[發明專利]一種防止重復地址檢測攻擊的方法和裝置

無效

• 申請號: 201210044780.0
• 申請日: 2012-02-23
• 公開（公告）號: CN102546663A
• 公開（公告）日: 2012-07-04
• 發明（設計）人: 梁小冰
• 申請（專利權）人: 神州數碼網絡（北京）有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/12;H04L12/56
• 代理公司: 北京品源專利代理有限公司 11332
• 代理人: 宋松

1.一種防止重復地址檢測攻擊的方法，其特征在于，包括如下步驟：

A、接入交換機通過DHCPv6偵聽(SNOOPING)來監聽DHCPv6主機的DHCPv6請求過程，創建綁定信息，并將該綁定信息保存到DHCPv6綁定表中，其中，所述綁定信息的內容包括：DHCPv6主機的IP地址、源介質訪問控制(MAC)地址、虛擬局域網標識號(VLAN?ID)及端口信息；

B、接入交換機使能重復地址檢測監聽，解析收到的鄰居公告報文，獲取目標地址、源MAC地址、虛擬局域網標識號及端口信息；

C、接入交換機檢測從所述鄰居公告報文中解析出的目標地址、源MAC地址、虛擬局域網標識號及端口信息與所述DHCPv6綁定表中的綁定信息是否匹配，如果匹配，則轉發所述鄰居公告報文，如果不匹配，則丟棄所述鄰居公告報文。

2.根據權利要求1所述的防止重復地址檢測攻擊的方法，其特征在于，所述步驟A中接入交換機通過DHCPv6偵聽來監聽DHCPv6主機的DHCPv6請求過程包括：

接入交換機向交換芯片下發DHCPv6報文重定向至該交換機處理器的規則，在交換芯片收到DHCPv6報文后，不執行硬件轉發行為，而是將所述報文重定向至接入交換機處理器，由處理器進行軟件解析和轉發。

3.根據權利要求2所述的防止重復地址檢測攻擊的方法，其特征在于，所述步驟B中接入交換機使能重復地址檢測監聽包括：

接入交換機將鄰居請求報文和鄰居公告報文重定向至接入交換機處理器的規則下發至交換芯片，在交換芯片收到鄰居請求報文或鄰居公告報文后，不執行硬件轉發行為，而是將該報文重定向至接入交換機處理器，由處理器進行軟件解析和轉發。

4.根據權利要求3所述的防止重復地址檢測攻擊的方法，其特征在于，所述步驟B中接入交換機解析收到的鄰居公告報文具體包括：

接入交換機從收到的鄰居公告報文的以太網頭部獲取源MAC地址，從第六版互聯網控制信息協議(ICMPv6)消息中獲取目標地址，以及所述鄰居公告報文的虛擬局域網標識號和端口信息。

5.一種防止重復地址檢測攻擊的裝置，其特征在于，所述裝置為接入交換機，包括：

綁定信息創建單元，用于通過DHCPv6偵聽來監聽DHCPv6主機的DHCPv6請求過程，創建綁定信息，并將該綁定信息保存到DHCPv6綁定表中；

報文解析單元，用于使能重復地址檢測監聽，解析收到的鄰居公告報文，獲取目標地址、源MAC地址、虛擬局域網標識號及端口信息；

處理單元，與報文解析單元及綁定信息創建單元連接，用于檢測報文解析單元傳入的所述目標地址、源MAC地址、虛擬局域網標識號及端口信息與所述DHCPv6綁定表中的綁定信息是否匹配，如果匹配，則轉發所述鄰居公告報文，如果不匹配，則丟棄所述鄰居公告報文。

6.根據權利要求5所述的防止重復地址檢測攻擊的裝置，其特征在于，所述綁定信息創建單元通過DHCPv6偵聽來監聽DHCPv6主機的DHCPv6請求過程包括：

綁定信息創建單元向交換芯片下發DHCPv6報文重定向至接入交換機處理器的規則，在交換芯片收到DHCPv6報文后，不執行硬件轉發行為，而是將所述DHCPv6報文重定向至接入交換機處理器，由處理器進行軟件解析和轉發。

7.根據權利要求6所述的防止重復地址檢測攻擊的裝置，其特征在于，所述報文解析單元使能重復地址檢測監聽包括：

報文解析單元將鄰居請求報文和鄰居公告報文重定向至接入交換機處理器的規則下發至交換芯片，在交換芯片收到鄰居請求報文或鄰居公告報文后，不執行硬件轉發行為，而是將該報文重定向至接入交換機處理器，由處理器進行軟件解析和轉發。

8.根據權利要求7所述的防止重復地址檢測攻擊的裝置，其特征在于，所述報文解析單元解析收到的鄰居公告報文包括：

報文解析單元從收到的鄰居公告報文的以太網頭部獲取源MAC地址，從ICMPv6消息中獲取目標地址，以及所述鄰居公告報文的虛擬局域網標識號和端口信息。