[發明專利]一種抵御MAC地址欺騙攻擊的方法及設備

有效

• 申請號: 200910172084.6
• 申請日: 2009-08-31
• 公開（公告）號: CN101635731A
• 公開（公告）日: 2010-01-27
• 發明（設計）人: 汪洪遠
• 申請（專利權）人: 杭州華三通信技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/56
• 代理公司: 北京鑫媛睿博知識產權代理有限公司
• 代理人: 龔家驊

1.一種抵御MAC地址欺騙攻擊的方法，應用于根據MAC地址進行報 文轉發的交換系統中，其特征在于，交換設備中配置MAC地址與端口組的綁 定關系，所述端口組中包括與MAC地址相應的信任端口和非信任端口，包括：

所述交換設備獲取接收到的報文的源MAC地址，并判斷所述源MAC地 址是否配置綁定關系；

如果所述判斷結果為是，所述交換設備進一步判斷所述報文的入端口屬 于與所述源MAC地址相應的信任端口或者非信任端口；

當所述判斷結果為信任端口時，所述交換設備轉發所述報文，并根據所 述報文學習所述源MAC地址；

當所述判斷結果為非信任端口時，所述交換設備丟棄所述報文。

2.如權利要求1所述的方法，其特征在于，所述判斷所述源MAC地址 是否配置綁定關系具體為：

所述交換設備在預先配置的MAC地址綁定列表中查找所述源MAC地 址；如果沒有找到所述源MAC地址，則判斷所述源MAC地址沒有配置綁定 關系；否則，判斷所述源MAC地址配置有綁定關系。

3.如權利要求1所述的方法，其特征在于，所述判斷所述源MAC地址 是否配置綁定關系具體為：

所述交換設備查找是否存在與所述源MAC地址相應的端口，如果存在， 則判斷所述源MAC地址配置有綁定關系，否則，判斷所述源MAC地址沒有 配置綁定關系。

4.如權利要求1所述的方法，其特征在于，所述判斷所述源MAC地址 是否配置綁定關系之后，還包括：

如果所述判斷結果為否，所述交換設備轉發所述報文。

5.如權利要求1-4中任一項所述的方法，其特征在于，所述交換設備進 一步判斷所述報文的入端口屬于與所述源MAC地址相應的信任端口或者非 信任端口之后，還包括：

當所述判斷結果為信任端口，且所述源MAC地址具有靜態標志位時，所 述交換設備轉發所述報文。

6.如權利要求1-4中任一項所述的方法，其特征在于，所述判斷所述源 MAC地址是否配置綁定關系之前，還包括：

當所述獲取的源MAC地址具有靜態標志位時，所述交換設備直接轉發所 述報文；

當所述獲取的源MAC地址不具有靜態標志位時，繼續下一步操作。

7.一種抵御MAC地址欺騙攻擊的裝置，作為交換設備的一部分或者交 換設備應用于根據MAC地址進行報文轉發的交換系統中，其特征在于，所述 裝置中配置MAC地址與端口組的綁定關系，所述端口組中包括與MAC地址 相應的信任端口和非信任端口，包括：

地址獲取單元，用于獲取接收到的報文的源MAC地址，并判斷所述源 MAC地址是否配置綁定關系；

信任判斷單元，與所述地址獲取單元連接，用于當所述地址獲取單元的 判斷結果為是時，判斷所述報文的入端口屬于與所述源MAC地址相應的信任 端口或者非信任端口；

報文轉發單元，與所述信任判斷單元連接，用于當所述信任判斷單元的 判斷結果為信任端口時，轉發所述報文，并根據所述報文學習所述源MAC地 址；

報文丟棄單元，與所述信任判斷單元連接，用于當所述信任判斷單元的 判斷結果為非信任端口時，丟棄所述報文。

8.如權利要求7所述的裝置，其特征在于，所述地址獲取單元具體用于：

在預先配置的MAC地址綁定列表中查找所述源MAC地址；如果沒有找 到所述源MAC地址，則判斷所述源MAC地址沒有配置綁定關系；否則，判 斷所述源MAC地址配置有綁定關系。

9.如權利要求7所述的裝置，其特征在于，所述地址獲取單元具體用于：

查找是否存在與所述源MAC地址相應的端口；如果存在，則判斷所述源 MAC地址配置有綁定關系；否則，判斷所述源MAC地址沒有配置綁定關系。

10.如權利要求7所述的裝置，其特征在于，所述報文轉發單元還用于：

當所述地址獲取單元的判斷結果為否時，轉發所述報文。