[发明专利]防范MIPv6源地址欺骗攻击的方法、设备和系统

说明书

技术领域

本发明涉及MIPv6（Mobile Internet Protocol Version6，移动互联网协议版本6）终端接入安全领域，尤其涉及一种防范MIPv6源地址欺骗攻击的方法、设备和系统。

背景技术

在IPv6（Internet Protocol Version6，互联网协议版本6）环境下，当新接入设备采用静态或者自配置方式配置地址时，需要先采用DAD（Duplicate Address Detection，重复地址检测）协议来检测地址冲突。由于DAD检测耗时较长，在终端移动时，为保证切换的无缝性，针对MIPv6采用了ODAD（Optimistic Duplicate Address Detection，乐观的重复地址检测）协议，使终端从一个接入设备移动到另一个接入设备时，在完成DAD检测之前，可继续使用原有IP地址进行通信。但这也给黑客发起源地址欺骗攻击带来便利，若黑客假冒在其他接入设备接入的IP地址在另一个接入设备接入时，可在DAD检测之前接入网络。

目前为防止源地址欺骗攻击，通常采用在接入设备上进行端口-MAC（Media Access Control，介质访问控制）地址-IP地址绑定的方式，在接收到假冒源地址数据包时，接入设备查找所存储的端口-MAC-IP绑定信息表，如不符，则判定为假冒IP地址，丢弃该数据包。但在支持ODAD协议的MIPv6接入环境下，当黑客在其他接入设备上仿冒同一IP地址进行通信时，现有在接入设备层进行“端口+MAC+IP”绑定的源地址欺骗防范技术将失效，亟需提出一种解决方案，以避免基于MIPv6协议的终端接入时进行源地址欺骗攻击。

发明内容

本发明实施例所要解决的技术问题是采用MIPv6的终端在不同接入设备间移动时所带来的源地址欺骗问题，提供一种防范MIPv6源地址欺骗攻击的方法、设备和系统。

本发明实施例提供一种防范MIPv6源地址欺骗攻击的方法，包括：

接入设备接收接入终端发送的接入请求，其中，所述接入请求中携带有所述接入终端的互联网协议IP地址、介质访问控制MAC地址和端口；

所述接入设备根据所述接入终端的IP地址对绑定信息表进行查询，若未查询到所述接入终端的IP地址对应的绑定信息，则向汇聚设备发送携带有所述接入终端的IP地址的查询请求，若接收到所述汇聚设备发送的所述接入终端的IP地址对应的绑定信息，则检查所述接入终端的IP地址、MAC地址和端口与所述绑定信息是否匹配，若匹配，则允许所述接入终端接入，若不匹配，则拒绝所述接入终端接入，其中，所述绑定信息表用以记录IP地址、MAC地址和端口的绑定信息。

进一步地，所述接入设备向汇聚设备发送携带有所述接入终端的IP地址的查询请求之后，所述方法还包括：

所述接入设备若从所述汇聚设备接收到的消息为空消息，则将所述接入终端的IP地址、MAC地址和端口的绑定信息记录到所述绑定信息表中，并允许所述接入终端接入。

进一步地，所述接入设备将所述接入终端的IP地址、MAC地址和端口的绑定信息记录到所述绑定信息表中之后，所述方法还包括：

所述接入设备将所述接入终端的IP地址、MAC地址和端口的绑定信息同步给所述汇聚设备。

进一步地，所述方法还包括：

所述接入设备根据接收到的所述汇聚设备发送的信息同步指令，将所述绑定信息表同步给所述汇聚设备。

本发明实施例提供一种防范MIPv6源地址欺骗攻击的方法，包括：

汇聚设备接收接入设备发送的携带有接入终端的互联网协议IP地址的查询请求；

所述汇聚设备根据所述接入终端的IP地址进行查询，若查询到所述接入终端的IP地址对应的绑定信息，则将所述接入终端的IP地址对应的绑定信息发送给所述接入设备。

进一步地，所述汇聚设备根据所述接入终端的IP地址进行查询，若查询到所述接入终端的IP地址对应的绑定信息，则将所述接入终端的IP地址对应的绑定信息发送给所述接入设备，包括：

所述汇聚设备根据所述接入终端的IP地址对本地存储的IP地址、MAC地址和端口的绑定信息进行查询，若在本地查询到所述接入终端的IP地址对应的绑定信息，则将所述接入终端的IP地址对应的绑定信息发送给所述接入设备。

进一步地，所述汇聚设备根据所述接入终端的IP地址进行查询，若查询到所述接入终端的IP地址对应的绑定信息，则将所述接入终端的IP地址对应的绑定信息发送给所述接入设备，还包括：