[发明专利]防止组播源攻击的方法及系统

说明书

技术领域

本发明涉及网络通信中的防范网络攻击技术，尤其涉及一种防止组播源攻 击的方法及系统。

背景技术

随着互联网协议(IP)网络的高速发展，组播技术的应用也越来越广泛。 现有的组播网络中，中高端网络交换路由设备基本上都采用专用集成电路 (ASIC)硬件转发与CPU软件处理相结合的架构。在对组播报文的处理上， CPU先运行组播协议生成组播路由表，并将组播路由表保存到底层的ASIC芯 片中，之后组播源发送的组播报文按照ASIC中保存的组播路由表进行转发。 但是，ASIC芯片的硬件资源非常有限，不能保存大量的组播路由表表项。如果 有组播源恶意地发送组播报文，且CPU在处理这些组播报文时生成对应的组播 路由表表项，并将所生成的组播路由表表项均写入组播路由表，就会导致组播 路由表被这些无效的组播路由表表项占满。当有新的组播源发送组播报文时， 组播路由表就无法保存新的组播路由表表项，从而会导致新的组播报文丢失。 可见，防止组播源的恶意攻击成为网络设备中急需解决的重要问题。

为防止组播源的恶意攻击，现有技术主要有以下几种解决方式：

1、采用访问控制列表(ACL)来限制对特定组播地址发送组播报文的组播 源的地址范围，进而控制发送组播报文的组播源。但是，网络设备中的ACL是 静态的，当需要更改对组播源的限制时，则需要人工参与，因而此方法不适合 组播网络对组播源的自动实时管理。

2、采用组播源认证服务器对组播源进行实时控制管理。此方法需要在组播 网络的接入层中增加新的网络设备，还要求操作人员熟悉设备的控制管理，因 而增加了网络的成本以及组网的复杂度。

由以上分析可知，现有技术还未能充分、有效地利用现有网络设备来防止 组播源对组播系统的恶意攻击。

发明内容

有鉴于此，本发明的主要目的在于提供一种防止组播源攻击的方法及系统， 阻止生成过多的与未知组播报文对应的组播路由表表项，进而有效预防组播源 的攻击。

为达到上述目的，本发明的技术方案是这样实现的：

一种防止组播源攻击的方法，其包括：

专用集成电路芯片的端口接收组播源发来的组播报文；

判断所接收的组播报文是否为未知组播报文，若所述组播报文为已知组播 报文，则将已知组播报文上送组播协议进程处理，结束当前处理流程；

若所述组播报文为未知组播报文，则记录所述未知组播报文，并将接收所 述未知组播报文的端口的计数器加1；判断所述计数器记录的端口接收的未知 组播报文的个数是否超过预设阈值，若未超过阈值，则将当前接收的未知组播 报文上送组播协议进程处理，否则，将当前接收的未知组播报文丢弃。

其中，所述判断组播报文是否为未知组播报文具体为：将当前接收到的组 播报文的关键字与已记录的组播报文的关键字进行匹配。

其中，所述记录未知组播报文具体为：记录所述未知组播报文的关键字。

其中，所述关键字包括组播报文的源地址、组播报文的目的组地址以及接 收该组播报文的端口。

其中，所述阈值为每个端口允许接收的未知组播报文的最大个数。

其中，所述防止组播源攻击的方法还包括：

设置定时器；

定时器时间到时，遍历专用集成电路芯片端口的计数器；

判断所述计数器的自动清零使能开关是否开启，若所述计数器的自动清零 使能开关开启，则该计数器清零；若所述计数器的自动清零使能开关未开启， 则该计数器不清零。

其中，所述定时器为1秒定时器。

一种防止组播源攻击的系统，其包括：

组播报文类型判断模块，用于判断专用集成电路芯片的端口接收的组播报 文是否为未知组播报文，并将判断结果送至组播报文记录模块或未知组播报文 处理模块；

组播报文记录模块，用于根据组播报文类型判断模块的判断结果记录未知 组播报文；

计数器，用于记录所述计数器对应的端口接收的未知组播报文的个数；

未知组播报文数目比较模块，用于比较所述计数器记录的端口接收的未知 组播报文的个数与预设的阈值，并将比较结果送至未知组播报文处理模块；