[發(fā)明專利]防止非法鄰居發(fā)現(xiàn)協(xié)議報文攻擊的方法和接入設(shè)備

有效

• 申請?zhí)枺?/td>: 201010175844.1
• 申請日: 2010-05-14
• 公開（公告）號: CN102244651A
• 公開（公告）日: 2011-11-16
• 發(fā)明（設(shè)計）人: 周立萍
• 申請（專利權(quán)）人: 杭州華三通信技術(shù)有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/12;H04L12/56
• 代理公司: 北京德琦知識產(chǎn)權(quán)代理有限公司 11018
• 代理人: 王一斌;王琦

1.一種防止非法鄰居發(fā)現(xiàn)ND協(xié)議報文攻擊的方法，其特征在于，該方法包括：

接入設(shè)備接收主機(jī)發(fā)來的針對本地鏈路地址的重復(fù)地址檢測DAD報文或未指定源IP地址的路由器請求RS報文，從報文中提取主機(jī)的媒體接入控制MAC地址；

接入設(shè)備確定分配給該主機(jī)的前綴，使用該前綴和主機(jī)的MAC地址生成主機(jī)的全局單播IPv6地址，建立包括：主機(jī)的全局單播IPv6地址和MAC地址的安全表項；

接入設(shè)備接收任一主機(jī)發(fā)來的ND協(xié)議報文，若發(fā)現(xiàn)該報文不為DAD報文，也不為未指定源IP地址的RS報文，則將該報文與已建立的安全表項一一匹配，若匹配上，則接受該報文；否則，拒絕該報文。

2.如權(quán)利要求1所述的方法，其特征在于，所述安全表項進(jìn)一步包括：所述DAD報文或未指定源IP地址的RS報文的入端口標(biāo)識和/或虛擬局域網(wǎng)VLAN標(biāo)識。

3.如權(quán)利要求1或2所述的方法，其特征在于，所述接入設(shè)備為針對IPv6的動態(tài)主機(jī)配置協(xié)議DHCPv6客戶端。

4.如權(quán)利要求1或2所述的方法，其特征在于，所述接入設(shè)備確定分配給該主機(jī)的前綴包括：接入設(shè)備將配置在自身的前綴分配給主機(jī)；

或者，接入設(shè)備從上行設(shè)備發(fā)來的路由器通告RA報文中獲取分配給主機(jī)的前綴。

5.一種接入設(shè)備，其特征在于，包括：

MAC地址提取模塊：接收主機(jī)發(fā)來的針對本地鏈路地址的重復(fù)地址檢測DAD報文或未指定源IP地址的路由器請求RS報文，從報文中提取主機(jī)的MAC地址，將主機(jī)的MAC地址發(fā)送給安全表項建立模塊；

安全表項建立模塊：接收主機(jī)的MAC地址，確定分配給主機(jī)的前綴，使用該前綴和主機(jī)的MAC地址生成主機(jī)的全局單播IPv6地址，建立并保存包括：主機(jī)的全局單播IPv6地址和MAC地址的安全表項；

過濾模塊：接收任一主機(jī)發(fā)來的ND協(xié)議報文，若發(fā)現(xiàn)該報文不為DAD報文，也不為未指定源IP地址的RS報文，則將該報文與安全表項建立模塊保存的安全表項一一匹配，若匹配上，則接受該報文；否則，拒絕該報文。

6.如權(quán)利要求5所述的接入設(shè)備，其特征在于，所述MAC地址提取模塊進(jìn)一步用于，將所述DAD報文或RS報文的入端口標(biāo)識和VLAN標(biāo)識發(fā)送給安全表項建立模塊，

且，所述安全表項建立模塊進(jìn)一步用于，將MAC地址提取模塊發(fā)來的入端口標(biāo)識和VLAN標(biāo)識放入所述安全表項中。

7.如權(quán)利要求5或6所述的接入設(shè)備，其特征在于，所述接入設(shè)備為DHCPv6客戶端。