[发明专利]防止攻击的网络的配置方法、防止攻击的方法和装置

权利要求书

1.一种防止攻击的网络的配置方法，其特征在于，该网络包括路由设备和用户设备，所述用户设备通过所述路由设备与接入运营商网络通信，配置该网络的方法包括：

为所述用户设备配置用户VLAN ID；

在所述路由设备的用户接入接口为所述用户设备配置QinQ方式接入；该用户设备报文封装为QinQ报文后发送；

根据QinQ报文内层的用户VLAN ID配置特定类型的报文的抑制速率和缺省行为。

2.如权利要求1所述的方法，其特征在于，所述配置方式是由所述路由设备的管理员手工配置完成或者系统设置完成的。

3.如权利要求1所述的方法，其特征在于，所述的特定类型的报文为ARP报文。

4.如权利要求1所述的方法，其特征在于，所述的缺省行为模式包括：允许该特定类型的报文通过或者丢弃该特定类型的报文。

5.如权利要求1所述的方法，其特征在于，安全策略不同的所述用户设备位于不同的VLAN内，具有不同的VLAN ID。

6.如权利要求1所述的方法，其特征在于，所述用户设备为具有相同VLAN ID的至少一个网络设备。

7.如权利要求1所述的方法，其特征在于，所述路由设备为普通路由器或边缘路由器。

8.如权利要求1所述的方法，其特征在于，所述网络还包括实现QinQ接入的交换设备，所述用户设备通过该交换设备与所述路由设备通信。

9.如权利要求8所述的方法，其特征在于，所述交换设备为二层交换机、三层交换机或路由设备。

10.一种防止攻击的方法，其特征在于，该方法用于配置QinQ接入的网络中，根据QinQ内层的用户VLAN ID来识别用户，该方法包括：

判断收到的特定类型的报文是否已经配置了报文限速，如果是，则判断该特定类型的报文的速率是否达到速率上限，如果是，则丢弃该报文；如果收到的特定类型的报文没有配置报文限速，则执行缺省动作。

11.如权利要求10所述的方法，其特征在于，所述缺省动作包括：允许所述该特定类型的报文通过或者丢弃所述该特定类型的报文。

12.如权利要求11所述的方法，其特征在于，当执行的缺省动作为丢弃所述该特定类型的报文时，所述方法还包括：

对丢弃的该特定类型的报文进行计数。

13.如权利要求11所述的方法，其特征在于，执行的缺省动作为丢弃该用户设备的该特定类型的报文时，所述方法还包括：

记录丢弃的该特定类型的报文的VLAN ID。

14.如权利要求10所述的方法，其特征在于，所述判断收到的该特定类型的报文是否已经配置了报文限速之前，还包括：

判断收到的报文是否为该特定类型的报文，如果是，则进一步判断收到的该特定类型的报文是否已经配置了报文限速；否则按照正常流程处理该报文。

15.如权利要求10所述的方法，其特征在于，所述特定类型的报文为ARP报文。

16.一种防止攻击的装置，其特征在于，包括配置单元、限速判断单元、限速上限判断单元、执行单元，其中，

所述配置单元，用于在路由设备的用户接入接口配置QinQ方式接入，根据QinQ报文内层的用户VLAN ID配置特定类型报文的速率上限和缺省动作；

所述限速判断单元，用于判断收到的特定类型报文是否已经配置了报文限速，如果已经配置了报文的所述速率上限，则交由所述限速上限判断单元判断该特定类型的报文的速率是否达到所述速率上限，所述执行单元根据所述限速上限判断单元的判断结果执行动作；

如果所述限速判断单元确定收到的特定类型报文没有配置报文的所述速率上限，则转执行单元执行所述缺省动作。

17.如权利要求16所述的装置，其特征在于，还包括报文判断单元，用于判断收到的报文是否是特定类型报文，若是，则交由所述限速判断单元判断该特定类型报文是否配置了报文限速；否则，交由所述执行单元执行正常处理流程。