[發明專利]防止攻擊的網絡的配置方法、防止攻擊的方法和裝置

無效

• 申請號: 200810066440.1
• 申請日: 2008-03-31
• 公開（公告）號: CN101257379A
• 公開（公告）日: 2008-09-03
• 發明（設計）人: 吳迪
• 申請（專利權）人: 華為技術有限公司
• 主分類號: H04L9/00
• 分類號: H04L9/00;H04L12/56
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種防止攻擊的網絡的配置方法，其特征在于，該網絡包括路由設備和用戶設備，所述用戶設備通過所述路由設備與接入運營商網絡通信，配置該網絡的方法包括：

為所述用戶設備配置用戶VLAN?ID；

在所述路由設備的用戶接入接口為所述用戶設備配置QinQ方式接入；該用戶設備報文封裝為QinQ報文后發送；

根據QinQ報文內層的用戶VLAN?ID配置特定類型的報文的抑制速率和缺省行為。

2.如權利要求1所述的方法，其特征在于，所述配置方式是由所述路由設備的管理員手工配置完成或者系統設置完成的。

3.如權利要求1所述的方法，其特征在于，所述的特定類型的報文為ARP報文。

4.如權利要求1所述的方法，其特征在于，所述的缺省行為模式包括：允許該特定類型的報文通過或者丟棄該特定類型的報文。

5.如權利要求1所述的方法，其特征在于，安全策略不同的所述用戶設備位于不同的VLAN內，具有不同的VLAN?ID。

6.如權利要求1所述的方法，其特征在于，所述用戶設備為具有相同VLAN?ID的至少一個網絡設備。

7.如權利要求1所述的方法，其特征在于，所述路由設備為普通路由器或邊緣路由器。

8.如權利要求1所述的方法，其特征在于，所述網絡還包括實現QinQ接入的交換設備，所述用戶設備通過該交換設備與所述路由設備通信。

9.如權利要求8所述的方法，其特征在于，所述交換設備為二層交換機、三層交換機或路由設備。

10.一種防止攻擊的方法，其特征在于，該方法用于配置QinQ接入的網絡中，根據QinQ內層的用戶VLAN?ID來識別用戶，該方法包括：

判斷收到的特定類型的報文是否已經配置了報文限速，如果是，則判斷該特定類型的報文的速率是否達到速率上限，如果是，則丟棄該報文；如果收到的特定類型的報文沒有配置報文限速，則執行缺省動作。

11.如權利要求10所述的方法，其特征在于，所述缺省動作包括：允許所述該特定類型的報文通過或者丟棄所述該特定類型的報文。

12.如權利要求11所述的方法，其特征在于，當執行的缺省動作為丟棄所述該特定類型的報文時，所述方法還包括：

對丟棄的該特定類型的報文進行計數。

13.如權利要求11所述的方法，其特征在于，執行的缺省動作為丟棄該用戶設備的該特定類型的報文時，所述方法還包括：

記錄丟棄的該特定類型的報文的VLAN?ID。

14.如權利要求10所述的方法，其特征在于，所述判斷收到的該特定類型的報文是否已經配置了報文限速之前，還包括：

判斷收到的報文是否為該特定類型的報文，如果是，則進一步判斷收到的該特定類型的報文是否已經配置了報文限速；否則按照正常流程處理該報文。

15.如權利要求10所述的方法，其特征在于，所述特定類型的報文為ARP報文。

16.一種防止攻擊的裝置，其特征在于，包括配置單元、限速判斷單元、限速上限判斷單元、執行單元，其中，

所述配置單元，用于在路由設備的用戶接入接口配置QinQ方式接入，根據QinQ報文內層的用戶VLAN?ID配置特定類型報文的速率上限和缺省動作；

所述限速判斷單元，用于判斷收到的特定類型報文是否已經配置了報文限速，如果已經配置了報文的所述速率上限，則交由所述限速上限判斷單元判斷該特定類型的報文的速率是否達到所述速率上限，所述執行單元根據所述限速上限判斷單元的判斷結果執行動作；

如果所述限速判斷單元確定收到的特定類型報文沒有配置報文的所述速率上限，則轉執行單元執行所述缺省動作。

17.如權利要求16所述的裝置，其特征在于，還包括報文判斷單元，用于判斷收到的報文是否是特定類型報文，若是，則交由所述限速判斷單元判斷該特定類型報文是否配置了報文限速；否則，交由所述執行單元執行正常處理流程。