[发明专利]一种预防恶意邻居学习攻击的方法及装置

说明书

技术领域

本发明涉及计算机数据通信领域，尤其涉及一种预防恶意邻居学习攻击的方法及装置。

背景技术

邻居学习行为是指：节点将自身的链路层地址(Link-Layer Address)、完整IP地址、节点名称等地址配置信息通过邻居发现协议中的邻居请求报文发送给网络内的其他节点，而接收到该邻居请求报文的节点将自身的链路层地址、完整IP地址、节点名称等配置信息通过邻居发现协议中的邻居通告报文返回给发送邻居请求报文的节点，这样，发送邻居请求报文的节点以及网络内的其他节点就可以知道对方节点的地址配置信息，从而根据地址配置信息进行正常的邻居表操作，例如，将对方节点的地址配置信息加入自己的邻居表中建立新的邻居表项，或修改原有邻居表项等，完成邻居学习。

版本号为6的互联网协议(Internet Protocol Version 6，IPv6)地址主机部分通常是64比特，这意味着一个IPv6网段可以容纳的主机数量远远大于版本号为4的互联网协议(Internet Protocol Version 4，IPv4)网段，这个特征使得以地址扫描为手段的网络病毒在IPv6网络中难有作为。

但是，IPv6地址空间比较大的特点可能被远程恶意攻击者利用。远程恶意攻击者恶意发送大量的目的地址属于一个IPv6网段，但这些地址在该IPv6网络中实际上并不存在数据包，这样将导致这些数据包在到达最后一跳路由器时，使该路由器发生大量的邻居学习行为，生成大量的无效邻居表项，不仅加大了路由器处理器(CPU)的负担，而且使正常的邻居表项也无法生成，这实际上是一种拒绝服务攻击，但该攻击只针对全局单播地址，不适用链路本地地址。

发明内容

针对上述技术问题，本发明的目的在于提供一种预防恶意邻居学习攻击的方法及装置，其有效的解决了IPv6网络中恶意邻居学习攻击的问题。

为达到上述目的，本发明是通过以下技术方案来实现的：

一种预防恶意邻居学习攻击的方法，所述方法包括如下步骤：

A、设置汇聚交换机允许的不完整状态邻居表项的阈值；

B、汇聚交换机监听IPv6主机利用全球单播地址，进行重复地址检测的过程，创建和保存IPv6主机记录，并将该记录保存到IPv6主机表中；

C、汇聚交换机在转发IPv6报文时，如果该报文的目的地址对应的链路层地址不存在，则检测邻居表中不完整状态邻居表项的数量是否达到所述阈值，如果未达到，则向邻居节点发送邻居请求报文；如果达到，则查询该邻居节点的地址是否在所述IPv6主机表中，若存在，则发送邻居请求报文，若不存在，则不发送邻居请求报文；

D、汇聚交换机收到与所述邻居请求报文对应的邻居公告报文后，将其邻居表中不完整状态邻居表项的数量减1。

特别的，所述步骤B还包括：

汇聚交换机向交换芯片下发邻居请求报文和邻居通告报文重定向至汇聚交换机处理器的规则，在交换芯片收到邻居请求报文和邻居通告报文后，均将其复制一份发送给汇聚交换机处理器进行软件解析，但是，所述邻居请求报文和邻居通告报文由交换芯片执行硬件转发。

特别的，所述步骤B中，IPv6主机记录包括：IPv6主机地址和汇聚交换机接收邻居请求报文的三层接口号。

特别的，所步骤C中，如果邻居表中不完整状态邻居表项的数量没有达到阈值，则向邻居节点发送邻居请求报文，并在所述邻居表中插入一个邻居表项，状态设置为不完整状态，将邻居表中不完整状态邻居表项的数量加1。

特别的，所述步骤D具体还包括：

汇聚交换机根据邻居通告报文的IPv6首部的目的地址的查询邻居表，如果查到与该目的地址对应的邻居表项，则将所述邻居表项的链路层地址更新为邻居通告报文中携带的链路层地址，并将该邻居表项的状态设置为可达状态，将邻居表中不完整状态邻居表项的数量减1。

本发明还公开了一种预防恶意邻居学习攻击的装置，所述装置为汇聚交换机，包括：

阈值设置单元，用于设置汇聚交换机允许的不完整状态邻居表项的阈值；

主机记录创建单元，用于通过监听IPv6主机利用全球单播地址进行重复地址检测的过程，创建和保存IPv6主机记录，并将该记录保存到IPv6主机表中；

邻居表项检测单元，与阈值设置单元连接，用于检测邻居表中不完整状态邻居表项的数量是否达到所述阈值；