[發明專利]一種防止ARP攻擊的方法及裝置

有效

• 申請號: 200910169727.1
• 申請日: 2009-08-28
• 公開（公告）號: CN101635628A
• 公開（公告）日: 2010-01-27
• 發明（設計）人: 劉浩
• 申請（專利權）人: 杭州華三通信技術有限公司
• 主分類號: H04L9/32
• 分類號: H04L9/32;H04L29/06
• 代理公司: 北京鑫媛睿博知識產權代理有限公司
• 代理人: 龔家驊

1.一種防止ARP攻擊的方法，應用于包括終端、認證服務器、管理設 備和至少兩個接入設備的網絡中，所述認證服務器用于對所述終端進行認證， 并通過所述終端對應的接入設備將認證結果發送給所述終端，當認證結果為 認證通過時，在所述終端對應的接入設備上綁定所述終端IP地址和MAC地 址對應關系；其特征在于，所述方法包括以下步驟：

所述管理設備獲取接入設備的端口綁定信息；所述端口綁定信息為接入 設備上綁定的終端IP地址和MAC地址對應關系；所述管理設備獲取接入設 備的端口綁定信息具體包括：所述管理設備向所述接入設備發送端口綁定信 息的查詢請求；由所述接入設備根據所述查詢請求獲得自身端口中綁定的端 口綁定信息；所述接入設備使用擴展MRC報文封裝所述端口綁定信息，并將 所述擴展MRC報文發送給所述管理設備；由所述管理設備接收來自所述接入 設備的端口綁定信息；

所述管理設備根據網絡拓撲結構將所述端口綁定信息發送給所述網絡中 的其他接入設備；所述管理設備根據網絡拓撲結構將所述端口綁定信息發送 給所述網絡中的其他接入設備具體包括：所述管理設備使用擴展MRC報文攜 帶所述端口綁定信息；所述管理設備根據所述網絡拓撲結構將所述擴展MRC 報文發送給所述網絡中的其他接入設備；

所述其他接入設備綁定所述端口綁定信息，以防止ARP攻擊。

2.如權利要求1所述的方法，其特征在于，所述網絡拓撲結構的獲取方 式具體為：

所述管理設備向自身直連接入設備發送NTDP報文；

所述直連接入設備向所述管理設備發送響應報文，所述響應報文中攜帶 了自身通過NDP報文收集的NDP信息；并復制所述NTDP報文給自身的其 他直連接入設備，由所述其他直連接入設備重復所述直連接入設備的操作；

所述管理設備接收來自所有接入設備的響應報文，并根據所述響應報文 中的NDP信息形成所述網絡拓撲結構。

3.如權利要求2所述的方法，其特征在于，所述管理設備向自身直連接 入設備發送NTDP報文之前，還包括：

接入設備通過激活端口向鄰居設備發送所述NDP報文，并接收所述鄰居 設備返回的NDP信息。

4.一種防止ARP攻擊的裝置，應用于包括終端、認證服務器、管理設 備和至少兩個接入設備的網絡中，所述認證服務器用于對所述終端進行認證， 并通過所述終端對應的接入設備將認證結果發送給所述終端，當認證結果為 認證通過時，在所述終端對應的接入設備上綁定所述終端IP地址和MAC地 址對應關系；其中所述裝置在所述網絡中，根據預定的競爭策略，或作為所 述管理設備，或作為所述接入設備，其特征在于，所述裝置包括查詢模塊、 獲取模塊、收發模塊和綁定模塊；

當所述裝置作為所述管理設備時，

所述查詢模塊，用于向接入設備查詢端口綁定信息；所述端口綁定信息 為接入設備上綁定的終端IP地址和MAC地址對應關系；

所述獲取模塊，用于獲取所述接入設備的端口綁定信息；

所述收發模塊，與所述查詢模塊和所述獲取模塊電性連接，用于根據網 絡拓撲結構將所述獲取模塊獲取的端口綁定信息發送給所述網絡中的其他接 入設備；并還用于根據所述網絡拓撲結構將擴展MRC報文發送給所述網絡中 的其他接入設備，所述擴展MRC報文中攜帶了所述端口綁定信息；

當所述裝置作為所述接入設備時，

所述收發模塊，用于接收來自所述管理設備的端口綁定信息；所述端口 綁定信息通過擴展MRC報文進行封裝，所述收發模塊還用于將封裝了自身端 口綁定信息的擴展MRC報文發送給所述管理設備；

所述獲取模塊，用于獲取自身端口中綁定的端口綁定信息；

所述綁定模塊，與所述收發模塊電性連接，用于在自身的端口上綁定所 述收發模塊接收的端口綁定信息，以防止ARP攻擊。