[发明专利]一种报文防攻击方法及装置

权利要求书

1.一种报文防攻击方法，应用于无线局域网的宽带接入服务器BRAS的转发芯片，其特征在于，所述方法包括：

所述转发芯片接收第一建立联机报文；

所述转发芯片确定所述第一建立联机报文的源地址未通过认证且所述第一建立联机报文的目的地址属于未认证用户不允许访问的地址范围且所述第一建立联机报文的传输控制协议TCP端口对应超文本传输协议；

所述转发芯片生成并发送代答建立联机确认报文。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

所述转发芯片接收第一确认报文；

所述转发芯片解析所述第一确认报文的源地址，目的地址以及TCP端口；

所述转发芯片确定所述第一确认报文的源地址属于未认证用户且所述第一确认报文的目的地址属于未认证用户不允许访问的地址范围且所述第一确认报文的TCP端口号对应超文本传输协议；

所述转发芯片丢弃收到的所述第一确认报文。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

所述转发芯片接收第一超文本传输协议请求报文；

所述转发芯片确定所述第一超文本传输协议请求报文的源地址属于未认证用户；

所述转发芯片生成并发送代答重定向报文，所述代答重定向报文包含用于Portal认证的重定向地址。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

所述转发芯片接收第二建立联机报文；

所述转发芯片确定所述第二建立联机报文的源地址通过认证且所述第二建立联机报文的目的地址属于已认证用户不允许访问的地址范围且所述第二建立联机报文的TCP端口对应超文本传输协议；

所述转发芯片向处理单元发送所述第二建立联机报文。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

所述转发芯片接收第二确认报文；

所述转发芯片确定所述第二确认报文的源地址属于已认证用户且所述第二确认报文的目的地址属于已认证用户不允许访问的地址范围且所述第二确认报文的TCP端口号对应超文本传输协议；

所述转发芯片向处理单元发送所述第二确认报文。

6.根据权利要求1-5任一项所述的方法，其特征在于，所述方法还包括：

所述转发芯片接收第二超文本传输协议请求报文；

所述转发芯片确定所述第二超文本传输协议请求报文的源地址属于已认证用户；

所述转发芯片向所述处理单元发送所述第二超文本传输协议请求报文。

7.一种报文防攻击装置，应用于无线局域网的宽带接入服务器BRAS的转发芯片，其特征在于，所述装置包括：

接收模块，用于接收第一建立联机报文；

解析模块，用于确定所述第一建立联机报文的源地址未通过认证且所述第一建立联机报文的目的地址属于未认证用户不允许访问的地址范围且所述第一建立联机报文的传输控制协议TCP端口对应超文本传输协议，则生成代答建立联机确认报文；

所述发送模块，用于发送所述代答建立联机确认报文。

8.根据权利要求7所述的装置，其特征在于，

所述接收模块，还用于接收第一确认报文；

所述解析模块，还用于解析所述第一确认报文的源地址，目的地址以及TCP端口；确定所述第一确认报文的源地址属于未认证用户且所述第一确认报文的目的地址属于未认证用户不允许访问的地址范围且所述第一确认报文的TCP端口对应超文本传输协议，则丢弃所述第一确认报文。

9.根据权利要求7所述的装置，其特征在于，

所述接收模块，还用于接收第一超文本传输协议请求报文；

所述解析模块，还用于确定所述第一超文本传输协议请求报文的源地址属于未认证用户，则生成代答重定向报文；其中，所述代答重定向报文包含用于Portal认证的重定向地址；

所述发送模块，还用于发送所述代答重定向报文。

10.根据权利要求7所述的装置，其特征在于，

所述接收模块，还用于接收第二建立联机报文，第二确认报文以及第二超文本传输协议请求报文；

所述解析模块，还用于确定所述第二建立联机报文的源地址通过认证且所述第二建立联机报文的目的地址属于已认证用户允许访问的地址范围且所述第二建立联机报文的TCP端口对应超文本传输协议；还用于确定所述第二确认报文的源地址属于已认证用户且所述第二确认报文的目的地址属于已认证用户允许访问的地址范围且所述第二确认报文的TCP端口对应超文本传输协议；还用于确定所述第二超文本传输协议请求报文的源地址属于已认证用户；

所述发送模块，还用于向处理单元发送所述第二建立联机报文，所述第二确认报文以及所述第二超文本传输协议请求报文。