[發(fā)明專利]一種防止DHCPv6服務(wù)器欺騙的系統(tǒng)及方法

有效

• 申請?zhí)枺?/td>: 201210025347.2
• 申請日: 2012-02-06
• 公開（公告）號: CN102594808A
• 公開（公告）日: 2012-07-18
• 發(fā)明（設(shè)計）人: 梁小冰
• 申請（專利權(quán)）人: 神州數(shù)碼網(wǎng)絡(luò)（北京）有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/12
• 代理公司: 北京品源專利代理有限公司 11332
• 代理人: 宋松

1.一種防止DHCPv6服務(wù)器欺騙的系統(tǒng)，所述系統(tǒng)包括交換裝置和DHCPv6服務(wù)器，其中，

所述交換裝置用于主動構(gòu)建并發(fā)送DHCPv6發(fā)現(xiàn)報文(DHCPv6?SOLICIT報文)，并在接收到所述DHCPv6服務(wù)器的DHCPv6公告報文(DHCPv6?ADVERTISE報文)后將相應(yīng)報文中的DHCPv6服務(wù)器特征信息與預(yù)先配置的合法DHCPv6服務(wù)器特征進(jìn)行匹配，如匹配成功，交換裝置則不再發(fā)送DHCPv6請求報文(DHCPv6?REQUEST報文)；如匹配失敗，交換裝置將非法DHCPv6服務(wù)器的所有DHCPv6報文全部丟棄；

所述DHCPv6服務(wù)器用于接收DHCPv6發(fā)現(xiàn)報文并回復(fù)帶有服務(wù)器信息的DHCPv6公告報文。

2.根據(jù)權(quán)利要求1所述的防止DHCPv6服務(wù)器欺騙的系統(tǒng)，其特征在于，所述合法DHCPv6服務(wù)器特征包括DHCPv6服務(wù)器連接端口、所屬虛擬局域網(wǎng)標(biāo)識、IPv6地址或MAC地址。

3.根據(jù)權(quán)利要求1所述的防止DHCPv6服務(wù)器欺騙的系統(tǒng)，其特征在于，所述交換裝置包括交換芯片和微處理器單元(CPU)；交換裝置預(yù)先配置滿足合法DHCPv6服務(wù)器的特征，下發(fā)將所述DHCPv6發(fā)現(xiàn)報文由交換芯片重定向到微處理器單元的規(guī)則到交換芯片。

4.根據(jù)權(quán)利要求1所述的防止DHCPv6服務(wù)器欺騙的系統(tǒng)，其特征在于，所述交換裝置包括接入交換機和匯聚交換機，接入交換機包括交換芯片和微處理器單元(CPU)，接入交換機通過匯聚交換機與DHCPv6服務(wù)器連接，其中，匯聚交換機支持DHCPv6中繼，接入交換機預(yù)先配置滿足合法DHCPv6服務(wù)器的特征，下發(fā)將所述DHCPv6發(fā)現(xiàn)報文由交換芯片重定向到微處理器單元的規(guī)則到交換芯片，通過匯聚交換機轉(zhuǎn)發(fā)DHCPv6發(fā)現(xiàn)報文給DHCPv6服務(wù)器。

5.根據(jù)權(quán)利要求3或4所述的防止DHCPv6服務(wù)器欺騙的系統(tǒng)，其特征在于，交換裝置對每一個物理端口構(gòu)建以定位服務(wù)器的DHCPv6發(fā)現(xiàn)報文(DHCPv6?SOLICIT報文)，并將構(gòu)建后的報文從各構(gòu)建端口發(fā)送給DHCPv6服務(wù)器。

6.根據(jù)權(quán)利要求5所述的防止DHCPv6服務(wù)器欺騙的系統(tǒng)，其特征在于，DHCPv6服務(wù)器接收到DHCPv6發(fā)現(xiàn)報文并進(jìn)行回復(fù)，返回服務(wù)器可提供的地址和配置設(shè)置的DHCPv6公告報文(DHCPv6?ADVERTISE報文)，交換裝置的微處理器單元對DHCPv6公告報文進(jìn)行解析，記錄接收報文的端口信息。

7.一種防止DHCPv6服務(wù)器欺騙的方法，其特征在于，包括如下步驟：

S1：交換裝置預(yù)先配置滿足合法DHCPv6服務(wù)器的特征，交換裝置主動構(gòu)建DHCPv6發(fā)現(xiàn)報文(DHCPv6?SOLICIT報文)；

S2：交換裝置轉(zhuǎn)發(fā)所述DHCPv6發(fā)現(xiàn)報文到DHCPv6服務(wù)器；

S3：DHCPv6服務(wù)器接收到DHCPv6發(fā)現(xiàn)報文并回復(fù)帶有服務(wù)器信息的DHCPv6公告報文；

S4：交換裝置判斷DHCPv6公告報文中的DHCPv6服務(wù)器特征信息與預(yù)先配置的合法DHCPv6服務(wù)器特征是否匹配；

S5：如匹配成功，交換裝置則不再發(fā)送DHCPv6請求報文(DHCPv6?REQUEST報文)；如匹配失敗，交換裝置將非法DHCPv6服務(wù)器的所有DHCPv6報文全部丟棄。

8.根據(jù)權(quán)利要求7所述的防止DHCPv6服務(wù)器欺騙的方法，其特征在于，所述步驟S2中交換裝置對每一個物理端口構(gòu)建以定位服務(wù)器的DHCPv6發(fā)現(xiàn)報文(DHCPv6?SOLICIT報文)，并將構(gòu)建后的報文從各構(gòu)建端口發(fā)送給DHCPv6服務(wù)器。

9.根據(jù)權(quán)利要求7所述的防止DHCPv6服務(wù)器欺騙的方法，其特征在于，步驟S3中DHCPv6服務(wù)器接收到DHCPv6發(fā)現(xiàn)報文并進(jìn)行回復(fù)，返回服務(wù)器可提供的地址和配置設(shè)置的DHCPv6公告報文，交換裝置的微處理器單元對DHCPv6公告報文進(jìn)行解析，記錄接收報文的端口信息。

10.根據(jù)權(quán)利要求7所述的防止DHCPv6服務(wù)器欺騙的方法，其特征在于，步驟S5中，如匹配成功，交換裝置則不再發(fā)送DHCPv6請求報文(DHCPv6?REQUEST報文)，并將DHCPv6公告報文丟棄；如匹配失敗，交換裝置通過Shutdown該端口、下發(fā)該DHCPv6服務(wù)器的黑洞MAC表項或?qū)⒃摱丝谠O(shè)置到黑名單的方式將非法DHCPv6服務(wù)器的所有DHCPv6報文全部丟棄。