[发明专利]防止无线局域网DHCP泛洪攻击的方法

说明书

技术领域

本发明属于网络领域，尤其是一种防止无线局域网DHCP泛洪攻击 的方法。

背景技术

DHCP协议为用户上网带来了方便的同时，也存在一定的安全隐患。 DHCP(DynamicHostConfigurationProtocol,DHCP)是动态主机设置协 议，它是一个局域网的网络协议。两台连接到互联网上的电脑相互之间 通信，必须有各自的IP地址，但由于现在的IP地址资源有限，宽带接入 运营商不能做到给每个报装宽带的用户都能分配一个固定的IP地址，所 以要采用DHCP方式对上网的用户进行临时的地址分配。也就是当用户 电脑连上网，DHCP服务器才从地址池里临时为用户分配一个IP地址， 每次上网分配的IP地址可能会不一样，这跟当时IP地址资源有关。当用 户下线的时候，DHCP服务器可能就会把这个地址分配给之后上线的其 他电脑。这样就可以有效节约IP地址，既保证了用户的通信，又提高IP 地址的使用率。在无线局域网环境中，如果恶意用户伪造了大量的客户 端通过无线接入点(AP)向DHCP服务器发送租用IP请求，可以在短时 间内耗尽DHCP服务器的IP地址资源，此时正常的AP再请求DHCP服 务器分配IP地址，则无法成功租用。

发明内容

本发明的目的在于克服现有技术的不足，提供一种防止无线局域网 DHCP泛洪攻击的方法，该网络系统架构简单、设计科学合理、可以有 效识别及防御泛洪攻击，提高网络安全性以及可靠性。

本发明解决其技术问题是通过以下技术方案实现的：

一种防止无线局域网DHCP泛洪攻击的方法，其方法的步骤包括：

⑴、无线用户通过DHCP服务器获取到IP，通过无线连接到AP；

⑵、AP通过DHCP服务器获取到AC的IP地址，通过交换机向AC发 出访问Internet的请求信息；

⑶、交换机转发请求信息；

⑷、解析交换机转发的请求信息，设定请求速率阈值，并在DHCP服 务器IP资源池范围分别为70％、20％以及10％时动态改变该阈值，将其与 AP请求DHCP分配IP的速率做比较，如果请求速度超过设定的阈值，则 通丢弃该数据包或记录日志、发送邮件方式告警；如果请求速度不超过 设定的阈值，转发该数据包给AC设备；

⑸、AC接收来自AP的请求数据，通过portal服务器反馈给客户端 Web认证页面；

⑹、用户输入认证信息，portal服务器将认证信息提交给Radius服 务器进行认证；

⑺、如认证失败，则返回无线用户认证失败信息；如认证成功，无 线用户即可接入Internet进行计费上网。

而且，所述的该方法中包括portal服务器、Radius服务器、DHCP 服务器、无线接入器、交换机、无线控制器以及无线客户端，无线客户 端通过无线接入器连接交换机，portal服务器以及Radius服务器分别连 接交换机，交换机通过一泛洪攻击防护器连接无线控制器，该无线控制 器分别连接DHCP服务器以及互联网。

而且，所述的泛洪攻击防护器解析交换机转发的请求信息，设定请 求速率阈值，并在DHCP服务器IP资源池范围分别为70％,20％和10％时动 态改变该阈值，将其与无线接入器请求DHCP分配IP的速率做比较，请 求速度超过设定的阈值，则通丢弃该数据包或记录日志、发送邮件方式 告警；请求速度不超过设定的阈值，转发该数据包给AC设备。

本发明的优点和有益效果为：

本发明弥补了只能在有线网络环境中同时只能通过交换机进行DHCP 泛洪攻击防护的不足，本发明能防护无线局域网应用环境的DHCP泛洪攻 击，大大提高了DHCP服务器以及AC设备的安全性和可用性，且不改变 用户上网习惯，不影响正常上网速度，使得用户能够更加安全可靠地访 问互联网。

附图说明

图1为本发明所涉及设备连接框图。

具体实施方式

下面通过具体实施例对本发明作进一步详述，以下实施例只是描述 性的，不是限定性的，不能以此限定本发明的保护范围。

一种防止无线局域网DHCP泛洪攻击的方法，其方法的步骤包括：

⑴、无线用户通过DHCP服务器获取到IP，通过无线连接到AP；