 在接入网环境下， 用户、 接入设备和网络都面临着各种威胁， 特别是来自用户侧的威胁。
宽带接入网络的快速发展使得宽带用户数成倍增加， 但是也使得网络 遭受安全攻击的可能性大大增加。 特别是引入以太网技术、 IP技术后， 接 入网安全性问题日益凸现。 因为以太网络是共享式的网络， 它的优点和缺 点均很明显。 当前网络上很多黑客工具可以用来在以太网上兴风作浪： 监 听他人信息、 盗取业务、 发起拒绝服务（DOS )攻击， 造成网络设备瘫痪。 而处于运营商控制范围内的中间设备主要的功能就是交换， 运营商对业务 很难控制， 这就为恶意用户提供了开展破坏活动的空间。 为提供 "电信运营 级"的接入网络， 为用户提供安全的接入服务， 检测非法业务， 保证网络设 备正常运行， 目前是设备提供商和电信运营商共同关注的问题
MAC地址欺骗是非常严重的安全威胁。 MAC地址欺骗的本质是会出 现 MAC地址重复，造成交换芯片 MAC地址学习迁移，部分用户无法上网： 因为以太网自身的特点， MAC地址信息都是公开的， 通过扫描工具， 用户 可以较容易地获取其他用户的 MAC地址信息。 如果相同的 MAC地址出现 在设备的不同用户端口上， 就会造成 MAC地址学习发生紊乱， 导致用户无 法上网。
为了增强安全性， 在接入网络， 一般要求在接入节点处实现用户端口 隔离： 在同一个 VLAN下的用户之间相互不能通信， 而只能和上行汇聚端 口互通。 用户端口隔离可以通过私有虚拟局域网 （PVLAN )技术来实现。
不是所有的交换芯片都支持 PVLAN的功能，即使支持 PVLAN的功能， 也有可能因为设备 MAC地址设置不当造成 MAC地址重复问题， 或者用户 通过其他渠道获得其他用户的 MAC (比如"暴力" MAC尝试）。 PVLAN技 术本身不足以完全解决用户侧 MAC地址欺骗问题。
因此， 为了解决以上问题， 急需一种能够在当前以太网交换芯片上实 现 MAC地址防迁移的方法。而当前决大多数的交换芯片本身没有提供该功 能， 这给整个交换系统的安全管理策略造成了很大的困难。 发明内容
本发明提供了一种实现交换机端口 MAC地址防迁移的方法及装置，用 以解决现有技术不能在交换机的以太网交换芯片上有效实现 MAC地址防 迁移的问题。
本发明的一种实现交换机端口 MAC地址防迁移的方法， 包括如下步 驟： 设置交换机中交换芯片的端口的 MAC地址防迁移优先级。 关闭所有端 口的 MAC地址自学习功能。修改端口的未知源 MAC地址包的转发策略为 不进行转发。打开端口的 MAC地址学习和老化中断， 这样端口在收到新的 MAC地址或者老化后会发送相应的消息到 CPU中。对于新的 MAC地址消 息， 需要根据 CPU数据库中的记录确认是否可以学习，如果可以，将 MAC 地址学习到相应的交换芯片端口上， 并且更新数据库。对于 MAC地址老化 的信息， 需要从数据库中删除相应的内容。
其中， 关闭所有端口的 MAC地址自学习功能是由交换芯片完成。
其中， 修改端口的新 MAC地址转发策略由交换芯片完成。 其中，从数据库信息中确定 MAC地址是否可以学习的原则是： 如果该 MAC地址没有学习到其它端口上， 则学习该 MAC地址， 并且将该信息记 入数据库中； 如果该 MAC地址学习到其它端口上， 而且这个端口的 MAC 学习优先级低于本端口的优先级， 则可以学习该 MAC地址， 并且将数据库 中 MAC地址的端口信息修改为本端口； 如果该 MAC地址学习到其它端口 上， 而且这个端口的 MAC学习优先级不低于本端口的优先级， 则本 MAC 地址不进行学习。
本发明的一种交换机， 包括： 交换芯片， 其连接中有多个端口， 该芯 片用于关闭所有端口的 MAC地址自学习功能； 修改端口的未知源 MAC地 址包的转发策略为不转发，并打开端口的 MAC地址学习和老化中断；之后， 端口收到 MAC地址消息， 则通知管理 CPU。 优先级设置模块， 用于设置 交换芯片各端口的 MAC地址防迁移优先级。数据库模块， 用于记录各端口 当前的 MAC地址信息。 管理 CPU, 用于在获知端口收到新的源 MAC地址 消息时， 根据端口配置和数据库记录信息确定学习策略； 在获知端口收到 MAC地址老化消息时， 更新数据库记录。
其中， 管理 CPU根据端口配置和数据库记录信息确定学习策略的逻辑 规则包括： 如果所述新的源 MAC地址未学习到其它端口上， 则管理 CPU 指示将该 MAC地址学习到本端口， 并且将该信息记入数据库模块中； 如果 所述新的源 MAC地址已学习到其它端口上， 并且该端口的 MAC地址防迁 移优先级低于本端口的优先级， 则管理 CPU指示将该 MAC地址学习到本 端口， 以及将数据库模块中 MAC地址的端口信息修改为本端口； 如果所述 新的源 MAC地址已学习到其它端口上， 并且该端口的 MAC地址防迁移优 先级不低于本端口的优先级， 则管理 CPU指示不将该 MAC地址学习到本 端口。
上述端口的 MAC地址防迁移优先级是本发明提出的一个概念，作用是 用于控制 MAC地址迁移的方向： MAC地址可以从低优先级的端口迁移到 高优先级的端口， 而反方向则不允许迁移。
因而， 利用上面所提出的方法及装置， 能够在普通的交换芯片上实现 MAC地址防迁移的功能， 在多个服务商的业务流通过同一个交换芯片时， 能够通过配置不同的端口 MAC防迁移优先级的方式， 达到 MAC地址防迁 移的功能， 保证信任的端口的业务不会受到其它端口的 MAC地址欺骗攻 击， 不仅仅可用来防止正常业务通讯过程中用户 MAC地址的欺骗，还可以 通过端口 MAC地址防迁移优先级的灵活设置， 保证信任端口在受到 MAC 地址欺骗攻击后可以迅速的恢复。
本发明的其他特征和优点将在随后的说明书中阐述， 并且， 部分地从 说明书中变地显而易见， 或者通过实施本发明而了解。 本发明地目的和其 他优点可通过在所写地说明书、 权利要求书以及附图中所特别指出地结构 来实现和获得。 附图说明
图 1是本发明提供的实现 MAC地址防迁移的方法流程图；
图 2是现有交换机的结构示意图；
图 3是本发明提供的实现 MAC地址防迁移的交换机的结构示意图； 图 4是本发明实施例中实现交换机端口 MAC地址防迁移的方法流程 图。 具体实施方式
以下结合附图对本发明的优选实施例进行说明， 应当理解， 此处所描 述的优选实施例仅用于说明和解释本发明， 并不用于限定本发明。
本发明所要解决的技术问题是： 在交换芯片上基于网络安全的考虑， 提出了一种综合利用软硬件资源来实现 MAC地址防迁移功能的方法及装 置。
如图 1所示， 本发明实施例中的方法主要包括下列步驟：
步驟 S1、 设置交换机中交换芯片各端口的 MAC地址防迁移优先级； 步驟 S2、 关闭所有端口的 MAC地址自学习功能。
步驟 S3、 修改端口的未知源 MAC地址包的转发策略为不转发， 并打 开端口的 MAC地址学习和老化中断。
步驟 S4、 收到新的源 MAC地址消息， 则根据端口配置和数据库记录 信息确定学习策略； 以及收到 MAC地址老化消息， 则更新数据库记录。
需要说明的是步驟 S1至 S3为准备步驟，步驟 S4为防迁移的执行步驟。 准备步驟之间无前后逻辑； 准备步驟与执行步驟之间有前后逻辑。
如图 2所示， 现有以太网交换机至少包括一交换芯片， 具有关闭端口 MAC地址学习的功能，并且有上报管理 CPU新 MAC地址消息和上报 MAC 地址老化消息的功能。在交换芯片的连接中有若干端口， 以端口 1、端口 2、 端口 3三个端口表示。
与上述现有以太网交换机对比， 本发明实施例中的以太网交换机是用 于二层交换的以太网交换机， 如图 3 所示， 包括： 交换芯片、 优先级设置 模块、 数据库模块和管理 CPU。
其中， 交换芯片具有通常的二层交换功能， 虽然不具备 MAC地址防迁 移的功能， 但如同普通的交换芯片， 具有关闭端口 MAC地址学习的功能， 修改端口的未知源 MAC 地址包的转发策略为不转发功能， 打开端口的 MAC地址学习和老化中断功能，并且有上报管理 CPU新 MAC地址消息和 上报 MAC地址老化消息的功能。在交换芯片的连接中有若干端口，以 101、 102、 103三个端口表示。 其中交换网络组网情况为： 端口 101所接入为受 控网络， 其接入的业务可靠性比较高， 业务安全性要求也比较高， 而端口 102和 103接入的是非受控网络，不能排除这些端口存在恶意用户构造非法 的源 MAC地址 4艮文进行攻击， 如果这些非法的源 MAC恰好与 101端口下 的某些用户的源 MAC相同， 就会导致相同的 MAC地址学习到交换机不同 的用户端口上，从而造成 MAC地址学习发生紊乱， 导致某些正常的用户无 法上网。
优先级设置模块， 用于设置交换芯片各端口的 MAC地址防迁移优先 级。
数据库模块， 用于记录各端口当前的 MAC地址信息。
管理 CPU, 用于在获知端口收到新的源 MAC地址消息时， 根据端口 的 MAC地址防迁移优先级配置信息和数据库记录信息确定学习策略；在获 知端口收到 MAC地址老化消息时， 更新数据库记录。
结合上述实施例所述的方法及装置， 参加图 4所示， 根据用户的需求， 端口 101上学习到的 MAC地址不能迁移到 102或者 103上， 但 102或者 103上 MAC地址可以迁移到端口 101上， 此外， 端口 102和 103上学习到 的 MAC地址也不能互相迁移，在本实施例中，通过优先级设置模块设置端 口 101为 MAC防迁移的高优先级， 而端口 102和 103设置为 MAC防迁移 的低优先级。
关闭这三个端口的 MAC地址自学习功能并打开端口的新 MAC地址中 断， 这样， 在端口收到一个源 MAC地址（SA )的包后， 不会自己将 SA学 习到交换芯片上， 而会通过触发一个中断的方式通知管理 CPU, 而同时如 果出现 MAC地址老化的现象，交换芯片也可以通过触发中断的方式通知管 理 CPU, 这样会出现如下几种情况：
1、 管理 CPU收到端口 101新的源 MAC地址 SA消息， 且从数据库中 确定该 SA没有学习到其余任意一个端口上， 则直接在交换芯片上学习该 MAC地址， 并且在数据库中保存一条该 SA与端口 101的关联记录。
2、 管理 CPU收到端口 101新的源 MAC地址 SA消息， 且从数据库中 确定该 SA学习到 102端口或者 103端口上，由于发现配置中端口 101的防 迁移优先级要高于 102端口或者 103端口，则在交换芯片上将该 MAC地址 迁移到 101上， 并且将数据库中 SA修改关联到端口 101上。
3、管理 CPU收到端口 102或者端口 103的新的源 MAC地址 SA消息， 且从数据库中确定该 SA没有学习到其余任意一个端口上，则直接在交换芯 片上学习该 MAC地址， 并且在数据库中保存一条该 SA与接收端口的关联 记录。
4、管理 CPU收到端口 102或者端口 103的新的源 MAC地址 SA消息， 且从数据库中确定该 SA已经学习到端口 101上， 由于在配置中，接收端口 的 MAC地址防迁移的优先级低于端口 101 ,所以对该消息不进行任何处理， MAC地址不进行迁移。
5、管理 CPU收到端口 102或者端口 103的新的源 MAC地址 SA消息， 且从数据库中确定该 SA已经学习到 103或者 102端口上，由于在我们的配 置中， 接收端口的 MAC防迁移的优先级不高于当前 SA学习到的源端口， 所以对该消息不进行处理， MAC地址不进行迁移。
综上所述， 应用本发明的方法及装置， 可以在普通的交换芯片上实现 复杂的 MAC地址防迁移的功能， 可以让业务运营商根据实际组网情况， 配 置端口的 MAC防迁移的优先级， 能够在保证高优先级端口实时 MAC迁移 保护的情况下， 保证不会受到其它端口的 MAC地址攻击。
以上仅为本发明的优选实施例而已， 并不用于限制本发明， 对于本领 域的技术人员来说， 本发明可以有各种更改和变化。 凡在本发明的精神和 原则之内， 所作的任何修改、 等同替换、 改进等， 均应包含在本发明的保 护范围之内。

Claims

权利要求书
1、 一种实现交换机端口介质访问控制（MAC )地址防迁移的方法， 其 特征在于， 该方法包括：
设置交换机中交换芯片各端口的 MAC地址防迁移优先级；
关闭所有端口的 MAC地址自学习功能；
修改端口的未知源 MAC 地址包的转发策略为不转发， 并打开端口的 MAC地址学习和老化中断； 之后，
收到新的源 MAC地址消息，则根据端口配置和数据库记录信息确定学 习策略； 以及收到 MAC地址老化消息， 则更新数据库记录。
2、 如权利要求 1所述实现交换机端口 MAC地址防迁移的方法， 其特 征在于， 所述关闭所有端口的 MAC地址自学习功能由交换芯片完成。
3、 如权利要求 1所述实现交换机端口 MAC地址防迁移的方法， 其特 征在于， 修改所述端口的未知源 MAC地址包的转发策略由交换芯片完成。
4、 如权利要求 1所述实现交换机端口 MAC地址防迁移的方法， 其特 征在于， 所述根据端口配置和数据库记录信息确定学习策略具体为：
如果所述新的源 MAC地址未学习到其它端口上， 则将该 MAC地址学 习到本端口， 并且将该信息记入数据库中；
如果所述新的源 MAC 地址已学习到其它端口上， 并且其它端口的 MAC地址防迁移优先级低于本端口的优先级， 则将该 MAC地址学习到本 端口， 以及将数据库中 MAC地址的端口信息修改为本端口；
如果所述新的源 MAC 地址已学习到其它端口上， 并且其它端口的 MAC地址防迁移优先级不低于本端口的优先级， 则不将该 MAC地址学习 到本端口。
5、 如权利要求 1所述实现交换机端口 MAC地址防迁移的方法， 其特 征在于， 所述收到 MAC地址老化消息， 更新数据库记录的步驟， 具体为： 从数据库中删除所述 MAC地址老化消息的相应内容。
6、 一种交换机， 其特征在于， 所述交换机包括：
交换芯片， 其连接中有多个端口， 该芯片用于关闭所有端口的 MAC地 址自学习功能； 修改端口的未知源 MAC地址包的转发策略为不转发， 并打 开端口的 MAC地址学习和老化中断； 之后， 端口收到 MAC地址消息， 则 通知管理 CPU;
优先级设置模块， 用于设置交换芯片各端口的 MAC地址防迁移优先 级；
数据库模块， 用于记录各端口当前的 MAC地址信息；
管理 CPU, 用于在获知端口收到新的源 MAC地址消息时， 根据端口 配置和数据库记录信息确定学习策略；在获知端口收到 MAC地址老化消息 时， 更新数据库记录。
7、 如权利要求 6所述的交换机， 其特征在于， 管理 CPU根据端口配 置和数据库记录信息确定学习策略具体为：
如果所述新的源 MAC地址未学习到其它端口上， 则管理 CPU指示将 该 MAC地址学习到本端口， 并且将该信息记入数据库模块中；
如果所述新的源 MAC 地址已学习到其它端口上， 并且其它端口的 MAC地址防迁移优先级低于本端口的优先级， 则管理 CPU指示将该 MAC 地址学习到本端口，以及将数据库模块中所述 MAC地址的端口信息修改为 本端口；
如果所述新的源 MAC 地址已学习到其它端口上， 并且其它端口的 MAC地址防迁移优先级不低于本端口的优先级， 则管理 CPU指示不将该 MAC地址学习到本端口。
8、 如权利要求 6所述的交换机， 其特征在于， 管理 CPU在获知端口 收到 MAC地址老化消息时， 更新数据库记录的操作具体为： 从数据库模块 中删除所述 MAC地址老化消息的相应内容。
9、 如权利要求 6 所述的交换机， 其特征在于， 交换芯片在端口收到 MAC地址消息时， 通过触发中断的方式通知管理 CPU。
10、 如权利要求 6所述的交换机， 其特征在于， 所述交换机为用于二 层交换的以太网交换机。
PCT/CN2010/074694 2009-12-28 2010-06-29 一种实现交换机端口mac地址防迁移的方法及装置 WO2011079607A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200910260291.7 2009-12-28
CN200910260291A CN101764753A (zh) 2009-12-28 2009-12-28 一种实现交换机端口mac地址防迁移的方法及装置

Publications (1)

Publication Number Publication Date
WO2011079607A1 true WO2011079607A1 (zh) 2011-07-07

Family

ID=42495745

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2010/074694 WO2011079607A1 (zh) 2009-12-28 2010-06-29 一种实现交换机端口mac地址防迁移的方法及装置

Country Status (2)

Country Link
CN (1) CN101764753A (zh)
WO (1) WO2011079607A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105830400A (zh) * 2014-11-04 2016-08-03 华为技术有限公司 控制mac地址漂移的方法、装置和系统

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102014062B (zh) * 2010-12-01 2015-08-12 中兴通讯股份有限公司 Mac地址漂移的控制方法和装置
CN102291290A (zh) * 2011-08-08 2011-12-21 浙江中控技术股份有限公司 以太环网故障检测、连接的方法和系统
CN102316001B (zh) * 2011-10-13 2014-02-05 杭州华三通信技术有限公司 一种虚拟网络连接配置实现方法和网络设备
CN102420762B (zh) * 2011-12-05 2015-04-22 北京星网锐捷网络技术有限公司 报文转发方法、系统、网络设备和防火墙线卡
CN104079679B (zh) * 2014-06-04 2018-04-06 上海斐讯数据通信技术有限公司 实现mac地址表保持一致的方法
CN107547535B (zh) * 2017-08-24 2021-01-01 新华三技术有限公司 防攻击的mac地址学习方法、装置和网络设备
CN110365811B (zh) * 2019-07-22 2022-03-01 杭州迪普科技股份有限公司 一种mac地址学习限制方法、装置及设备
CN113794657B (zh) * 2021-09-14 2023-10-31 迈普通信技术股份有限公司 Mac地址迁移处理方法、装置及交换设备

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101098291A (zh) * 2006-06-29 2008-01-02 中兴通讯股份有限公司 在接入设备上防止介质访问控制地址表扰乱的方法
CN101447933A (zh) * 2008-12-30 2009-06-03 杭州华三通信技术有限公司 端口安全防御的辅助方法和装置、方法和系统及交换设备
CN101510837A (zh) * 2009-04-01 2009-08-19 福建星网锐捷网络有限公司 以太网桥设备、迁移聚合口地址的方法及装置

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101098291A (zh) * 2006-06-29 2008-01-02 中兴通讯股份有限公司 在接入设备上防止介质访问控制地址表扰乱的方法
CN101447933A (zh) * 2008-12-30 2009-06-03 杭州华三通信技术有限公司 端口安全防御的辅助方法和装置、方法和系统及交换设备
CN101510837A (zh) * 2009-04-01 2009-08-19 福建星网锐捷网络有限公司 以太网桥设备、迁移聚合口地址的方法及装置

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105830400A (zh) * 2014-11-04 2016-08-03 华为技术有限公司 控制mac地址漂移的方法、装置和系统

Also Published As

Publication number Publication date
CN101764753A (zh) 2010-06-30

Similar Documents

Publication Publication Date Title
WO2011079607A1 (zh) 一种实现交换机端口mac地址防迁移的方法及装置
US7536715B2 (en) Distributed firewall system and method
WO2022088405A1 (zh) 一种网络安全防护方法、装置及系统
US8904514B2 (en) Implementing a host security service by delegating enforcement to a network device
US20070192862A1 (en) Automated containment of network intruder
US7836360B2 (en) System and method for intrusion prevention high availability fail over
EP2033096A2 (en) Multi-network virus immunization
JP2007129707A (ja) 自動化ネットワークのブロッキングの方法およびシステム
US10462134B2 (en) Network device removal for access control and information security
US10798062B1 (en) Apparatus, system, and method for applying firewall rules on packets in kernel space on network devices
US10484380B2 (en) Untrusted network device identification and removal for access control and information security
WO2009140889A1 (zh) 一种数据传输控制方法以及数据传输控制装置
US10805295B2 (en) Network switch port access control and information security
US10972470B2 (en) Network device isolation for access control and information security
US20220294807A1 (en) Systems and methods for switch-based network security
US20220021653A1 (en) Network security device
WO2009135422A1 (zh) 一种QinQ内广播的实现方法和装置
US7562389B1 (en) Method and system for network security
WO2009135427A1 (zh) 一种分布式网络设备安全集中防护的装置与方法
EP1290852A2 (en) Distributed firewall system and method
JP5985110B2 (ja) システムの作動方法及びシステム
CN113315652B (zh) 一种优化交换机访问控制的方法、系统、设备及介质
US10609064B2 (en) Network device access control and information security
WO2011041963A1 (zh) 控制用户访问网络的方法、装置和系统
Jouravlev Mitigating Denial-Of-Service Attacks On VoIP Environment

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10840396

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 10840396

Country of ref document: EP

Kind code of ref document: A1