[发明专利]防止网络攻击的方法与装置

说明书

本申请提供了一种防止网络攻击的方法，包括以太网虚拟私有网络EVPN中第一网络节点接收第一报文，第一报文携带有第一媒体接入控制MAC地址，第一MAC地址为第一报文的源MAC地址；确定第一MAC表项信息，其中，第一MAC表项信息中包括第一MAC地址、第一MAC地址的标识与第一MAC地址的出端口信息的对应关系，第一MAC地址的标识用于指示与第一MAC地址对应的出端口为信任端口。该方法能够降低由于攻击者攻击EVPN所导致的EVPN处于瘫痪状态的风险。

技术领域

本申请涉及计算机领域，并且更具体地，涉及一种防止网络攻击的方法与装置。

背景技术

在通过多个运营商边缘设备(provider edge，PE)通过边界网关协议(bordergateway protocol，BGP)建立的以太网虚拟私有网络(Ethernet virtual personalnetwork，EVPN)中，每个PE通过各自的端口与多个设备连接，该多个设备可以包括用户设备与服务设备。

在EVPN中，可能存在攻击者通过PE(例如，PE1)连接至EVPN的情况，在这种情况下，攻击者可以通过地址解析协议(address resolution protocol，ARP)请求，获取到服务设备的MAC地址，然后通过伪装技术，将自身报文携带的源MAC地址模拟为服务设备的MAC地址，并将该报文发送至PE，此时，PE会将攻击者伪装的MAC地址保存在本地，并会记录该MAC地址对应的出端口信息。如果后续该PE接收到携带的目的MAC地址为该伪装的MAC地址的报文时，会将该报文通过该出端口信息发送至攻击者，造成整个EVPN中的MAC地址出现混乱，进而造成网络错误，导致EVPN处于瘫痪状态。

发明内容

本申请提供一种防止网络攻击的方法，该方法能够降低由于攻击者攻击EVPN所导致的EVPN处于瘫痪状态的风险。

第一方面，提供了一种防止网络攻击的方法，可以应用于以太网虚拟私有网络EVPN中，该EVPN中包括多个网络节点，该方法由该多个网络节点中的第一网络节点执行，包括：接收第一报文，该第一报文携带有第一媒体接入控制MAC地址，该第一MAC地址为该第一报文的源MAC地址；确定第一MAC表项信息，该第一MAC表项信息中包括该第一MAC地址、该第一MAC地址的标识与该第一MAC地址的出端口信息的对应关系，该第一MAC地址的标识用于指示该第一MAC地址是可信任的。

基于上述技术方案，通过查看MAC表项信息中包括的该MAC地址的标识是否指示该MAC地址是可信任的，如果是可信任的，则放弃刷新该MAC表项信息，从而避免根据攻击者发送的数据报文对MAC表项信息进行刷新，降低由于攻击者攻击EVPN所导致的EVPN处于瘫痪状态的风险。

在一种可能的实现方式中，该第一报文是从该第一网络节点的第一端口接收的，该确定第一MAC表项信息包括：确定该第一端口被配置为信任端口；根据该第一MAC地址与该第一MAC地址的出端口信息，确定该第一MAC表项信息。

基于上述技术方案，通过将网络节点上的重要端口配置为信任端口，当从信任端口接收到数据报文时，确定该数据报文中携带的MAC地址是可信任的，在确定该数据报文中携带的源MAC地址是可信任的情况下，在MAC表项信息添加该源MAC地址与该源MAC地址的标识，该源MAC地址的标识用于指示该源MAC地址是可信任的，从而避免根据攻击者发送的数据报文对MAC表项信息进行刷新，降低由于攻击者攻击EVPN所导致的EVPN处于瘫痪状态的风险。

在一种可能的实现方式中，该根据该第一MAC地址与该第一MAC地址的出端口信息，确定该第一MAC表项信息，包括：确定预先保存的第二MAC表项信息中不包括该第一MAC地址或包括该第一MAC地址但不包括该第一MAC地址的出端口信息；更新该第二MAC表项信息；将更新后的该第二MAC表项信息确定为该第一MAC表项信息。