[发明专利]一种在AN上实现IP地址防欺骗的装置及其方法

权利要求书

1.一种在访问节点AN上实现IP地址防欺骗的装置，应用于IPoE模式下由DHCP自动配置主机的接入网络中，其特征在于，包括：报文入口模块、DHCP侦听模块、报文过滤模块，其中，

报文入口模块，用于根据DHCP协议报文的特征，从接收到的报文中提取出DHCP协议报文，并将该提取出的报文及其对应的用户端口信息传递至所述DHCP侦听模块，同时将其余的报文发送给所述报文过滤模块；

DHCP侦听模块，用于接收由所述报文入口模块传递来的DHCP协议报文及其对应的用户端口信息，获取分配给用户主机的配置信息，包括IP地址及其租用期，将该IP地址与接收到的对应的用户端口信息进行绑定，并结合所述租用期信息以及后续接收的报文，对获取的用户配置信息进行维护；

报文过滤模块，用于根据所述DHCP侦听模块维护的所述用户配置信息对接收到的上行报文进行过滤，如果发现该报文中的用户IP地址和端口信息没有绑定在一起，则判定其为非法报文；

所述DHCP侦听模块包括：

DHCP协议报文分析模块，用于对各种协议报文进行分析，获取用户配置信息，并对其进行维护；

DHCP信息表记录模块，用于在所述DHCP协议报文分析模块的维护下，记录一个五元组DHCP信息表，包括：话路身份，IP地址，租用期，用户端口，MAC地址；

定时器，与所述DHCP信息表绑定，每个DHCP信息表项都绑定一个定时器，其触发时限由对应表项的租用期字段决定，每当定时器触发时，其对应的DHCP信息表表项被删除。

2.如权利要求1所述的装置，其特征在于，所述DHCP协议报文分析模块，如果其收到上行方向的DHCP REQUEST报文，从该报文中提取用户的MAC地址、话路身份，使用MAC地址和用户端口查看DHCP信息表，如果不存在相应的表项，那么创建一个DHCP信息表表项，填入话路身份、MAC地址，用户端口，租用期设为无效，IP地址设置为0.0.0.0，否则如果存在相应的表项，那么更新DHCP信息表中的话路身份；

如果其收到下行方向的DHCP ACK报文，从该报文中提取话路身份、用户端口、MAC地址、用户申请的IP地址、租用期信息，使用MAC地址和用户端口查看DHCP信息表，如果不存在相应的表项，直接丢弃该报文，否则如果存在相应的表项，那么利用该报文信息更改对应的DHCP信息表表项，填入新的IP地址信息和租用期信息，基于租用期信息创建对应的定时器；

如果其收到下行方向的DHCP NAK报文，使用MAC地址和用户端口查看DHCP信息表，删除对应的定时器以及对应DHCP信息表表项；

如果其收到上行方向的DHCP RELEASE报文，使用MAC地址和用户端口查看DHCP信息表，删除对应的定时器以及对应DHCP信息表表项；

如果其收到上行方向的DHCP DECLINE报文，使用MAC地址和用户端口查看DHCP信息表，删除对应的定时器以及对应的DHCP信息表表项。

3.如权利要求1所述的装置，其特征在于，所述用户端口信息为物理端口信息或逻辑端口信息。

4.如权利要求3所述的装置，其特征在于，所述逻辑端口信息为永久虚拟电路信息。

5.一种在访问节点AN上实现IP地址防欺骗的方法，应用于IPoE模式下由DHCP自动配置主机的接入网络中，其特征在于，步骤包括：

由AN根据DHCP协议报文的特征，从接收到的报文中提取出DHCP协议报文，并确定其对应的用户端口信息；

由AN侦听DHCP协议报文，从中获取分配给用户主机的配置信息，包括IP地址及其租用期，将该IP地址与所述对应的用户端口信息进行绑定，并结合所述租用期信息以及后续接收的报文，对获取的用户配置信息进行维护；

由AN根据所述用户配置信息对接收到的上行报文进行过滤，如果发现该报文中的用户IP地址和端口信息没有绑定在一起，则判定其为非法报文；

所述对获取的用户配置信息进行维护的步骤，包括：

由AN对接收到的各种协议报文进行分析，获取用户配置信息；

根据所述用户配置信息，记录一个五元组DHCP信息表，包括：话路身份，IP地址，租用期，用户端口，MAC地址；

为每个DHCP信息表项绑定一个定时器，其触发时限由对应表项的租用期字段决定，每当定时器触发时，其对应的DHCP信息表表项被删除。