[发明专利]一种防非法二级路由器接入的方法及装置

说明书

本发明公开了一种防非法二级路由器接入的方法及装置，涉及网络安全技术领域。本发明技术要点：在一级路由器中预存合法二级路由器MAC地址列表；一级路由器监听其各接口接收到的数据帧；若数据帧中的源MAC地址及目的MAC地址均在所述合法二级路由器MAC地址列表中，则放行该数据帧；若数据帧中的目的MAC地址不在所述合法二级路由器MAC地址列表中，则将该数据帧的TTL字段改为1；若数据帧中的源MAC地址不在所述合法二级路由器MAC地址列表中，则检测数据帧中的某些字段是否合法，若合法则放行该数据帧，否则将该数据帧的源MAC地址加入非法二级路由器MAC地址列表中并丢弃该数据帧。

技术领域

本发明涉及网络安全技术领域，尤其是一种防止非法二级路由器接入的方法。

背景技术

随着网络技术的发展和网络设备的普及，不法之徒能够使用有线/无线路由器或者网卡等设备轻易地架设二级路由器，这些二级路由器连接在某一网络路由器（下文称为一级路由器以便与二级路由器区分）下，这些二级路由器下可以继续连接其他终端设备，这些终端设备通过二级路由器接入网络，这样容易使正常使用的客户端网络质量下降，还会导致非认证终端上网。

目前市场能够检测非法二级路由器接入的设备较少，仅有的几款设备中，有的仅支持有线产品，有的依赖客户端软件配合检测，并且这些产品都停留在检测阶段，无法对用户提供更多的保护措施。

因此有必要提供一种不仅能够检测非法二级路由器接入，而且能够对非法二级路由器进行屏蔽，使非法二级路由器无法工作的防护方法。

发明内容

本发明所要解决的技术问题是：针对上述存在的问题，提供一种防非法二级路由器接入的方法，包括：

步骤1：在一级路由器中预存合法二级路由器MAC地址列表；

步骤2：一级路由器监听其各接口接收到的数据帧；

步骤3：若数据帧中的源MAC地址及目的MAC地址均在所述合法二级路由器MAC地址列表中，则放行该数据帧；若数据帧中的目的MAC地址不在所述合法二级路由器MAC地址列表中，则执行步骤4；若数据帧中的源MAC地址不在所述合法二级路由器MAC地址列表中，则执行步骤5：

步骤4：将该数据帧的TTL字段改为1；

步骤5：检测数据帧中的identification字段的变化趋势是否合法，以及检测数据帧中的操作系统字段是否合法；若均合法则放行该数据帧，否则将该数据帧的源MAC地址加入非法二级路由器MAC地址列表中并丢弃该数据帧。

步骤3还包括：判断数据帧中的源MAC地址或目的MAC地址之一是否在所述非法二级路由器MAC地址列表中，若是则丢弃该数据帧。

进一步，步骤5中，若检测到数据帧中的identification字段比之前接收到的与该数据帧源MAC地址相同的数据帧中的identification字段小则认为该数据帧中的identification字段的变化趋势不合法。

进一步，步骤5中，若检测到数据帧中的操作系统字段比之前接收到的与该数据帧源MAC地址相同的数据帧中的操作系统字段不同则认为该数据帧中的操作系统字段不合法。

本发明还提供了一种与前述方法步骤一一对应的防非法二级路由器接入的装置，该装置位于一级路由器上，所述一级路由器上存储有合法二级路由器MAC地址列表，该装置包括：

监听模块，用于监听一级路由器各接口接收到的数据帧；

合法二级路由器筛选模块，用于：当数据帧中的源MAC地址及目的MAC地址均在所述合法二级路由器MAC地址列表中时，放行该数据帧；当数据帧中的目的MAC地址不在所述合法二级路由器MAC地址列表中时，则调用TTL字段修改模块；当数据帧中的源MAC地址不在所述合法二级路由器MAC地址列表中时，则调用字段合法性检查模块；