[发明专利]防止源地址欺骗攻击的方法及设备

权利要求书

1.一种防止源地址欺骗攻击的方法，应用于使用单播反向路径转发URPF技术防止源地址欺骗攻击的设备，其特征在于，包括：

设备对接收到的报文进行URPF检查，当检查结果为合法时，转发所述报文，当检查结果为非法时，在设备的路由原始数据库内查找与所述报文的源IP地址对应的路由；

当查找到的路由中任一路由的出接口与所述报文的入接口一致时，根据所述报文的目的IP地址转发所述报文；

当没有查找到对应的路由、或者查找到的所有路由的出接口与所述入接口不一致时，丢弃所述报文。

2.如权利要求1所述的方法，其特征在于，当查找到的路由中任一路由的出接口与所述报文的入接口一致时，还包括：设置转发规则以使所述报文的URPF检查结果为合法。

3.如权利要求2所述的方法，其特征在于，所述设置转发规则以使所述报文根据URPF技术判断为合法包括：在接入控制列表ACL中设置所述入接口与所述源IP地址的对应关系；或者在所述转发表中设置所述源IP地址与所述入接口的对应关系，并设置所述入接口的优先级低于所述源IP地址原始对应的出接口的优先级。

4.如权利要求1所述的方法，其特征在于，当查找到的路由中任一路由的出接口与所述报文的入接口一致时，还包括：通知下游设备所述报文合法。

5.如权利要求4所述的方法，其特征在于，所述通知下游设备所述报文合法包括：在所述报文的扩展头中携带报文合法标识并向下游设备转发所述报文；或者在空报文的扩展头中携带所述源IP地址和报文合法标识向下游设备发送。

6.如权利要求1所述的方法，其特征在于，还包括：当所述设备接收上游设备发送的报文合法的通知后，根据该通知转发对应的报文并设置转发规则以使所述对应的报文的URPF检查结果为合法。

7.如权利要求3所述的方法，其特征在于，所述设置转发规则以使所述报文根据URPF技术判断为合法之后，还包括：获取所述入接口和所述源IP地址在所述路由原始数据库内对应的路由索引，存储所述路由索引与所述入接口和所述源IP地址的对应关系；

当所述入接口和所述源IP地址在所述路由原始数据库内对应的路由被删除时，根据该被删除路由的路由索引查找对应的IP地址和接口，删除在ACL或者所述转发表中存储的所述入接口与所述源IP地址的对应关系。

8.如权利要求7所述的方法，其特征在于，当所述入接口与所述源IP地址在所述路由原始数据库内对应的路由被删除时，还包括：根据该被删除路由的路由索引查找对应的IP地址，通知下游设备删除以查找到的IP地址为源IP地址的报文所对应的转发规则。

9.一种防止源地址欺骗攻击的设备，使用单播反向路径转发URPF技术防止源地址欺骗攻击，其特征在于，该设备包括：

检查单元，用于对所述设备接收到的报文进行URPF检查；

查找单元，与所述检查单元连接，用于当所述检查单元的检查结果为所述报文非法时，在设备的路由原始数据库内查找与所述报文的源IP地址对应的路由；

转发单元，与所述检查单元和查找单元连接，用于当所述检查单元的检查结果为所述报文合法时，转发所述报文；当所述查找单元查找到的路由中任一路由的出接口与所述报文的入接口一致时，根据所述报文的目的IP地址转发所述报文；

丢弃单元，与所述查找单元连接，用于当所述查找单元没有查找到对应的路由、或者查找到的所有路由的出接口与所述入接口不一致时，丢弃所述报文。

10.如权利要求9所述的设备，其特征在于，还包括设置单元，与所述查找单元连接，用于当所述查找单元查找到的路由中任一路由的出接口与所述报文的入接口一致时，设置转发规则以使所述报文的URPF检查结果为合法。

11.如权利要求10所述的设备，其特征在于，所述设置单元具体用于：

在接入控制列表ACL中设置所述入接口与所述源IP地址的对应关系；或者在所述转发表中设置所述源IP地址与所述入接口的对应关系，并设置所述入接口的优先级低于所述源IP地址原始对应的接口的优先级。

12.如权利要求9所述的设备，其特征在于，所述转发单元还用于：通知下游设备所述报文合法。