[发明专利]防止源地址欺骗攻击的方法及设备

说明书

技术领域

本发明涉及通信领域，尤其涉及一种防止源地址欺骗攻击的方法及设备。

背景技术

源地址欺骗攻击是攻击者通过发送带有伪造源地址的报文对网络设备进行攻击的一种方式。对于使用基于IP地址验证的设备来说，此攻击方法可以导致未被授权用户以他人身份获得访问系统的权限，甚至是以管理员权限来访问，即使响应报文不能达到攻击者，同样也会造成对被攻击对象的破坏。如图1所示，攻击方设备Router A上伪造源地址为2.2.2.1/8的报文，向服务器Router B发起请求，Router B响应请求时根据该报文的源地址2.2.2.1/8向设备C发送报文。这种非法报文对Router B和Router C都造成了攻击。

为了避免源地址欺骗攻击，现有技术中采用URPF(Unicast Reverse PathForwarding，单播反向路径转发)技术用于防止基于源地址欺骗的网络攻击行为。当设备根据URPF技术判断报文非法时，丢弃报文。URPF技术获取报文的源地址和入接口，以源地址为目的地址，在转发表中查找该目的地址对应的出接口是否与入接口匹配。如果不匹配则认为源地址是伪装的(非法)，丢弃该报文。当目的地址对应的出接口与入接口不匹配时，URPF技术还可以判断该入接口是否匹配ACL(Access Control List，接入控制列表)；如果ACL匹配成功，则报文继续进行正常的转发(此类报文称为被抑制丢弃的报文)；如果ACL匹配失败，则报文为非法报文并被丢弃。通过这种方式URPF就能有效地防范网络中通过修改源地址而进行的恶意攻击行为的发生。

如果所有路由都是对称的，即报文往返路径一致时，使用现有的URPF技术防止源地址欺骗攻击是没有问题的。但是，当往返路径不一致时，现有的URPF技术防止源地址欺骗攻击将会错误的丢弃报文，导致网络不通。例如图2所示网络，假设所有路由器的所有接口都启动了URPF功能，PC1到PC2的报文，去的路径为PATH1：R1-＞R3-＞R4-＞R5-＞R2，返回路径为PATH2：R2-＞R8-＞R7-＞R6-＞R1，即R1上去往PC2的路由为从Eth0/1(接口0/1)转发。如果R1从R6接收到来自PC2的报文，R1以报文的源IP地址为目的IP地址查找转发表得到的出接口为Eth0/1，与报文的入接口Eth0/2不同，因此R1判断报文为伪造源地址报文，丢弃该报文。随着网络应用的发展，这种非对称路由的情况越来越多，因此，如何避免使用URPF技术防止源地址欺骗攻击导致的错误丢弃报文，成为一个亟待解决的问题。

发明内容

本发明提供了一种防止源地址欺骗攻击的方法及设备，避免了使用URPF技术防止源地址欺骗攻击导致的错误丢弃报文。

本发明提供了一种防止源地址欺骗攻击的方法，应用于使用单播反向路径转发URPF技术防止源地址欺骗攻击的设备，该方法包括：

设备对接收到的报文进行URPF检查，当检查结果为合法时，转发所述报文，当检查结果为非法时，在设备的路由原始数据库内查找与所述报文的源IP地址对应的路由；

当查找到的路由中任一路由的出接口与所述报文的入接口一致时，根据所述报文的目的IP地址转发所述报文；

当没有查找到对应的路由、或者查找到的所有路由的出接口与所述入接口不一致时，丢弃所述报文。

当查找到的路由中任一路由的出接口与所述报文的入接口一致时，还包括：设置转发规则以使所述报文的URPF检查结果为合法。

所述设置转发规则以使所述报文根据URPF技术判断为合法包括：在接入控制列表ACL中设置所述入接口与所述源IP地址的对应关系；或者在所述转发表中设置所述源IP地址与所述入接口的对应关系，并设置所述入接口的优先级低于所述源IP地址原始对应的出接口的优先级。

当查找到的路由中任一路由的出接口与所述报文的入接口一致时，还包括：通知下游设备所述报文合法。

所述通知下游设备所述报文合法包括：在所述报文的扩展头中携带报文合法标识并向下游设备转发所述报文；或者在空报文的扩展头中携带所述源IP地址和报文合法标识向下游设备发送。

还包括：当所述设备接收上游设备发送的报文合法的通知后，根据该通知转发对应的报文并设置转发规则以使所述对应的报文的URPF检查结果为合法。

所述设置转发规则以使所述报文根据URPF技术判断为合法之后，还包括：获取所述入接口和所述源IP地址在所述路由原始数据库内对应的路由索引，存储所述路由索引与所述入接口和所述源IP地址的对应关系；