[發明專利]一種偽造IP數據包的處理方法及裝置

有效

• 申請號: 200810067292.5
• 申請日: 2008-05-15
• 公開（公告）號: CN101582833A
• 公開（公告）日: 2009-11-18
• 發明（設計）人: 蔣武
• 申請（專利權）人: 成都市華為賽門鐵克科技有限公司
• 主分類號: H04L12/56
• 分類號: H04L12/56;H04L29/06
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種IP數據包的處理方法，其特征在于，包括步驟：

接收待處理的IP數據包，其中該IP數據包中包含TTL生存時間數值；

判斷該IP數據包中的TTL生存時間數值是否在可信范圍，當該IP數據包中的TTL生存時間數值不在可信范圍內時，將所述IP數據包丟棄；

當在可信范圍內時，根據該IP數據包中的源IP地址，查找得到相應的TTL對照記錄信息；

當相應記錄中的實際TTL與該IP數據包的TTL不一致，且確定已有效探測過時，將該IP數據包丟棄；

當相應記錄中的實際TTL與該IP數據包的TTL不一致，且確定未有效探測過時，向所述源IP地址對應的設備發送探測包，在接收到回應的數據包后，根據探測的結果至少更新探測標記；

其中，當相應記錄中的探測標記表示已經探測過，則確定已有效探測過，當相應記錄中的探測標記表示未進行探測過，則確定未有效探測過。

2.根據權利要求1所述的方法，其特征在于，所述TTL對照記錄信息至少包括：源IP地址、實際TTL生存時間、探測標記三者之間的關聯信息。

3.根據權利要求1所述的方法，其特征在于，所述根據探測的結果至少更新探測標記包括：

從接收的回應數據包中提取得到TTL數值；

判斷所述提取得到的TTL數值與源IP地址關聯的記錄中的實際TTL的內容是否相同，當相同時，更新探測標記；當不相同時，用提取得到的TTL數值更新源IP地址關聯的記錄中的實際TTL，并且更新探測標記，所述更新后的探測標記表示已探測過。

4.根據權利要求1所述的方法，其特征在于，所述方法還包括：

根據該IP數據包中的源IP地址，確定不存在相應的TTL對照記錄信息時，將該IP數據包發送下一節點設備；

或者，當相應記錄中的實際TTL與該IP數據包的TTL一致時，將該IP數據包發送下一節點設備；

或者，當相應記錄中的實際TTL與該IP數據包的TTL不一致，且確定未有效探測過時，將該IP數據包發送下一節點設備。

5.根據權利要求1所述的方法，其特征在于，所述方法還包括：

根據與源節點設備的三次握手，從三次握手成功的數據中提取源IP地址和相應的TTL數值；

根據所述提取得到的源IP地址和TTL數值，建立或更新相應的TTL對照記錄信息。

6.根據權利要求1所述的方法，其特征在于，所述方法包括：

如果TTL對照記錄信息中進一步包括老化記時，則當相應記錄中的探測標記表示已經探測過，且老化記時表示該探測未老化時，確定已有效探測過；

如果TTL對照記錄信息中進一步包括老化記時，則當相應記錄中的探測標記表示已經探測過，且老化記時表示該探測已老化時，確定未有效探測過。

7.一種偽造IP數據包的處理裝置，其特征在于，包括：

TTL學習單元，用于管理和維護TTL對照記錄信息；

TTL檢測單元，用于接收到IP數據包后，判斷該IP數據包中的TTL是否在可信范圍內，當不在可信范圍內時，將該IP數據包丟棄；當在該可信范圍內時，根據該IP數據包的源IP地址查找所述TTL學習單元所維護的TTL對照記錄信息，當相應記錄中的實際TTL與該IP數據包的TTL數值不一致，且確定已有效探測過時，將該IP數據包丟棄；

所述裝置進一步包括：源探測單元，用于在所述TTL檢測單元確定未有效探測過時，向所述源IP地址對應的設備發送探測信息，接收與該探測信息對應的回應數據包，并輸出給所述TTL學習單元。

8.根據權利要求7所述的裝置，其特征在于，所述TTL學習單元為第二TTL學習單元，用于根據與源節點設備的三次握手，從三次握手成功的數據中提取源IP地址和相應的TTL數值；根據所述提取得到的源IP地址和TTL數值，建立或更新相應的TTL對照記錄信息，其中，所述TTL對照記錄信息至少包?括：括：源IP地址、實際TTL生存時間、探測標記三者之間的關聯信息。