[發明專利]一種防止仿冒IP地址進行攻擊的方法和接入設備

有效

• 申請號: 201010103859.7
• 申請日: 2010-01-22
• 公開（公告）號: CN102137073A
• 公開（公告）日: 2011-07-27
• 發明（設計）人: 林濤
• 申請（專利權）人: 杭州華三通信技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京德琦知識產權代理有限公司 11018
• 代理人: 謝安昆;宋志強

1.一種防止仿冒IP地址進行攻擊的方法，其特征在于，該方法包括：

所述接入設備從用戶側端口接收到攜帶待檢測IP地址的重復地址檢測鄰居請求DAD?NS報文或地址確定Confirm報文時，生成包含所述待檢測IP地址的綁定表項，并通過網絡側端口發送攜帶所述待檢測IP地址的DAD?NS報文；

所述接入設備如果在設定DAD檢測時間內從網絡側端口收到攜帶所述待檢測IP地址的NA報文，對該NA報文中附加的認證信息進行認證，如果認證通過，則刪除包含所述待檢測IP地址的綁定表項；

其中，所述認證信息是與所述接入設備處于同一鏈路中的其它接入設備從用戶側端口收到攜帶所述待檢測IP地址的NA報文時在該NA報文中附加的。

2.根據權利要求1所述的方法，其特征在于，所述接入設備從用戶側端口接收到攜帶待檢測IP地址的DAD?NS報文時，在生成包含所述待檢測IP地址的綁定表項之前，還包括：所述接入設備判斷本地是否已經存在包含所述待檢測IP地址的綁定表項，如果否，繼續執行所述生成包含所述待檢測IP地址的綁定表項；如果是，進一步判斷接收該DAD?NS報文的用戶側端口以及DAD?NS報文的源鏈路地址是否與已經存在的包含所述待檢測IP地址的綁定表項匹配，如果匹配，轉發接收到的DAD?NS報文，結束流程；如果不匹配，丟棄接收到的DAD?NS報文，結束流程。

3.根據權利要求1所述的方法，其特征在于，所述接入設備從用戶側端口接收到攜帶待檢測IP地址的Confirm報文時，在生成包含所述待檢測IP地址的綁定表項之前，還包括：所述接入設備判斷本地是否已經存在包含所述待檢測IP地址的綁定表項，如果否，繼續執行所述生成包含所述待檢測IP地址的綁定表項；

如果是，進一步判斷接收該Confirm報文的用戶側端口以及Confirm報文的源鏈路地址是否與已經存在的包含所述待檢測IP地址的綁定表項匹配，如果不匹配，則利用包含所述待檢測IP地址的綁定表項發送探測報文，探測到已經存在的綁定表項對應的用戶終端尚在，則通過接收所述Confirm報文的用戶側端口回復所述待檢測IP地址不可用，結束流程；如果探測到已經存在的綁定表項對應的用戶終端已經不存在，則利用所述Confirm報文更新本地已經存在的包含所述待檢測IP地址的綁定表項；

所述通過網絡側端口發送攜帶所述待檢測IP地址的DAD?NS報文具體包括：所述接入設備生成攜帶所述待檢測IP地址的DAD?NS報文，并通過網絡側端口發送該DAD?NS報文。

4.根據權利要求1至3任一權項所述的方法，其特征在于，該方法還包括：所述其它接入設備從網絡側端口接收到攜帶所述待檢測IP地址的DAD?NS報文后，判斷本地是否已經存在包含所述待檢測IP地址的綁定表項，如果否，轉發所述DAD?NS報文。

5.根據權利要求1至3任一權項所述的方法，其特征在于，在所述對該NA報文中附加的認證信息進行認證之前，還包括：判斷所述NA報文中是否攜帶認證信息，如果否，則丟棄所述NA報文；如果是，繼續執行所述對該NA報文中附加的認證信息進行認證；

如果對所述NA報文中附加的認證信息認證失敗，則丟棄所述NA報文。

6.根據權利要求1至3任一權項所述的方法，其特征在于，該方法還包括：

如果接入設備中所述綁定表項對應的用戶側端口Down，或者在設定時間內沒有從用戶側端口接收到與所述綁定表項完全匹配的ND報文，則啟動所述綁定表項的老化進程；

如果接入設備通過用戶側端口接收到與所述綁定表項完全匹配的ND報文，則取消所述綁定表項的老化進程；

如果所述綁定表項進入老化進程后到達老化時間，則刪除所述綁定表項；

如果從網絡側端口接收到與所述綁定表項中的IP地址和鏈路地址匹配的DAD?NS報文，且所述綁定表項啟動了老化進程，則刪除所述綁定表項。