[发明专利]以太环网中防攻击的方法、系统和交换设备

说明书

技术领域

本发明涉及网络通信技术，特别涉及一种以太环网中防攻击的方法、系统和交换设备，属于通信技术领域。

背景技术

随着以太网技术的飞速发展以及应用的不断提升，采用性价比极高的以太网技术来构建大型的企业网、城域网已经成为一个不可阻挡的趋势。在这类规模大、业务多的网络环境里面，绝大部分都是部署环形拓扑结构的网络，图1为现有环形拓扑网络结构示意图，如图1所示，环形拓扑的特征就是每台设备使用两个端口和相邻的设备互连，形成一条闭合链路。若使用以太网交换设备来构建这种环形拓扑结构的网络，就将其称为以太环网。在一个以太环网里面，最关键的两个功能就是冗余和故障恢复。

所谓冗余是指在以太环网的环路完整的时候，必须有个端口阻塞数据转发，以避免数据在环路里面不断循环，形成广播风暴。图2为现有以太环网的结构示意图，如图2所示，交换设备A把和交换设备B互连的端口阻塞住(图中的圆圈表示阻塞)，这样报文将无法穿透交换设备A上阻塞的那个端口，从而该以太环网不会形成广播风暴。被阻塞的交换设备A和交换设备B之间的链路被称为备份链路，也就是说正常工作状态下，该链路是不做数据转发的，而除此以外的其它链路都是可以转发数据的，被称为工作链路，如图2中交换设备A和交换设备D之间的链路就是工作链路。

所谓故障恢复是指以太环网的某条工作链路发生故障之后，数据转发可以从其它链路进行。如图2所示，当交换设备D和交换设备C之间的工作链路出现故障后，如图2中的虚线“十叉”所示，交换设备D和交换设备C之间的通信将中断，由于图2中交换设备A到交换设备B的端口是阻塞的，于是交换设备D和交换设备C之间的链路故障后，交换设备D和交换设备C将无法通信，即出现了通信故障。此时可以将交换设备A和交换设备B之间的阻塞端口设置为可转发数据的状态，则图2中的备份链路可变成工作链路，交换设备D和交换设备C之间的通信将通过交换设备A和交换设备B来进行中转。这种情况称为故障恢复。但是，如果交换设备A和交换设备B之间的链路也出现故障的话，交换设备D和交换设备C就将一直无法进行通信，本发明中提到的故障都是指一个环路里面只有一条链路出现故障的情况。

RFC3619定义了一种用于实现以太环网的技术，称为以太网自动保护切换(Ethernet Automatic Protection switching，简称EAPs)，EAPs包括了上述的冗余和故障恢复功能。图3为现有EAPs的结构示意图，如图3所示，包括主机设备(Master)和传输交换机。其中，主机设备上包括主端口和从端口，主端口可以进行数据的转发，从端口可以阻塞数据以避免数据转发形成环路。当环路中的某条链路出现故障时，例如图3中的传输交换机D和传输交换机C之间的链路出现断裂，则传输交换机D和传输交换机C会分别向主机设备发送一个down消息，告诉主机设备有链路出现断裂。主机设备收到down消息后，直接将从端口设置为可以转发数据的端口，并发送flush消息通知传输交换机D和传输交换机C，从而通过主机设备和传输交换机B完成数据的转发。

如图3所示，当连接在传输交换机C上的一用户X伪造了一个down消息并发送到EAPs环网中时，当环网中的主机设备接收到该down消息之后，将会错误地认为环网已经出现故障，而将其从端口设置为可转发数据状态，从而导致链路形成环路，引发广播风暴。为了解决该问题，现有技术采用在以太环网的消息报文中携带认证信息的方式来鉴别非法的以太环网的消息报文。具体为：预先在发送报文的节点上保存认证信息，在接收报文的节点上保存相同的认证信息；发送方在发送报文时，在报文中携带认证信息；接收方接收到报文后，读取报文中的认证信息，与本地的认证信息进行比较，如果一致，则处理所述报文，否则丢弃所述报文。

但是，上述方法会增加以太环网的协议的复杂性，需要预先在发送报文的节点和接收报文的节点保存相同的认证信息，发送方需要在报文中携带认证信息，接收方需要对接收到的报文进行鉴别。而且，由于认证信息是预先保存的，并不是动态改变的，如果用户通过某种途径得到了这种认证信息或获得合法的带认证信息的报文——假设用户X在传输交换机C和传输交换机D之间的链路故障时，在传输交换机C的端口Cd抓到了一个down消息报文，而在以太环网又恢复的情况下，将抓到的这个down消息报文向传输交换机C的端口Cx发送，从而通过端口Cb发出去——这样，主机设备在接收到该报文之后，一样会错误地认为环网已经出现了故障，而将其从端口设置为可转发数据的状态，从而导致链路形成环路，引发广播风暴。

发明内容