[發明專利]一種網絡中防止地址沖突檢測欺騙的方法

有效

• 申請號: 200810067054.4
• 申請日: 2008-04-30
• 公開（公告）號: CN101267312A
• 公開（公告）日: 2008-09-17
• 發明（設計）人: 楊凡
• 申請（專利權）人: 中興通訊股份有限公司
• 主分類號: H04L9/36
• 分類號: H04L9/36;H04L29/06
• 代理公司: 深圳市君勝知識產權代理事務所
• 代理人: 王永文

1.一種網絡中防止地址沖突檢測欺騙的方法，其包括以下步驟：

A、運行監控子模塊用于偵聽以太網鏈路內各個端口，二層設備隨時監控本鏈路上的所有鄰居通告消息，并統計每個消息來源的源端口；當偵聽發現端口的鄰居通告消息數量超過所設定的門限值，則判斷該端口可能異常，調用模擬地址沖突檢測子模塊對該端口分支中是否存在惡意節點進行驗證；所述模擬地址沖突檢測子模塊針對可能異常的端口分支發送模擬地址沖突檢測報文，如果該分支返回了與模擬地址沖突檢測報文相應的鄰居通告消息，則判定存在惡意節點，端口異常；

B、調用防御子模塊，針對模擬地址沖突檢測子模塊判斷的異常端口，執行對該異常端口的半關閉動作直至端口正常，所述半關閉動作包括：只允許從二層設備往異常端口發數據包，禁止異常端口發出的數據包擴散至鏈路的其他分支。

2.根據權利要求1所述的方法，其特征在于，所述步驟A中所述監控子模塊的偵聽過程還包括：

A1、監控來自于鏈路上的鄰居通告消息；

A2、統計鄰居通告消息的源端口。

3.根據權利要求1所述的方法，其特征在于，所述步驟A中的監控子模塊、模擬地址沖突檢測子模塊和防御子模塊中還包含二層設備。

4.根據權利要求2所述的方法，其特征在于，所述步驟A1還包括：

A11、接收來自本鏈路上的所有數據包；

A12、判斷所述數據包類型是否屬于鄰居通告消息，是則轉步驟A2，否則轉步驟A11。

5.根據權利要求4所述的方法，其特征在于，所述步驟A2還包括：

A21、將所收到鄰居通告消息的源端口相應統計量計數器加1；

A22、判斷所述統計量是否超過設定的門限值，是則轉步驟A23，否則轉步驟A11；

A23、復位所述統計量計數器，返回該端口可能異常。

6.根據權利要求1所述的方法，其特征在于，所述步驟A還包括：

A1’、生成一個地址沖突檢測報文，并從所述可能異常端口發送出該報文；

A2’、等待是否收到相應的鄰居通告消息，是則返回端口異常，否則返回端口正常。

7.根據權利要求6所述的方法，其特征在于，所述步驟A1’中所述地址沖突檢測報文中的目標地址隨機且合法。

8.根據權利要求7所述的方法，其特征在于，所述步驟A2’中在返回端口異常后還包括：

A3’、判斷是否還設置有精確判定程序，是則轉步驟A4’否則返回端口異常；

A4’、重復一次步驟A1’和步驟A2’的處理，并且所述地址沖突檢測報文中的目標地址非法。

9.根據權利要求1所述的方法，其特征在于，所述步驟B之后還包括：

C1、調用模擬地址沖突檢測子模塊檢測該端口是否正常，是則轉步驟C3，否則轉步驟C2；

C2、等待超過預定時間后轉步驟C1；

C3、解除半關閉狀態，恢復端口正常。